CVE-2026-31431 en Linux: amenaza de root

Introducción

Microsoft ha publicado nuevas directrices sobre CVE-2026-31431, también llamada Copy Fail, una vulnerabilidad del kernel de Linux de alta gravedad que puede permitir que un usuario local sin privilegios obtenga acceso root. Para los equipos de TI y seguridad que ejecutan Linux en entornos de nube, CI/CD y Kubernetes, este es un problema prioritario porque un solo punto de apoyo podría derivar en el compromiso del host.

Qué hay de nuevo

CVE-2026-31431 es una falla de escalada local de privilegios en el subsistema criptográfico del kernel de Linux, específicamente en el módulo algif_aead de la API criptográfica de espacio de usuario AF_ALG.

Detalles clave de Microsoft:

• Afecta a muchas distribuciones principales de Linux, incluidas Ubuntu, Red Hat, SUSE, Amazon Linux, Debian, Fedora y Arch
• Impacta a kernels publicados desde 2017 en adelante hasta que se instalen versiones corregidas
• Tiene una puntuación CVSS de 7.8 (Alta)
• Solo requiere ejecución de código local como usuario sin privilegios
• Puede utilizarse para corromper la caché de páginas de archivos legibles, incluidos los binarios setuid
• Puede habilitar escape de contenedores, compromiso multiinquilino y movimiento lateral

Microsoft señala que, aunque la explotación generalizada activa sigue siendo limitada, ya existe una prueba de concepto funcional disponible públicamente y se ha observado actividad temprana de pruebas. La vulnerabilidad también se ha añadido al catálogo de CISA Known Exploited Vulnerabilities, lo que aumenta la urgencia para los defensores.

Por qué importa a los administradores

Esta falla es especialmente importante en entornos donde puede ejecutarse código no confiable:

• Clústeres de Kubernetes
• Hosts Linux compartidos
• Runners de CI/CD
• Cargas de trabajo en contenedores
• Infraestructura cloud multiinquilino

Como los contenedores comparten el kernel del host, la explotación desde dentro de un contenedor podría afectar potencialmente a todo el nodo. Eso hace que cualquier RCE en contenedores o shell de bajos privilegios sea mucho más grave de lo habitual.

Acciones recomendadas

Los equipos de seguridad e infraestructura deben priorizar los siguientes pasos:

1. Inventariar los sistemas Linux afectados en servidores, cargas de trabajo cloud, contenedores y nodos de Kubernetes.
2. Aplicar inmediatamente los parches del proveedor donde estén disponibles.
3. Si los parches aún no están disponibles, usar mitigaciones temporales como:
   • Bloquear o deshabilitar la creación de sockets AF_ALG
   • Reforzar los controles de acceso local
   • Aplicar aislamiento de red cuando corresponda
4. Revisar los registros y la telemetría de detección para identificar señales de explotación o actividad sospechosa de escalada local de privilegios.
5. Tratar cualquier compromiso de contenedor como un posible compromiso del host y considerar el reciclado rápido de nodos tras indicadores de ataque.

Próximos pasos

Las organizaciones que usan Microsoft Defender XDR deben revisar las detecciones disponibles y las directrices de hunting publicadas por Microsoft. Dada la amplitud de la exposición y la disponibilidad de código de explotación, esta es una vulnerabilidad que los administradores de Linux y cloud deben abordar de inmediato como parte de sus flujos de parcheo de emergencia y preparación ante incidentes.