CVE-2026-31431 : menace d’escalade root Linux

Introduction

Microsoft a publié de nouvelles recommandations sur CVE-2026-31431, également appelée Copy Fail, une vulnérabilité Linux kernel de haute sévérité qui peut permettre à un utilisateur local non privilégié d’obtenir un accès root. Pour les équipes IT et sécurité qui exécutent Linux dans des environnements cloud, CI/CD et Kubernetes, il s’agit d’un sujet prioritaire, car un seul point d’appui peut mener à la compromission de l’hôte.

Nouveautés

CVE-2026-31431 est une faille d’escalade locale de privilèges dans le sous-système cryptographique du Linux kernel, plus précisément le module algif_aead de l’AF_ALG userspace crypto API.

Points clés communiqués par Microsoft :

• Affecte de nombreuses distributions Linux majeures, notamment Ubuntu, Red Hat, SUSE, Amazon Linux, Debian, Fedora et Arch
• Impacte les noyaux publiés à partir de 2017 jusqu’à l’installation des versions corrigées
• Possède un score CVSS de 7.8 (High)
• Nécessite uniquement une exécution de code locale en tant qu’utilisateur non privilégié
• Peut être utilisée pour corrompre le page cache de fichiers lisibles, y compris des binaires setuid
• Peut permettre une évasion de conteneur, une compromission multi-tenant et un mouvement latéral

Microsoft souligne que, bien que l’exploitation à grande échelle dans la nature reste encore limitée, une preuve de concept fonctionnelle est disponible publiquement et une activité de test précoce a déjà été observée. La vulnérabilité a également été ajoutée au catalogue CISA Known Exploited Vulnerabilities, ce qui renforce l’urgence pour les défenseurs.

Pourquoi c’est important pour les administrateurs

Cette faille est particulièrement importante dans les environnements où du code non fiable peut s’exécuter :

• Clusters Kubernetes
• Hôtes Linux partagés
• Runners CI/CD
• Charges de travail conteneurisées
• Infrastructure cloud multi-tenant

Comme les conteneurs partagent le noyau de l’hôte, une exploitation depuis l’intérieur d’un conteneur peut potentiellement impacter l’ensemble du nœud. Cela rend toute RCE dans un conteneur ou tout shell à faibles privilèges bien plus grave que d’habitude.

Actions recommandées

Les équipes sécurité et infrastructure doivent prioriser les étapes suivantes :

1. Inventorier les systèmes Linux affectés sur les serveurs, charges de travail cloud, conteneurs et nœuds Kubernetes.
2. Appliquer immédiatement les correctifs des éditeurs lorsqu’ils sont disponibles.
3. Si les correctifs ne sont pas encore disponibles, utiliser des mesures d’atténuation temporaires telles que :
   • Bloquer ou désactiver la création de sockets AF_ALG
   • Renforcer les contrôles d’accès locaux
   • Appliquer une isolation réseau lorsque cela est approprié
4. Examiner les journaux et la télémétrie de détection à la recherche de signes d’exploitation ou d’activité suspecte d’escalade locale de privilèges.
5. Considérer toute compromission de conteneur comme une compromission potentielle de l’hôte et envisager un recyclage rapide des nœuds après détection d’indicateurs d’attaque.

Prochaines étapes

Les organisations utilisant Microsoft Defender XDR doivent examiner les détections disponibles et les recommandations de hunting fournies par Microsoft. Compte tenu de l’étendue de l’exposition et de la disponibilité du code d’exploitation, il s’agit d’une vulnérabilité que les administrateurs Linux et cloud doivent traiter immédiatement dans le cadre de workflows de correctifs d’urgence et de préparation à la réponse à incident.