CVE-2026-31431 w Linux: zagrożenie root

Wprowadzenie

Microsoft opublikował nowe wytyczne dotyczące CVE-2026-31431, znanej także jako Copy Fail — luki o wysokiej wadze w kernelu Linux, która może pozwolić lokalnemu nieuprzywilejowanemu użytkownikowi uzyskać dostęp root. Dla zespołów IT i bezpieczeństwa korzystających z Linux w środowiskach cloud, CI/CD i Kubernetes jest to priorytetowy problem, ponieważ pojedynczy punkt wejścia może doprowadzić do przejęcia hosta.

Co nowego

CVE-2026-31431 to luka typu local privilege escalation w podsystemie kryptograficznym kernela Linux, a dokładniej w module algif_aead w AF_ALG userspace crypto API.

Najważniejsze informacje od Microsoft:

• Dotyczy wielu głównych dystrybucji Linux, w tym Ubuntu, Red Hat, SUSE, Amazon Linux, Debian, Fedora i Arch
• Obejmuje kernele wydane od 2017 roku do momentu instalacji poprawek
• Ma wynik CVSS 7.8 (High)
• Wymaga jedynie lokalnego wykonania kodu przez nieuprzywilejowanego użytkownika
• Może zostać wykorzystana do uszkodzenia page cache dla plików możliwych do odczytu, w tym setuid binaries
• Może umożliwić container escape, multi-tenant compromise i lateral movement

Microsoft zaznacza, że chociaż skala aktywnego wykorzystania w praktyce jest nadal ograniczona, publicznie dostępny jest działający proof of concept, a także zaobserwowano już wczesną aktywność testową. Luka została również dodana do katalogu CISA Known Exploited Vulnerabilities, co zwiększa pilność działań obrońców.

Dlaczego to ważne dla administratorów

Ta luka jest szczególnie istotna w środowiskach, w których może działać niezaufany kod:

• Kubernetes clusters
• Shared Linux hosts
• CI/CD runners
• Containerized workloads
• Multi-tenant cloud infrastructure

Ponieważ kontenery współdzielą kernel hosta, wykorzystanie luki z wnętrza jednego kontenera może potencjalnie wpłynąć na cały węzeł. To sprawia, że każde container RCE lub shell z niskimi uprawnieniami jest znacznie poważniejsze niż zwykle.

Zalecane działania

Zespoły bezpieczeństwa i infrastruktury powinny nadać priorytet następującym krokom:

1. Zidentyfikować podatne systemy Linux w serwerach, obciążeniach cloud, kontenerach i węzłach Kubernetes.
2. Natychmiast wdrożyć poprawki dostawców tam, gdzie są dostępne.
3. Jeśli poprawki nie są jeszcze dostępne, zastosować tymczasowe środki ograniczające ryzyko, takie jak:
   • Blokowanie lub wyłączenie AF_ALG socket creation
   • Zaostrzenie local access controls
   • Zastosowanie network isolation tam, gdzie jest to właściwe
4. Przeanalizować logi i telemetry detekcyjne pod kątem oznak wykorzystania luki lub podejrzanej aktywności związanej z local privilege escalation.
5. Traktować każde naruszenie kontenera jako potencjalne naruszenie hosta i rozważyć szybką wymianę węzła po wykryciu oznak ataku.

Kolejne kroki

Organizacje korzystające z Microsoft Defender XDR powinny przejrzeć dostępne detekcje i wskazówki huntingowe od Microsoft. Biorąc pod uwagę szeroki zakres narażenia i dostępność kodu exploit, jest to luka, którą administratorzy Linux i cloud powinni usunąć natychmiast w ramach awaryjnego łatania i procedur gotowości na incydenty.