Новости

Идентификатор: CVE-2026-31431
Уровень опасности: 7.8 (High) по шкале CVSS

29 апреля была обнародована информация об опасной уязвимости в ядре Linux, получившей название Copy Fail.

Брешь позволяет локальному пользователю с минимальными правами полностью скомпрометировать систему и получить права суперпользователя (root).

Технические детали и риски

Проблема кроется в переполнении буфера в куче (heap overflow) в функции copy_from_user, которая отвечает за передачу данных из пространства пользователя в пространство ядра.

Ошибка возникает при обработке определенных данных в подсистеме Crypto API.

• Универсальность: Уязвимость затрагивает практически все современные дистрибутивы (Ubuntu, Debian, RHEL, Fedora, Arch и др.), так как проблема находится в основном дереве исходного кода ядра.
• Контейнерная среда: Злоумышленник, получивший доступ к одному контейнеру (например, в Kubernetes или Docker), может попытаться атаковать ядро хост-системы.

Временное решение (Mitigation)

Поскольку официальные патчи для некоторых дистрибутивов могут задерживаться, рекомендуется временно заблокировать точку входа для атаки — модуль algif_aead.

Это предотвратит эксплуатацию уязвимости до момента установки обновления ядра.

Для блокировки модуля выполните следующие команды:

sudo tee -a /etc/modprobe.d/blacklist-algif_aead.conf <<'EOF'
# CVE-2026-31431 mitigation
blacklist algif_aead
install algif_aead /bin/false
EOF

sudo sh -c "lsmod | grep algif_aead -q && modprobe -r algif_aead || reboot"

Рекомендации для администраторов

1. Обновление системы: Следите за официальными репозиториями и установите исправленную версию ядра, как только она станет доступна (apt update, dnf update и т.д.).
2. Перезагрузка: Помните, что защита вступит в силу только после полной перезагрузки системы с новым ядром.
3. Очистка: После обновления ядра не забудьте удалить временный конфигурационный файл из /etc/modprobe.d/ для восстановления полной функциональности Crypto API.

Статус патчей: Исправления уже начали поступать для последних LTS-версий ядер.

Владельцам кастомных сборок следует применить патч из репозитория kernel.org.