Copy Fail（CVE-2026-31431）：潜伏 9 年的 Linux 内核提权漏洞全拆解#

2.1 受影响内核版本#

2.2 受影响发行版#

几乎全军覆没：

3.1 三个”原料”#

三者各自都合理。但组合在一起时，产生了一个危险的后果：普通用户可以将只读文件的页缓存页面作为可写缓冲区交给加密子系统。

3.2 关键 Bug：2017 年的”原地优化”#

2017 年，内核提交 72548b093ee3 为 AEAD（认证加密）操作引入了一项优化：

当源数据与目标数据位于同一内存区域时，跳过内存拷贝，直接在原地进行解密再加密。

问题在于：当 splice() 将页缓存页面零拷贝传入 AF_ALG 套接字后，内核的 algif_aead 模块将该页面链接到了目标散列表（DST SGL）的可写链表中。

3.3 authencesn 的”草稿纸”：seqno_lo#

authencesn 是 IPsec ESP（封装安全载荷）扩展序列号的认证加密模板，组合了 hmac(sha256) 和 cbc(aes)。

处理 AEAD 解密时，authencesn 需要将 4 字节的 seqno_lo（序列号低 32 位）写入输出缓冲的 assoclen + cryptlen 偏移处——这相当于在处理输出时用输出缓冲做了草稿纸。

正常情况下这 4 字节写入的是独立的内核缓冲。但在优化路径中，这 4 字节直接写入了链接到 DST SGL 的页缓存页面。

3.4 攻击数据流#

1
sendmsg(AAD seqno_lo)          splice(目标文件，如 /usr/bin/su)
2
      │                              │
3
      ▼                              ▼
4
┌──────────────┐   sg_chain   ┌──────────────────────┐
5
│   RX 缓冲区   │──────────────▶│   页缓存页面          │
6
│   (攻击者可控) │              │   (只读文件的内存副本)  │
7
└──────────────┘              └──────────────────────┘
8
                                        ▲
9
                                        │
10
                     authencesn 在此写入 seqno_lo
11
                     偏移 = assoclen + cryptlen
12
                     ═══════ 漏洞触发点 ═══════

完整利用步骤：

1. 创建加密套接字：socket(AF_ALG, ...) 创建 AEAD 套接字，绑定 authencesn(hmac(sha256),cbc(aes))
2. 注入页缓存：splice() 将目标文件（如 /usr/bin/su）的页缓存页面零拷贝传入套接字
3. 构造 AAD：sendmsg() + MSG_MORE 发送关联认证数据，嵌入攻击者完全可控的 4 字节 shellcode
4. 触发写入：内核处理 AEAD 解密，将 seqno_lo 写入 DST SGL → 落入页缓存页面
5. HMAC 失败但已生效：HMAC 校验失败返回 EBADMSG，但 页缓存已被污染
6. 执行污染文件：下次执行被污染的 setuid 二进制时，加载的是内存中被篡改的版本

4.1 磁盘无痕#

页缓存被篡改后，内核不会将脏页写回磁盘（因为没有经过正常的写路径标记 dirty flag）。结果：

• 磁盘文件 sha256sum 完全正常
• 文件完整性监控（如 AIDE、Tripwire）检测不到异常
• 但 execve() 加载的是内存中被污染的版本 —— 攻击者的代码以 root 身份执行

4.2 容器逃逸#

页缓存是宿主机级别共享的。这意味着：

• 容器 A 污染了 /usr/bin/su 的页缓存
• 容器 B、宿主机上任何执行 /usr/bin/su 的进程都会加载被污染的版本
• 在 K8s 多租户集群中，一个租户可以破坏整台宿主机的安全

4.3 无需竞争条件#

传统内核提权漏洞（如 Dirty COW 2016），需要精巧的竞态条件窗口，单次成功概率可能不足 10%。但 Copy Fail 是确定性利用——不需要碰运气，同一脚本在所有受影响发行版上稳定复现。

6.1 内核升级（唯一根本方案）#

1
# Ubuntu / Debian
2
sudo apt update && sudo apt upgrade 'linux-*' && sudo reboot
3

4
# RHEL / Rocky / AlmaLinux
5
sudo dnf --refresh update 'kernel*' && sudo reboot

升级后验证：

1
uname -r
2
# 确保版本 >= 6.18.22 或 >= 6.19.12 或 >= 7.0

6.2 模块黑名单（加固）#

CONFIG_CRYPTO_USER_API_AEAD 在许多发行版中直接编译进内核（=y），无法通过 rmmod 禁用。但可以通过内核启动参数限制命名空间：

1
# 禁用非特权用户命名空间（会影响容器运行）
2
echo "kernel.unprivileged_userns_clone=0" >> /etc/sysctl.conf

6.3 检测思路#

由于磁盘文件不受影响，传统文件完整性检测失效。可行方式：

• 页缓存对比：用 direct I/O（绕过页缓存）读取文件并与页缓存版本做 diff
• 审计 splice 调用：监控非特权进程使用 splice() 系统调用向 AF_ALG 套接字传输数据
• 定期清理页缓存：echo 3 > /proc/sys/vm/drop_caches（仅作临时缓解）