【安多多预警】Linux 本地提权漏洞预警Copy Fail,附影响范围和缓解措施

一句话概述：任何能登录 Linux 服务器的普通用户，运行一段不到 1KB 的 Python 脚本，几秒内即可获得 root 权限。利用成功率 100%，不会导致系统崩溃。该漏洞自 2017 年存在至今，PoC 已于 4 月 29 日公开。安多多已经成功复现并支持用户处置。

// 1. 创建 AF_ALG socketsocket(38, SOCK_SEQPACKET, 0)

// 2. 绑定有漏洞的 AEAD 算法bind("aead", "authencesn(hmac(sha256),cbc(aes))")

// 3. sendmsg 携带 payload + splice 目标文件 page cachesendmsg(AAD[4:7] = payload) + splice(target_fd)

// 4. recv 触发解密 → 4 字节写入 page cacherecv() → scatterwalk_map_and_copy → kmap_local_page

// 5. 执行被篡改的 SUID binaryexecve("/usr/bin/su") → root

// 读取 AAD[0:7]scatterwalk_map_and_copy(tmp, dst, 0, 8, 0);// 写回 seqno_hi 到 dst[4:7]scatterwalk_map_and_copy(tmp, dst, 4, 4, 1);// VULNERABLE: seqno_lo 写到 dst[assoclen+cryptlen]// 越过 AEAD 输出边界 → 直接写入 page cache 页面scatterwalk_map_and_copy(tmp+1, dst, assoclen+cryptlen, 4, 1);

引入 commit 72548b093ee3 (2017)

修复 commit a664bf3d603d (2026-04-01)

范围 所有 2017 年以来构建的 Linux 内核

Fix commit: a664bf3d603dc3bdcf9ae47cc21e0daec706d7a5Fixes: 72548b093ee3 (2017)合入: 2026-04-01 mainline状态: 各发行版补丁陆续推送中

// algif_aead.c — the fix- aead_request_set_crypt(&req, rsgl_src, rsgl_src, ...); // in-place+ aead_request_set_crypt(&req, tsgl_src, rsgl_src, ...); // out-of-place

# 禁止模块加载echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf

cat /etc/modprobe.d/disable-algif.conf

# 卸载已加载模块rmmod algif_aead 2>/dev/null || true

# 验证lsmod | grep algif_aead

"syscalls": [{  "names": ["socket"],  "action": "SCMP_ACT_ERRNO",  "args": [{"index": 0, "value": 38, "op": "SCMP_CMP_EQ"}]}]

# 内核版本uname -r

# 内核配置是否启用grep CONFIG_CRYPTO_USER_API_AEAD /boot/config-$(uname -r)

# 模块是否已加载lsmod | grep algif

# AF_ALG socket 是否可创建python3 -c "import socket; socket.socket(38,5,0); print('VULNERABLE')"