Linux 内核加密模块 authencesn在 2017 年引入了一处针对 AEAD（认证加密）操作的原地（in-place）优化，该优化导致在特定条件下，页缓存（page cache）中的只读页面可以被错误地放入可写目标散列表（scatterlist）。攻击者通过 AF_ALG 套接字暴露的内核加密 API，结合 splice()系统调用，利用上述逻辑缺陷实现对 setuid 二进制文件（如 /usr/bin/su）页缓存的 4 字节任意写入，从而篡改程序逻辑，获取 root shell。

整个利用过程为直线逻辑，无需竞争窗口（race window），无需内核特定偏移，无需预装任何特殊工具。

临时缓解方案

禁用 algif_aead内核模块可阻断漏洞利用路径：

# 永久禁用（重启后生效）echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf# 立即卸载（当前会话生效）rmmod algif_aead 2>/dev/null || true

禁用 algif_aead 的影响评估：

• 不影响：dm-crypt/LUKS、kTLS、IPsec/XFRM、OpenSSL/GnuTLS/NSS 默认构建、SSH、内核密钥环加密——这些组件直接使用内核加密 API，不经过 AF_ALG。

• 可能影响：显式启用了 afalg引擎的 OpenSSL、部分嵌入式加密卸载路径、直接绑定 aead/skcipher/hash 套接字的应用。可通过 lsof | grep AF_ALG或 ss -xa检查当前系统是否有进程使用 AF_ALG。

漏洞复现

Reproduction

                                      04

时间线

Timeline

05

时间	事件
2026 年 3 月 23 日	漏洞报告至 Linux 内核安全团队
2026 年 3 月 24 日	内核安全团队确认收到
2026 年 3 月 25 日	补丁提出并完成审查
2026 年 4 月 1 日	修复 commit a664bf3d603d合入 mainline
2026 年 4 月 22 日	CVE-2026-31431 正式分配
2026 年 4 月 29 日	公开披露，EXP 同步发布
2026 年 4 月 30 日	长亭安全应急响应中心发布通告