Linux内核加密代码漏洞可被利用实现本地提权

各大Linux发行版的开发者已开始发布补丁，以修复一个由逻辑缺陷引发的本地权限提升（LPE）漏洞。

这个新披露的LPE漏洞被命名为"Copy Fail"（CVE-2026-31431），源于Linux内核加密模板authencesn中的一处漏洞。

安全公司Theori在其分析报告中解释道："一个无特权的本地用户可以向Linux系统上任意可读文件的页面缓存中写入四个受控字节，并以此获取root权限。"

内核在加载二进制文件时会读取页面缓存，因此修改缓存副本在程序执行层面等同于篡改了该二进制文件本身。但这种操作不会触发任何基于文件系统事件（如inotify）的防御机制。

目前已有概念验证漏洞利用代码，是一个仅10行、732字节的Python脚本，能够通过编辑setuid二进制文件，在几乎所有2017年以来发布的Linux发行版上获取root权限。

Copy Fail与Dirty Cow、Dirty Pipe等其他LPE漏洞类似，但发现者表示，该漏洞无需赢得竞争条件，且适用范围更广。

该漏洞本身无法被远程利用（因此归类为LPE），但若与Web远程代码执行、恶意CI运行器或SSH入侵相结合，对外部攻击者同样构成威胁。对于使用多租户Linux系统、共享内核容器或执行不可信代码的CI运行器的用户而言，该漏洞的威胁最为直接。

Theori还指出，由于页面缓存在宿主机上是共享的，该漏洞还可能成为一种容器逃逸原语，进而影响Kubernetes节点。

Debian、Ubuntu和SUSE等Linux发行版已针对该问题发布了补丁，其他发行版的维护者也相继跟进。Red Hat起初表示将推迟修复，但随后更新了指导意见，表示将与其他发行版保持一致，尽快完成修补。

该CVE已被评定为高危级别，CVSS评分为7.8（满分10分）。

该漏洞由Theori研究员Taeyang Lee发现，其借助了公司自研的AI安全扫描软件Xint Code的辅助。

近几个月来，随着AI漏洞扫描工具的普及，漏洞报告数量大幅攀升。微软近期发布了有史以来第二多的补丁数量。

Trend Micro零日计划威胁感知负责人Dustin Childs认为，这一现象源于安全团队借助AI进行漏洞挖掘。他本月早些时候写道："关于补丁数量激增的原因，我们可以做出很多推测，但如果微软的情况与其他项目（包括我们自己的项目）相似，那么他们很可能正在看到越来越多由AI工具发现的漏洞提交。"

AI辅助漏洞研究的兴起，近期还促使互联网漏洞赏金（IBB）计划暂停了奖励发放，直至其能够厘清如何应对日益增长的报告数量。

Q&A

Q1：Copy Fail漏洞（CVE-2026-31431）是什么？它有多危险？

A：Copy Fail是Linux内核加密模板authencesn中的一个逻辑缺陷漏洞，允许无特权的本地用户向任意可读文件的页面缓存写入四个受控字节，从而获取root权限。该漏洞已被评为高危级别，CVSS评分7.8。目前已有仅10行的Python概念验证脚本，可在几乎所有2017年以来发布的Linux发行版上实现提权。

Q2：Copy Fail漏洞和Dirty Cow、Dirty Pipe有什么区别？

A：三者同属本地权限提升漏洞，但Copy Fail的主要区别在于：它无需赢得竞争条件（race condition），利用难度相对更低，且适用范围更广。此外，Copy Fail还具备潜在的容器逃逸能力，可能影响Kubernetes节点，因为页面缓存在宿主机上是共享的。

Q3：哪些Linux发行版已经修复了Copy Fail漏洞？

A：Debian、Ubuntu和SUSE已率先发布补丁。Red Hat起初计划推迟修复，但随后改变立场，表示将跟进其他发行版尽快完成修补。其他发行版的维护者也已陆续跟进，建议用户尽快更新系统以降低风险。