- CopyFail 漏洞允许非特权用户通过加密子系统中的逻辑错误提升到 root 权限。
- 漏洞 CVE-2026-31431 影响了 2017 年至 2026 年的大量内核。
- HFS 文件系统还存在其他风险，可能导致系统彻底崩溃或代码执行。
提到Linux，我们首先想到的就是它强大且极具弹性。的确，它是互联网基础设施和一些全球最强大服务器的支柱，但这并不意味着它坚不可摧。事实上，最近出现的漏洞提醒我们，即使是经过最彻底审查的软件也可能存在危险的弱点，这迫使我们在Linux中寻求更高级的安全措施来保护我们的系统。
其中最引人注目的案例之一是所谓的 CopyFail 漏洞。这个问题并非应用程序中的简单拼写错误，而是存在于内核的核心层面。这令人担忧，因为它允许权限非常有限的人几乎完全控制系统，进而获得计算机的完全控制权。
CopyFail之谜：CVE-2026-31431
这个漏洞，技术编号为 CVE-2026-31431，是一种顺序流逻辑缺陷。简单来说，它并非由随机内存或时序错误引起，而是由代码编写方式上的缺陷导致。具体来说，问题出在内核的 `authenticsn`组件中，该组件可通过 AF_ALG 加密套接字接口和 `splice()` 系统函数访问。
令专家们震惊的是，这个漏洞从2017年一直潜伏到2026年才被发现。近十年来，例行安全审计未能发现它，导致该漏洞在数百万台设备上持续存在。Theori 研究人员开发的利用程序出奇地简单：一个仅732字节的Python脚本，只使用了标准库，正因其易用性而极其危险。
与其他需要攻击者拥有极佳运气才能触发竞争条件或精确掌握内核偏移量的漏洞利用方式不同，CopyFail 漏洞可以稳定利用。这意味着任何本地用户，无论是通过普通账户、被入侵的容器还是 CI/CD 流程，都可以轻松地向内核页面缓存写入 4 字节的数据，从而在 Linux 系统上提升至 root权限。
受影响的系统及问题范围
此次漏洞的影响范围广泛且规模巨大。受影响的系统涵盖了众多主流发行版，包括Ubuntu 24.04 LTS、Amazon Linux 2023、RHEL 10.1 和 SUSE 16，此外还包括 Debian、Fedora、Arch、Rocky 和 Oracle Linux。简而言之，任何使用 2017 年至 2026 年 4 月期间编译的内核的系统都面临风险，内核版本范围从 4.14 到 6.18.22。
需要强调的是，攻击途径仅限于本地。这意味着攻击者必须已经拥有对系统的某种访问权限，但在多个租户或容器共享同一内核的云环境中，风险会成倍增加。由于此漏洞极易被利用，因此对于任何系统管理员来说，修复此漏洞都是重中之重。
其他威胁：HFS 文件系统案例
但问题不仅仅在于 CopyFail。此外，Linux 内核 HFS 文件系统中还存在一个漏洞，即CVE-2025-0927 ，也已发出警报。该漏洞的根源在于系统在处理损坏的结构时，对输入的验证不足。如果攻击者设法强制系统读取格式错误的 HFS 镜像，则可能导致内存覆盖。
第二个漏洞的后果可能从简单的拒绝服务 (DoS) 攻击（导致系统无响应）到更严重的后果（例如以提升的权限执行任意代码）。该问题尤其影响内核版本 6.12.0 及更早版本，以及某些特定系统，例如内核版本为 6.5.0-18-generic 的 Ubuntu 22.04。
如何保护自己并降低风险？
最终的解决方案始终是保持软件更新。对于 CopyFail 漏洞，至关重要的是应用修复提交 a664bf3d603d或将内核更新到发行版提供的已修补版本。在 AWS、Azure 或 GCP 等云环境中，您应该优先安装提供商发布的补丁，尤其是在跳转服务器和多租户环境中。
如果由于某种原因您无法立即重启系统，还有一种方法可以解决这个问题： 缓解漏洞的技巧您可以通过创建一个文件来禁用 algif_aead 模块。 /etc/modprobe.d/blacklist-algif.conf 与线 install algif_aead /bin/false如果模块已激活，只需运行 rmmod algif_aead 把他打出战斗，然后关上门阻止攻击者，而无需重新开始。
CopyFail漏洞的发现也凸显了人工智能的作用。众所周知，基于人工智能的分析工具在发现这一漏洞的过程中发挥了关键作用，而人类却忽略了它长达九年之久。这给我们带来了一个苦乐参半的教训：人工智能是防御者的强大盟友，但它也可能成为攻击者的完美武器，使他们能够在极短的时间内找到类似的漏洞。
