CVE-2026-31431 «Copy Fail»: ευπάθεια Linux kernel, διόρθωση

Σύνοψη

Μια ευπάθεια τοπικής κλιμάκωσης προνομίων υψηλού αντικτύπου στον Linux kernel, η CVE-2026-31431, γνωστή και ως «Copy Fail», έχει δημοσιοποιηθεί.

Η ευπάθεια αφορά την κρυπτογραφική διεπαφή του Linux kernel, συγκεκριμένα τη διαδρομή algif_aead / AF_ALG. Στις επηρεαζόμενες εκδόσεις kernel, ένας τοπικός χρήστης χωρίς προνόμια μπορεί να κλιμακώσει τα προνόμιά του σε root. Οι αρχικοί ερευνητές περιγράφουν το θέμα ως επηρεάζον τις κύριες διανομές Linux με kernels που χτίστηκαν από το 2017 και μετά, με ιδιαίτερο κίνδυνο για servers πολλών χρηστών, πλατφόρμες containers, CI/CD runners και περιβάλλοντα πολλών tenants.

Το θέμα παρακολουθείται ως CVE-2026-31431. Η Ubuntu το βαθμολογεί ως High με CVSS 7.8, ενώ η Red Hat βαθμολογεί τον αντίκτυπο ως Important.

Η EuroVPS συνιστά όλοι οι επηρεαζόμενοι servers Linux να ελεγχθούν και να ενημερωθούν μόλις γίνουν διαθέσιμοι διορθωμένοι kernels ή μετριασμοί από τους κατασκευαστές.

---

Τι είναι η CVE-2026-31431;

Η CVE-2026-31431 είναι ευπάθεια του Linux kernel στο crypto subsystem. Το ελάττωμα σχετίζεται με μια λανθασμένη in-place λειτουργία στο algif_aead, όπου οι αντιστοιχίσεις πηγής και προορισμού διαφέρουν. Η upstream διόρθωση του kernel συνδέεται με το mainline commit a664bf3d603d, που αναιρεί την προβληματική βελτιστοποίηση του 2017.

Η ευπάθεια δεν είναι από μόνη της απομακρυσμένη δικτυακή ευπάθεια. Ωστόσο, αν ένας επιτιθέμενος έχει ήδη τοπική πρόσβαση σε shell, πρόσβαση μέσω παραβιασμένης web εφαρμογής, εκτέλεση σε container ή άλλο σημείο εισόδου, η ευπάθεια μπορεί να επιτρέψει κλιμάκωση σε πλήρη προνόμια root.

---

Επηρεαζόμενα λειτουργικά συστήματα και διορθώσεις / patches των κατασκευαστών

Η ευπάθεια μπορεί να επηρεάζει πολλές διανομές Linux με kernels που χτίστηκαν από το 2017 και μετά. Η κατάσταση διαφέρει ανά διανομή και kernel stream, οπότε η σωστή ενέργεια είναι να ακολουθήσετε την επίσημη ανακοίνωση του κατασκευαστή για το λειτουργικό σας.

1. AlmaLinux

Η AlmaLinux έχει κυκλοφορήσει διορθωμένους kernels για τις υποστηριζόμενες εκδόσεις. Οι επιβεβαιωμένες διορθωμένες εκδόσεις είναι:

Λειτουργικό	Διορθωμένη έκδοση kernel
AlmaLinux 8	kernel-4.18.0-553.121.1.el8_10 ή νεότερη
AlmaLinux 9	kernel-5.14.0-611.49.2.el9_7 ή νεότερη
AlmaLinux 10	kernel-6.12.0-124.52.2.el10_1 ή νεότερη
AlmaLinux Kitten 10	kernel-6.12.0-225.el10 ή νεότερη

Συνιστώμενη ενημέρωση:

sudo dnf clean all
sudo dnf upgrade 'kernel*'
sudo reboot

Επαλήθευση μετά την επανεκκίνηση:

uname -r
rpm -q kernel

2. Oracle Linux

Το Oracle Linux επηρεάζεται επίσης όταν τρέχει ευάλωτα builds του Linux kernel. Η Oracle έχει κυκλοφορήσει ενημερώσεις ασφαλείας Unbreakable Enterprise Kernel (UEK) για την CVE-2026-31431 μέσω επίσημων errata του Oracle Linux.

Έκδοση Oracle Linux / kernel stream	Διορθωμένος kernel / επίπεδο patch
Oracle Linux 7 / 8, UEK R6	kernel-uek-5.4.17-2136.354.4.2.el7uek / el8uek ή νεότερη
Oracle Linux 8 / 9, UEK R7	kernel-uek-5.15.0-319.201.4.4.el8uek / el9uek ή νεότερη
Oracle Linux 9 / 10, UEK R8	kernel-uek-6.12.0-201.74.2.2.el9uek / el10uek ή νεότερη

Η Oracle χαρακτηρίζει τις ενημερώσεις UEK ως SECURITY, IMPORTANT, κυκλοφόρησαν την 2026-05-01, και περιλαμβάνει την CVE-2026-31431 στις διορθώσεις crypto του kernel.

Συνιστώμενη ενημέρωση:

sudo dnf clean all
sudo dnf update 'kernel*'
sudo reboot

Για παλαιότερα συστήματα Oracle Linux που χρησιμοποιούν yum:

yum clean all
yum update 'kernel*'
reboot

Επαλήθευση Oracle Linux

cat /etc/oracle-release
uname -r
rpm -q kernel-uek
rpm -q kernel kernel-core

Βεβαιωθείτε ότι ο kernel που τρέχει, όπως τον δείχνει το uname -r, είναι ο διορθωμένος kernel, όχι απλώς εγκατεστημένος.

3. CloudLinux

Η CloudLinux επιβεβαιώνει ότι το CL7 δεν επηρεάζεται, ενώ τα CL7h, CL8, CL9 και CL10 επηρεάζονται. Τα CL7h και CL8 διορθώνονται μέσω kernels της CloudLinux, ενώ τα CL9 και CL10 χρησιμοποιούν ενημερώσεις kernel του AlmaLinux.

Οι επιβεβαιωμένες εκδόσεις-στόχοι της CloudLinux περιλαμβάνουν:

Λειτουργικό	Διορθωμένη έκδοση kernel
CloudLinux 7	Δεν επηρεάζεται
CloudLinux 7 Hybrid / CL7h	kernel-4.18.0-553.121.1.lve.el7h.x86_64 ή νεότερη
CloudLinux 8	kernel-4.18.0-553.121.1.lve.el8.x86_64 ή νεότερη
CloudLinux 9	kernel-5.14.0-611.49.2.el9_7 ή νεότερη
CloudLinux 10	kernel-6.12.0-124.52.2.el10_1 ή νεότερη

Συνιστώμενη ενημέρωση για CloudLinux 8 / 9 / 10:

sudo dnf clean metadata
sudo dnf upgrade 'kernel*'
sudo reboot

Για παλαιότερα συστήματα CloudLinux που χρησιμοποιούν yum:

yum update 'kernel*'
reboot

Επαλήθευση:

uname -r
rpm -q kernel

Για συστήματα με KernelCare:

kcarectl --update
kcarectl --info | grep CVE-2026-31431

Η CloudLinux αναφέρει ότι live patches KernelCare για πολλές επηρεαζόμενες διανομές, συμπεριλαμβανομένων των streams AlmaLinux, CloudLinux, Red Hat, Rocky, Oracle Linux, Ubuntu και Debian, κυκλοφόρησαν στο κύριο feed από τις 2 Μαΐου 2026.

---

4. Ubuntu

Η Ubuntu έχει δημοσιεύσει τόσο καταχώριση στο CVE tracker όσο και ειδική ανάρτηση στο blog της για το θέμα. Η Ubuntu αναφέρει ότι ο μετριασμός διανέμεται μέσω του πακέτου kmod και ότι η διόρθωση της ευπάθειας θα διανεμηθεί μέσω των πακέτων Linux kernel image.

Συνιστώμενη ενημέρωση:

sudo apt update
sudo apt upgrade
sudo reboot

Για να εφαρμόσετε μόνο το πακέτο μετριασμού, όπου εφαρμόζεται:

sudo apt update
sudo apt install --only-upgrade kmod
sudo reboot

Επαλήθευση:

uname -r
dpkg -l 'linux-image*' | grep ^ii
dpkg -l kmod

Για να ελέγξετε αν το επηρεαζόμενο module είναι φορτωμένο αυτή τη στιγμή:

grep -qE '^algif_aead ' /proc/modules && echo "Affected module is loaded" || echo "Affected module is NOT loaded"

Η Ubuntu τεκμηριώνει επίσης χειροκίνητο μετριασμό με κανόνα modprobe.d και αποφόρτωση του algif_aead, αλλά η προσέγγιση αυτή δεν είναι κατάλληλη για όλες τις διανομές, ιδίως για συστήματα της οικογένειας RHEL όπου η λειτουργικότητα μπορεί να είναι ενσωματωμένη στον kernel.

---

5. Debian

Ο security tracker του Debian αναφέρει διορθωμένες εκδόσεις για αρκετές εκδόσεις Debian:

Έκδοση Debian	Διορθωμένη έκδοση
Bullseye security	5.10.251-3
Bookworm security	6.1.170-1
Trixie security	6.12.85-1
Forky	6.19.14-1
Sid	7.0.3-1

Συνιστώμενη ενημέρωση:

sudo apt update
sudo apt upgrade
sudo reboot

Επαλήθευση:

uname -r
dpkg -l 'linux-image*' | grep ^ii

---

6. Red Hat Enterprise Linux

Η Red Hat έχει δημοσιεύσει δελτίο ασφαλείας και σελίδα CVE για την CVE-2026-31431. Η Red Hat την περιγράφει ως θέμα της κρυπτογραφικής διεπαφής του Linux kernel όπου ένας τοπικός χρήστης μπορεί να αποκτήσει προνόμια root. Η Red Hat βαθμολογεί το θέμα ως Important και αναφέρει ότι οι διορθώσεις κυκλοφορούν μέσω των σχετικών καναλιών της Red Hat.

Συνιστώμενη ενέργεια:

sudo dnf update 'kernel*'
sudo reboot

Επαλήθευση:

uname -r
rpm -q kernel
rpm -q kernel-core

Για συστήματα με συνδρομή Red Hat, ελέγξτε επίσης την επίσημη σελίδα CVE και τις ανακοινώσεις της Red Hat για το ακριβές διορθωμένο πακέτο της έκδοσης RHEL και του kernel stream σας.

---

7. SUSE

Η SUSE βαθμολογεί την CVE-2026-31431 ως important και παρακολουθεί την κατάσταση ανά προϊόν και πακέτο. Ορισμένα πακέτα SUSE 15 SP7 σημειώνονται ως κυκλοφορημένα, ενώ αρκετά streams SUSE 16 και SUSE Linux Micro εμφανίζονταν ακόμα ως επηρεαζόμενα ή σε εξέλιξη στη σελίδα CVE της SUSE τη στιγμή του ελέγχου.

Συνιστώμενη ενέργεια:

sudo zypper refresh
sudo zypper update
sudo reboot

Επαλήθευση:

uname -r
rpm -q kernel-default

Ελέγξτε τη σελίδα CVE της SUSE για την ακριβή κατάσταση πακέτων του προϊόντος, του service pack και της παραλλαγής kernel σας.

---

Προσωρινός μετριασμός αν δεν μπορείτε να ενημερώσετε άμεσα

Για συστήματα Oracle Linux / AlmaLinux / CloudLinux / οικογένειας RHEL

Για συστήματα της οικογένειας RHEL, ο ασφαλέστερος προσωρινός μετριασμός είναι να μπλοκάρετε το initcall algif_aead_init μέσω της γραμμής εντολών του kernel και να επανεκκινήσετε:

sudo grubby --update-kernel=ALL --args="initcall_blacklist=algif_aead_init"
sudo reboot

Επαλήθευση μετά την επανεκκίνηση:

cat /proc/cmdline | grep initcall_blacklist=algif_aead_init

ή:

sudo grubby --info=ALL | grep initcall_blacklist

Η CloudLinux προειδοποιεί ειδικά ότι ο συνηθισμένος μετριασμός με modprobe.d μπορεί να μη λειτουργεί σε CloudLinux, AlmaLinux ή άλλα συστήματα της οικογένειας RHEL, επειδή το algif_aead μπορεί να είναι ενσωματωμένο στον kernel. Σε αυτή την περίπτωση, το rmmod και οι κανόνες modprobe.d μπορούν να δώσουν ψευδή αίσθηση προστασίας.

Μετά την εγκατάσταση διορθωμένου kernel, μπορείτε να αφαιρέσετε τον προσωρινό μετριασμό:

sudo grubby --update-kernel=ALL --remove-args="initcall_blacklist=algif_aead_init"
sudo reboot

---

Για συστήματα Ubuntu / Debian

Η Ubuntu τεκμηριώνει τον ακόλουθο μετριασμό, όπου εφαρμόζεται:

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/manual-disable-algif_aead.conf
sudo rmmod algif_aead 2>/dev/null

Επαλήθευση:

grep -qE '^algif_aead ' /proc/modules && echo "Affected module is loaded" || echo "Affected module is NOT loaded"

Μπορεί να απαιτηθεί επανεκκίνηση αν το module δεν μπορεί να αποφορτωθεί με ασφάλεια.

---

Hardening για containers και Kubernetes

Για περιβάλλοντα με containers, η ενημέρωση του kernel του host παραμένει η βασική διόρθωση. Ωστόσο, συνιστάται έντονα πρόσθετος περιορισμός.

Η CERT-EU συνιστά τον αποκλεισμό της δημιουργίας sockets AF_ALG μέσω πολιτικών seccomp για φόρτους εργασίας σε containers και για CI/CD pipelines. Η Docker τεκμηριώνει το seccomp ως χαρακτηριστικό του Linux kernel που χρησιμοποιείται για τον περιορισμό των ενεργειών των containers, και το προεπιλεγμένο προφίλ seccomp της Docker χρησιμοποιεί μοντέλο allowlist.

Έλεγχος seccomp στη Docker:

grep CONFIG_SECCOMP= /boot/config-$(uname -r)

Αναμενόμενο:

CONFIG_SECCOMP=y

Τρέξτε τα containers με το προεπιλεγμένο προφίλ seccomp, εκτός αν υπάρχει συγκεκριμένος λόγος να μην το κάνετε:

docker run --security-opt seccomp=default.json ...

Για Kubernetes, χρησιμοποιήστε RuntimeDefault ή ένα προσαρμοσμένο προφίλ seccomp όπου είναι κατάλληλο. Το Kubernetes υποστηρίζει την εφαρμογή προφίλ seccomp σε Pods και containers, και η τεκμηρίωσή του δίνει οδηγίες για τη φόρτωση και την εφαρμογή προφίλ.

Παράδειγμα security context στο Kubernetes:

securityContext:
  seccompProfile:
    type: RuntimeDefault

---

Πρόσθετο βήμα για servers LiteSpeed Enterprise

Για servers που τρέχουν LiteSpeed Enterprise, ιδίως σε περιβάλλοντα hosting με CloudLinux / CageFS, η EuroVPS συνιστά την εφαρμογή του ακόλουθου πρόσθετου βήματος hardening για το LiteSpeed.

Πρόκειται για πρόσθετο hardening για servers με το binary lscgid του LiteSpeed. Η ενημέρωση kernel ή ο μετριασμός παραπάνω εξακολουθούν να απαιτούνται.

Το LiteSpeed 6.3.5 αναφέρεται από τη LiteSpeed ως έκδοση ασφαλείας, tuning και διόρθωσης σφαλμάτων, που περιλαμβάνει αλλαγές σχετικές με το CloudLinux CageFS. Η ίδια η τεκμηρίωση της LiteSpeed δείχνει επίσης ότι το lscgid χρησιμοποιεί ιστορικά το δικαίωμα setuid στην κανονική λειτουργία LiteSpeed/PHP.

Βήμα 2: hardening του binary lscgid

Πρώτα ελέγξτε αν είναι εγκατεστημένο το LiteSpeed:

/usr/local/lsws/bin/lshttpd -v

Στη συνέχεια επιλέξτε μία από τις ακόλουθες επιλογές.

Επιλογή A: αναβάθμιση σε LiteSpeed Enterprise 6.3.5 Build 5 ή νεότερο (συνιστάται)

Αυτή είναι η προτιμώμενη επιλογή. Η αναβάθμιση του LiteSpeed χειρίζεται αυτόματα το απαιτούμενο hardening δικαιωμάτων του lscgid:

/usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.5

Μετά την αναβάθμιση, επανεκκινήστε το LiteSpeed αν απαιτείται:

/usr/local/lsws/bin/lswsctrl restart

Επιλογή B: γρήγορη διόρθωση αν δεν είστε έτοιμοι να αναβαθμίσετε

Αν δεν μπορείτε να αναβαθμίσετε το LiteSpeed άμεσα, αφαιρέστε χειροκίνητα το δικαίωμα setuid από το binary lscgid τώρα:

chmod u-s /usr/local/lsws/bin/lscgid.*

Στη συνέχεια επανεκκινήστε το LiteSpeed:

/usr/local/lsws/bin/lswsctrl restart

Λίστα ελέγχου επαλήθευσης

Εκτελέστε τους ακόλουθους ελέγχους μετά την εφαρμογή ενημερώσεων ή μετριασμών.

1. Εντοπισμός λειτουργικού και kernel

cat /etc/os-release
uname -r

2. Έλεγχος εγκατεστημένων πακέτων kernel

Συστήματα βασισμένα σε RPM:

rpm -q kernel
rpm -q kernel-core

Συστήματα Debian/Ubuntu:

dpkg -l 'linux-image*' | grep ^ii

3. Επιβεβαίωση ότι ο kernel που τρέχει είναι ο διορθωμένος

Μετά την επανεκκίνηση:

uname -r

Συγκρίνετε την έκδοση του kernel που τρέχει με την επίσημη διορθωμένη έκδοση του κατασκευαστή για το λειτουργικό σας.

4. Επιβεβαίωση ότι ο μετριασμός είναι ενεργός, αν χρησιμοποιήθηκε

Για συστήματα της οικογένειας RHEL με μετριασμό grubby:

cat /proc/cmdline | grep initcall_blacklist=algif_aead_init

Για μετριασμό module σε Ubuntu/Debian:

grep -qE '^algif_aead ' /proc/modules && echo "Affected module is loaded" || echo "Affected module is NOT loaded"

5. Επαλήθευση KernelCare

kcarectl --update
kcarectl --info | grep CVE-2026-31431

Η CVE πρέπει να εμφανίζεται ως διορθωμένη στην έξοδο του KernelCare όπου υπάρχει διαθέσιμο live patch.

---

Σημαντικές λειτουργικές σημειώσεις

Μην τρέχετε δημόσιο κώδικα proof-of-concept exploit σε servers παραγωγής.

---

Συνιστώμενο σχέδιο δράσης της EuroVPS

Η EuroVPS συνιστά το ακόλουθο σχέδιο δράσης:

1. Πέρα από το patch και την επανεκκίνηση: εφαρμόστε πολιτικές seccomp στους φόρτους εργασίας σε containers, αποσύρετε τα λειτουργικά συστήματα που βρίσκονται στο τέλος ζωής τους, και σε LiteSpeed Enterprise αναβαθμίστε σε 6.3.5 Build 5 ή αφαιρέστε το setuid bit από το lscgid.

Χρειάζεστε βοήθεια;

Αν θέλετε οι μηχανικοί μας να ελέγξουν, να ενημερώσουν, να μετριάσουν και να επαληθεύσουν τον server σας, ανοίξτε ένα ticket υποστήριξης από την περιοχή πελατών με το hostname ή την IP. Μοιραστείτε πρόσβαση root μόνο μέσω του ασφαλούς πεδίου διαπιστευτηρίων του ticket, ποτέ στο κείμενο του ticket.

Επίσημοι σύνδεσμοι κατασκευαστών και αναφορές:

[1] Επίσημη δημοσιοποίηση Copy Fail: https://copy.fail/ [2] Ubuntu CVE tracker, CVE-2026-31431: https://ubuntu.com/security/CVE-2026-31431 [3] Ubuntu blog, διαθέσιμες διορθώσεις για την ευπάθεια Copy Fail: https://ubuntu.com/blog/copy-fail-vulnerability-fixes-available [4] Ανακοίνωση AlmaLinux, CVE-2026-31431 Copy Fail: https://almalinux.org/blog/2026-05-01-cve-2026-31431-copy-fail/ [5] CloudLinux blog, ενημέρωση kernel για την CVE-2026-31431 Copy Fail: https://blog.cloudlinux.com/cve-2026-31431-copy-fail-kernel-update [6] Σελίδα περιστατικού / κατάστασης CloudLinux: https://cloudlinux.statuspage.io/incidents/642sgcmntkkk [7] Σελίδα CVE της Red Hat, CVE-2026-31431: https://access.redhat.com/security/cve/CVE-2026-31431 [8] Δελτίο ασφαλείας Red Hat: https://access.redhat.com/security/vulnerabilities/RHSB-2026-02 [9] Σελίδα CVE της SUSE, CVE-2026-31431: https://www.suse.com/security/cve/CVE-2026-31431 [10] Debian security tracker, CVE-2026-31431: https://security-tracker.debian.org/tracker/CVE-2026-31431 [11] Τεκμηρίωση seccomp της Docker: https://docs.docker.com/engine/security/seccomp/ [12] Τεκμηρίωση seccomp του Kubernetes: https://kubernetes.io/docs/tutorials/security/seccomp/ [13] Oracle Linux 7 / 8, UEK R6: https://linux.oracle.com/errata/ELSA-2026-50255.html [14] Oracle Linux 8 / 9, UEK R7: https://linux.oracle.com/errata/ELSA-2026-50253.html [15] Oracle Linux 9 / 10, UEK R8: https://linux.oracle.com/errata/ELSA-2026-50254.html