CVE-2026-31431 «Copy Fail»: falha do kernel Linux

Resumo

Foi divulgada publicamente uma vulnerabilidade de escalada local de privilégios de alto impacto no kernel Linux, a CVE-2026-31431, também conhecida como «Copy Fail».

Esta vulnerabilidade afeta a interface criptográfica do kernel Linux, concretamente o caminho algif_aead / AF_ALG. Nas versões de kernel afetadas, um utilizador local sem privilégios pode conseguir escalar os seus privilégios para root. Os investigadores originais descrevem o problema como afetando as principais distribuições Linux com kernels construídos desde 2017, com risco particular para servidores multiutilizador, plataformas de containers, runners de CI/CD e ambientes multi-tenant.

O problema é registado como CVE-2026-31431. A Ubuntu classifica-o como High com CVSS 7.8, enquanto a Red Hat classifica o impacto como Important.

A EuroVPS recomenda que todos os servidores Linux afetados sejam revistos e corrigidos assim que estejam disponíveis kernels corrigidos ou mitigações dos fornecedores.

---

O que é a CVE-2026-31431?

A CVE-2026-31431 é uma vulnerabilidade do kernel Linux no subsistema crypto. A falha está relacionada com uma operação in-place incorreta em algif_aead, em que os mapeamentos de origem e de destino diferem. A correção upstream do kernel está associada ao commit mainline a664bf3d603d, que reverte a otimização problemática de 2017.

A vulnerabilidade não é, por si só, uma vulnerabilidade remota de rede. No entanto, se um atacante já tiver acesso local a shell, acesso através de uma aplicação web comprometida, execução num container ou outro ponto de entrada, esta vulnerabilidade pode permitir a escalada para privilégios de root completos.

---

Sistemas operativos afetados e correções / patches dos fornecedores

A vulnerabilidade pode afetar muitas distribuições Linux com kernels construídos desde 2017. O estado varia por distribuição e por kernel stream, pelo que a ação correta é seguir o aviso oficial do fornecedor do seu sistema operativo.

1. AlmaLinux

A AlmaLinux lançou kernels corrigidos para as versões suportadas. As versões corrigidas confirmadas são:

Sistema operativo	Versão do kernel corrigida
AlmaLinux 8	kernel-4.18.0-553.121.1.el8_10 ou posterior
AlmaLinux 9	kernel-5.14.0-611.49.2.el9_7 ou posterior
AlmaLinux 10	kernel-6.12.0-124.52.2.el10_1 ou posterior
AlmaLinux Kitten 10	kernel-6.12.0-225.el10 ou posterior

Atualização recomendada:

sudo dnf clean all
sudo dnf upgrade 'kernel*'
sudo reboot

Verificação depois de reiniciar:

uname -r
rpm -q kernel

2. Oracle Linux

O Oracle Linux também é afetado quando executa builds vulneráveis do kernel Linux. A Oracle lançou atualizações de segurança do Unbreakable Enterprise Kernel (UEK) para a CVE-2026-31431 através de errata oficiais do Oracle Linux.

Versão do Oracle Linux / kernel stream	Kernel corrigido / nível de patch
Oracle Linux 7 / 8, UEK R6	kernel-uek-5.4.17-2136.354.4.2.el7uek / el8uek ou posterior
Oracle Linux 8 / 9, UEK R7	kernel-uek-5.15.0-319.201.4.4.el8uek / el9uek ou posterior
Oracle Linux 9 / 10, UEK R8	kernel-uek-6.12.0-201.74.2.2.el9uek / el10uek ou posterior

A Oracle classifica as atualizações UEK como SECURITY, IMPORTANT, lançadas a 2026-05-01, e inclui a CVE-2026-31431 nas correções crypto do kernel.

Atualização recomendada:

sudo dnf clean all
sudo dnf update 'kernel*'
sudo reboot

Para sistemas Oracle Linux mais antigos que utilizam yum:

yum clean all
yum update 'kernel*'
reboot

Verificação no Oracle Linux

cat /etc/oracle-release
uname -r
rpm -q kernel-uek
rpm -q kernel kernel-core

Certifique-se de que o kernel em execução, mostrado por uname -r, é o kernel corrigido, e não apenas instalado.

3. CloudLinux

A CloudLinux confirma que o CL7 não é afetado, enquanto o CL7h, CL8, CL9 e CL10 são afetados. O CL7h e o CL8 são corrigidos através de kernels da CloudLinux, enquanto o CL9 e o CL10 utilizam atualizações de kernel do AlmaLinux.

As versões alvo confirmadas pela CloudLinux incluem:

Sistema operativo	Versão do kernel corrigida
CloudLinux 7	Não afetado
CloudLinux 7 Hybrid / CL7h	kernel-4.18.0-553.121.1.lve.el7h.x86_64 ou posterior
CloudLinux 8	kernel-4.18.0-553.121.1.lve.el8.x86_64 ou posterior
CloudLinux 9	kernel-5.14.0-611.49.2.el9_7 ou posterior
CloudLinux 10	kernel-6.12.0-124.52.2.el10_1 ou posterior

Atualização recomendada para CloudLinux 8 / 9 / 10:

sudo dnf clean metadata
sudo dnf upgrade 'kernel*'
sudo reboot

Para sistemas CloudLinux mais antigos que utilizam yum:

yum update 'kernel*'
reboot

Verificação:

uname -r
rpm -q kernel

Para sistemas com KernelCare:

kcarectl --update
kcarectl --info | grep CVE-2026-31431

A CloudLinux indica que os live patches KernelCare para muitas distribuições afetadas, incluindo os streams AlmaLinux, CloudLinux, Red Hat, Rocky, Oracle Linux, Ubuntu e Debian, foram lançados no feed principal a 2 de maio de 2026.

---

4. Ubuntu

A Ubuntu publicou tanto uma entrada no CVE tracker como uma publicação dedicada no seu blog sobre este problema. A Ubuntu indica que a mitigação é distribuída através do pacote kmod e que a correção da vulnerabilidade é distribuída através dos pacotes de imagem do kernel Linux.

Atualização recomendada:

sudo apt update
sudo apt upgrade
sudo reboot

Para aplicar apenas o pacote de mitigação, onde aplicável:

sudo apt update
sudo apt install --only-upgrade kmod
sudo reboot

Verificação:

uname -r
dpkg -l 'linux-image*' | grep ^ii
dpkg -l kmod

Para verificar se o módulo afetado está carregado neste momento:

grep -qE '^algif_aead ' /proc/modules && echo "Affected module is loaded" || echo "Affected module is NOT loaded"

A Ubuntu documenta também uma mitigação manual com uma regra modprobe.d e o descarregamento do algif_aead, mas esta abordagem não é adequada para todas as distribuições, em especial para sistemas da família RHEL em que a funcionalidade pode estar integrada no kernel.

---

5. Debian

O security tracker do Debian indica versões corrigidas para várias versões do Debian:

Versão do Debian	Versão corrigida
Bullseye security	5.10.251-3
Bookworm security	6.1.170-1
Trixie security	6.12.85-1
Forky	6.19.14-1
Sid	7.0.3-1

Atualização recomendada:

sudo apt update
sudo apt upgrade
sudo reboot

Verificação:

uname -r
dpkg -l 'linux-image*' | grep ^ii

---

6. Red Hat Enterprise Linux

A Red Hat publicou um boletim de segurança e uma página CVE para a CVE-2026-31431. A Red Hat descreve-a como um problema da interface criptográfica do kernel Linux em que um utilizador local pode obter privilégios de root. A Red Hat classifica o problema como Important e indica que as correções estão a ser lançadas através dos canais relevantes da Red Hat.

Ação recomendada:

sudo dnf update 'kernel*'
sudo reboot

Verificação:

uname -r
rpm -q kernel
rpm -q kernel-core

Para sistemas com subscrição Red Hat, consulte também a página CVE oficial e os avisos da Red Hat para o pacote corrigido exato da sua versão RHEL e do seu kernel stream.

---

7. SUSE

A SUSE classifica a CVE-2026-31431 como important e acompanha o estado por produto e por pacote. Alguns pacotes do SUSE 15 SP7 estão marcados como lançados, enquanto vários streams do SUSE 16 e do SUSE Linux Micro ainda constavam como afetados ou em curso na página CVE da SUSE no momento da consulta.

Ação recomendada:

sudo zypper refresh
sudo zypper update
sudo reboot

Verificação:

uname -r
rpm -q kernel-default

Consulte a página CVE da SUSE para o estado exato dos pacotes do seu produto, service pack e variante de kernel.

---

Mitigação temporária se não puder atualizar de imediato

Para sistemas Oracle Linux / AlmaLinux / CloudLinux / família RHEL

Para sistemas da família RHEL, a mitigação temporária mais segura é bloquear o initcall algif_aead_init através da linha de comandos do kernel e reiniciar:

sudo grubby --update-kernel=ALL --args="initcall_blacklist=algif_aead_init"
sudo reboot

Verificação depois de reiniciar:

cat /proc/cmdline | grep initcall_blacklist=algif_aead_init

ou:

sudo grubby --info=ALL | grep initcall_blacklist

A CloudLinux avisa especificamente que a mitigação habitual com modprobe.d pode não funcionar em CloudLinux, AlmaLinux ou outros sistemas da família RHEL, porque o algif_aead pode estar integrado no kernel. Nesse caso, o rmmod e as regras modprobe.d podem dar uma falsa sensação de proteção.

Depois de instalar um kernel corrigido, pode remover a mitigação temporária:

sudo grubby --update-kernel=ALL --remove-args="initcall_blacklist=algif_aead_init"
sudo reboot

---

Para sistemas Ubuntu / Debian

A Ubuntu documenta a seguinte mitigação, onde aplicável:

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/manual-disable-algif_aead.conf
sudo rmmod algif_aead 2>/dev/null

Verificação:

grep -qE '^algif_aead ' /proc/modules && echo "Affected module is loaded" || echo "Affected module is NOT loaded"

Pode ser necessário reiniciar se o módulo não puder ser descarregado em segurança.

---

Hardening para containers e Kubernetes

Em ambientes com containers, a atualização do kernel do host continua a ser a correção principal. No entanto, recomenda-se vivamente uma contenção adicional.

A CERT-EU recomenda bloquear a criação de sockets AF_ALG através de políticas seccomp para cargas de trabalho em containers e para pipelines de CI/CD. A Docker documenta o seccomp como uma funcionalidade do kernel Linux utilizada para restringir as ações dos containers, e o perfil seccomp predefinido da Docker utiliza um modelo de allowlist.

Verificação do seccomp na Docker:

grep CONFIG_SECCOMP= /boot/config-$(uname -r)

Esperado:

CONFIG_SECCOMP=y

Execute os containers com o perfil seccomp predefinido, salvo se houver um motivo específico para não o fazer:

docker run --security-opt seccomp=default.json ...

Para Kubernetes, utilize RuntimeDefault ou um perfil seccomp personalizado onde for adequado. O Kubernetes suporta a aplicação de perfis seccomp a Pods e containers, e a documentação do Kubernetes dá orientação sobre como carregar e aplicar perfis.

Exemplo de security context no Kubernetes:

securityContext:
  seccompProfile:
    type: RuntimeDefault

---

Passo adicional para servidores LiteSpeed Enterprise

Para servidores que executam LiteSpeed Enterprise, em especial em ambientes de hosting com CloudLinux / CageFS, a EuroVPS recomenda aplicar o seguinte passo adicional de hardening do LiteSpeed.

Trata-se de hardening adicional para servidores com o binário lscgid do LiteSpeed. A atualização do kernel ou a mitigação acima continuam a ser necessárias.

O LiteSpeed 6.3.5 é indicado pela LiteSpeed como uma versão de segurança, tuning e correção de erros, que inclui alterações relacionadas com o CloudLinux CageFS. A própria documentação da LiteSpeed mostra também que o lscgid utiliza historicamente a permissão setuid no funcionamento normal do LiteSpeed/PHP.

Passo 2: hardening do binário lscgid

Primeiro verifique se o LiteSpeed está instalado:

/usr/local/lsws/bin/lshttpd -v

Depois escolha uma das opções seguintes.

Opção A: atualizar para LiteSpeed Enterprise 6.3.5 Build 5 ou posterior (recomendado)

Esta é a opção preferida. A atualização do LiteSpeed trata automaticamente do hardening de permissões necessário do lscgid:

/usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.5

Depois da atualização, reinicie o LiteSpeed se necessário:

/usr/local/lsws/bin/lswsctrl restart

Opção B: correção rápida se não estiver pronto para atualizar

Se não puder atualizar o LiteSpeed de imediato, remova manualmente a permissão setuid do binário lscgid agora:

chmod u-s /usr/local/lsws/bin/lscgid.*

Depois reinicie o LiteSpeed:

/usr/local/lsws/bin/lswsctrl restart

Lista de verificação

Execute as seguintes verificações depois de aplicar atualizações ou mitigações.

1. Identificar o sistema operativo e o kernel

cat /etc/os-release
uname -r

2. Verificar os pacotes de kernel instalados

Sistemas baseados em RPM:

rpm -q kernel
rpm -q kernel-core

Sistemas Debian/Ubuntu:

dpkg -l 'linux-image*' | grep ^ii

3. Confirmar que o kernel em execução é o kernel corrigido

Depois de reiniciar:

uname -r

Compare a versão do kernel em execução com a versão oficial corrigida pelo fornecedor para o seu sistema operativo.

4. Confirmar que a mitigação está ativa, se utilizada

Para sistemas da família RHEL com a mitigação grubby:

cat /proc/cmdline | grep initcall_blacklist=algif_aead_init

Para a mitigação de módulo em Ubuntu/Debian:

grep -qE '^algif_aead ' /proc/modules && echo "Affected module is loaded" || echo "Affected module is NOT loaded"

5. Verificação do KernelCare

kcarectl --update
kcarectl --info | grep CVE-2026-31431

A CVE deve aparecer como corrigida no resultado do KernelCare onde existir um live patch disponível.

---

Notas operacionais importantes

Não execute código público de prova de conceito de exploit em servidores de produção.

---

Plano de ação recomendado pela EuroVPS

A EuroVPS recomenda o seguinte plano de ação:

1. Para além do patch e do reinício: aplique políticas seccomp às cargas de trabalho em containers, retire de serviço os sistemas operativos em fim de vida e, em LiteSpeed Enterprise, atualize para 6.3.5 Build 5 ou remova o bit setuid do lscgid.

Precisa de ajuda?

Se quiser que os nossos engenheiros verifiquem, atualizem, mitiguem e validem o seu servidor, abra um ticket de suporte a partir da área de cliente com o hostname ou o IP. Partilhe o acesso root apenas através do campo seguro de credenciais do ticket, nunca no texto do ticket.

Ligações oficiais dos fornecedores e referências:

[1] Divulgação oficial da Copy Fail: https://copy.fail/ [2] CVE tracker da Ubuntu, CVE-2026-31431: https://ubuntu.com/security/CVE-2026-31431 [3] Blog da Ubuntu, correções disponíveis para a vulnerabilidade Copy Fail: https://ubuntu.com/blog/copy-fail-vulnerability-fixes-available [4] Aviso da AlmaLinux, CVE-2026-31431 Copy Fail: https://almalinux.org/blog/2026-05-01-cve-2026-31431-copy-fail/ [5] Blog da CloudLinux, atualização do kernel para a CVE-2026-31431 Copy Fail: https://blog.cloudlinux.com/cve-2026-31431-copy-fail-kernel-update [6] Página de incidente / estado da CloudLinux: https://cloudlinux.statuspage.io/incidents/642sgcmntkkk [7] Página CVE da Red Hat, CVE-2026-31431: https://access.redhat.com/security/cve/CVE-2026-31431 [8] Boletim de segurança da Red Hat: https://access.redhat.com/security/vulnerabilities/RHSB-2026-02 [9] Página CVE da SUSE, CVE-2026-31431: https://www.suse.com/security/cve/CVE-2026-31431 [10] Security tracker do Debian, CVE-2026-31431: https://security-tracker.debian.org/tracker/CVE-2026-31431 [11] Documentação seccomp da Docker: https://docs.docker.com/engine/security/seccomp/ [12] Documentação seccomp do Kubernetes: https://kubernetes.io/docs/tutorials/security/seccomp/ [13] Oracle Linux 7 / 8, UEK R6: https://linux.oracle.com/errata/ELSA-2026-50255.html [14] Oracle Linux 8 / 9, UEK R7: https://linux.oracle.com/errata/ELSA-2026-50253.html [15] Oracle Linux 9 / 10, UEK R8: https://linux.oracle.com/errata/ELSA-2026-50254.html