Copy Fail（CVE-2026-31431）：
732 字节拿下 Linux Root
---
Xint Code 最近披露了一个非常危险的 Linux 内核本地提权漏洞
它似乎影响几乎所有2017年后的主流 Linux 发行版，
包括Ubuntu、Debian、RHEL、Amazon Linux、SUSE 等。
---
这个漏洞最夸张的地方在于，普通用户，可以靠732字节的Python PoC，就能稳定提权到 root
---
漏洞原理
---
Copy Fail 是 Linux 内核加密子系统（AF_ALG / algif_aead / authencesn）中的一个逻辑漏洞。
---
攻击者可以借助 AF_ALG + splice()，向任意可读文件的 page cache写入可控的 4 字节数据。
---
重点在于：
改的是内存中的 page cache而不是磁盘上的原文件，所以文件hash看起来是绝对正常的，但系统实际运行时，读到的是被篡改后的内容，这意味着攻击者似乎可以直接污染很多setuid程序的缓存内容，随后执行并拿到root
---
而且由于 page cache 是内核全局共享的，似乎可以用来容器逃逸（？）
---
所以，赶快，升级，你的Linux设施
---
源：https://xint.io/blog/copy-fail-linux-distributions
源：https://ubuntu.com/security/CVE-2026-31431
732 字节拿下 Linux Root
---
Xint Code 最近披露了一个非常危险的 Linux 内核本地提权漏洞
它似乎影响几乎所有2017年后的主流 Linux 发行版，
包括Ubuntu、Debian、RHEL、Amazon Linux、SUSE 等。
---
这个漏洞最夸张的地方在于，普通用户，可以靠732字节的Python PoC，就能稳定提权到 root
---
漏洞原理
---
Copy Fail 是 Linux 内核加密子系统（AF_ALG / algif_aead / authencesn）中的一个逻辑漏洞。
---
攻击者可以借助 AF_ALG + splice()，向任意可读文件的 page cache写入可控的 4 字节数据。
---
重点在于：
改的是内存中的 page cache而不是磁盘上的原文件，所以文件hash看起来是绝对正常的，但系统实际运行时，读到的是被篡改后的内容，这意味着攻击者似乎可以直接污染很多setuid程序的缓存内容，随后执行并拿到root
---
而且由于 page cache 是内核全局共享的，似乎可以用来容器逃逸（？）
---
所以，赶快，升级，你的Linux设施
---
源：https://xint.io/blog/copy-fail-linux-distributions
源：https://ubuntu.com/security/CVE-2026-31431
xint.io
Copy Fail: 732 Bytes to Root on Every Major Linux Distribution. - Xint
Xint Code disclosed CVE-2026-31431, an authencesn scratch-write bug chaining AF_ALG + splice() into a 4-byte page cache write. A 732-byte PoC gets root on Ubuntu, Amazon Linux, RHEL, SUSE. | AI for Security, Vulnerability Research
