Copy Fail: vulnerabilidad crítica que permite secuestrar Linux con acceso root (CVE-2026-31431)

La vulnerabilidad CVE-2026-31431, conocida como Copy Fail, es un pequeño script de 732 bytes capaz de otorgar a un usuario normal acceso completo como root. No requiere condiciones de carrera, trucos de sincronización ni intentos repetidos: funciona siempre, sin excepciones.

CVE-2026-31431 es una vulnerabilidad crítica de Escalamiento de Privilegios Locales (LPE) que desafía las suposiciones de confianza en el kernel de Linux. Demuestra que incluso operaciones aparentemente inocuas pueden esconder fallas de seguridad profundas.

Lo más preocupante es que esta vulnerabilidad permaneció oculta durante años, sin activar alarmas. Fue descubierta gracias a la inteligencia artificial, tras una investigación de Taeyang Lee (Theori) sobre cómo el subsistema criptográfico de Linux interactúa con la caché de páginas. Usando Xint Code, se analizó todo el subsistema y Copy Fail emergió como el hallazgo más grave.

El método de ataque es sigiloso: no modifica archivos en disco, sino que corrompe la caché de páginas, utilizada por el sistema para leer y ejecutar archivos. Aunque los archivos parecen intactos y las sumas de verificación coinciden, su versión en memoria está alterada. El kernel confía en esta caché, por lo que si se inyectan bytes en la copia en caché de un binario como /usr/bin/su, su ejecución otorga privilegios de root sin dejar rastro en el disco.

Comparado con vulnerabilidades anteriores como Dirty Cow (CVE-2016-5195) o Dirty Pipe (CVE-2022-0847), Copy Fail es más limpio, confiable y efectivo. No requiere condiciones complejas ni intentos repetidos.

El aspecto más alarmante es su impacto en entornos de contenedores. La caché de páginas es compartida, lo que permite que el ataque salte entre contenedores. Un proceso con pocos privilegios dentro de un contenedor podría comprometer el host o cargas de trabajo vecinas, un riesgo crítico para infraestructuras multiinquilino.

La causa raíz radica en una mala suposición en el subsistema criptográfico del kernel. Un modo llamado authencesn escribe bytes más allá de lo permitido, corrompiendo el contenido en caché de archivos. Cuatro bytes en el lugar equivocado bastan para comprometer todo el sistema.

La solución ya está en marcha: eliminar la optimización que habilitó la vulnerabilidad, aunque esto implique un ajuste de rendimiento.

Esta no es una vulnerabilidad teórica. Es simple, portátil y confiable: una combinación peligrosa.

Qué hacer

Parchear ahora, repensar la seguridad a largo plazo. CVE-2026-31431 es una vulnerabilidad crítica de escalamiento de privilegios con alto impacto, presente en kernels de Linux desde 2017. Su facilidad de explotación mediante un script mínimo la convierte en una amenaza inmediata.

• Parchear inmediatamente: aplicar todas las actualizaciones del kernel disponibles para corregir CVE-2026-31431. Esto es prioritario para todos los sistemas Linux.
• Auditar accesos locales: restringir el acceso de usuarios locales a sistemas críticos. Aunque "Copy Fail" requiere acceso inicial, limitar puntos de entrada es una buena práctica.
• Controlar escapes de contenedores: en entornos como Docker o Kubernetes, asumir que los nodos son vulnerables si no están parcheados. Aislar cargas de trabajo y actualizar los kernels del host.

A qué prestar atención

• Exploits públicos: se espera que herramientas de explotación se difundan rápidamente. La baja complejidad del ataque lo convierte en un objetivo para atacantes oportunistas.
• Errores lógicos futuros: "Copy Fail" destaca una clase de fallos sutiles difíciles de detectar. Se anticipa un mayor escrutinio en código de bajo nivel y alta confianza.
• Seguridad en la cadena de suministro: exigir revisiones más rigurosas, verificación formal y análisis estático avanzado a proveedores y proyectos de código abierto.

Mitigación

Deshabilitar el módulo vulnerable del kernel:

# echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
# rmmod algif_aead
# lsmod | grep algif

Para verificar si el módulo sigue cargable (y por tanto, la mitigación falló):

$ python3 -c 'import socket;
  s = socket.socket(socket.AF_ALG, socket.SOCK_SEQPACKET, 0);
  s.bind(("aead","authencesn(hmac(sha256),cbc(aes))"));
  print("algif_aead successfully loaded, mitigation not effective; remove it with: # rmmod algif_aead")'

Si el script imprime el mensaje de error, el sistema sigue siendo vulnerable.

Fuente: Xint-io