Se ha revelado públicamente una vulnerabilidad crítica de día cero en el kernel de Linux, que permite a cualquier usuario local sin privilegios obtener acceso de root en prácticamente todas las distribuciones principales de Linux lanzadas desde 2017. Apodada “Copy Fail” y registrada como CVE-2026-31431, la falla fue descubierta por el investigador de Theori Taeyang Lee y escalada a una cadena de explotación completa por el equipo.

Una vulnerabilidad crítica de día cero en el kernel de Linux ha sido revelada públicamente, permitiendo a cualquier usuario local sin privilegios obtener acceso de root en prácticamente todas las distribuciones principales de Linux lanzadas desde 2017.

Apodada “Copy Fail” y registrada como CVE-2026-31431, la falla fue descubierta por el investigador de Theori Taeyang Lee y escalada a una cadena de explotación completa por el equipo de investigación Xint Code utilizando análisis asistido por IA.

• https://xint.io/blog/copy-fail-linux-distributions

Copy Fail es un error lógico de línea recta, no una condición de carrera, en la plantilla criptográfica authencesn del kernel de Linux, accesible a través de la interfaz de socket AF_ALG combinada con la llamada al sistema splice().

A diferencia de sus predecesores como Dirty Cow (CVE-2016-5195) o Dirty Pipe (CVE-2022-0847), esta vulnerabilidad no requiere ganar una carrera, ni offsets de versión del kernel, ni recompilación, ni payloads compilados.

Vulnerabilidad 0-Day en el Kernel de Linux “Copy Fail”

Un único script de Python de 732 bytes, que utiliza solo módulos de la biblioteca estándar, logra obtener root de manera determinista en todas las distribuciones y arquitecturas probadas.

El exploit apunta a la caché de páginas del kernel, la representación en memoria de los archivos, al desencadenar una escritura controlada de 4 bytes en una página de la caché de páginas perteneciente a cualquier archivo legible por el atacante.

Dado que el kernel de Linux nunca marca la página corrupta como sucia para su escritura en disco, el archivo en disco permanece intacto, lo que hace que las herramientas estándar de integridad de archivos basadas en checksums no detecten la modificación. El atacante luego ejecuta la versión corrupta en memoria de un binario setuid como /usr/bin/su, logrando la ejecución de un shell con privilegios de root.

La vulnerabilidad se origina en una optimización in situ introducida en 2017 en algif_aead.c (commit 72548b093ee3). Cuando un usuario empalma un archivo en una tubería y lo alimenta a un socket AF_ALG, la lista de dispersión de entrada AEAD contiene referencias directas a las páginas físicas de la caché de páginas del kernel de ese archivo, no copias.

Para las operaciones de descifrado AEAD, algif_aead.c establece req->src = req->dst, haciendo que tanto el origen como el destino apunten a la misma lista de dispersión combinada.

Esto colocó páginas de la caché de páginas en una lista de dispersión de destino escribible. El algoritmo authencesn, utilizado por IPsec para el soporte de Número de Secuencia Extendido (ESN) de 64 bits, luego usa el búfer de destino del llamador como espacio de trabajo para reorganizar los bytes ESN, escribiendo 4 bytes en el desplazamiento assoclen + cryptlen más allá del límite de salida declarado, directamente en las páginas encadenadas de la caché de páginas.

Tres cambios de código independientes y razonables realizados en 2011, 2015 y 2017 convergieron para crear esta condición explotable, sin que nadie conectara su intersección durante casi una década.

El mismo script de exploit sin modificar logró un shell de root en las cuatro plataformas probadas:

La vulnerabilidad fue introducida con el kernel 4.14 y afecta a todas las distribuciones hasta la línea sin parches.

Más allá de la escalada de privilegios local, Copy Fail funciona como un primitivo de escape de contenedores Kubernetes. Dado que la caché de páginas es compartida entre todos los procesos en un host, incluyendo a través de los límites de los contenedores, un contenedor comprometido puede corromper binarios setuid visibles para otros contenedores y el kernel del host. La segunda parte de la serie de investigación de Xint Code cubre el compromiso completo de nodos Kubernetes.

Parche y Mitigación

La solución oficial (commit a664bf3d603d) revierte algif_aead.c a la operación AEAD fuera de lugar, separando permanentemente la lista de dispersión TX (que puede contener páginas de la caché de páginas) de la lista de dispersión RX (el búfer de salida del usuario).

Esto elimina el mecanismo sg_chain() que vinculaba las páginas de la caché de páginas a un destino escribible.

Mitigaciones inmediatas mientras se actualiza el kernel:

• Aplica el parche del kernel upstream a través del canal de actualizaciones de tu distribución.
• Desactiva el módulo del kernel algif_aead para eliminar la superficie de ataque:

bashecho "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif-aead.conf
rmmod algif_aead 2>/dev/null

La vulnerabilidad fue reportada al equipo de seguridad del kernel de Linux el 23 de marzo de 2026, con parches comprometidos en la línea principal el 1 de abril de 2026, el CVE asignado el 22 de abril de 2026 y la divulgación pública el 29 de abril de 2026. Se insta a los administradores de sistemas a aplicar las actualizaciones del kernel de inmediato.