Copy Fail CVE-2026-31431: escalation a root in 732 byte su Linux

CVE-2026-31431 permette a un utente locale di ottenere root su Linux in pochi secondi con uno script di 732 byte. Il CISA conferma exploitation attiva.

Il 29 aprile 2026 il CERT-EU ha coordinato la disclosure pubblica di CVE-2026-31431, una vulnerabilità nel kernel Linux che permette a qualsiasi processo non privilegiato di ottenere root in pochi secondi. Il 1° maggio il CISA l'ha inserita nel catalogo KEV, confermando exploitation attiva. La falla risiede nel sottosistema crittografico AF_ALG e sfrutta un'ottimizzazione in-place introdotta nel 2017 per scrivere quattro byte controllati nella page cache di file leggibili, con impatti che si estendono oltre il singolo sistema.

Punti chiave

CVE-2026-31431 ha CVSS 7.8 HIGH secondo NVD e CVE.org: un utente locale senza privilegi speciali ottiene root su kernel Linux dalla 4.14 alla 7.0-rc
Lo script exploit misura circa 732 byte, è deterministico e non richiede race condition, funzionando cross-distribution secondo Microsoft
Il meccanismo sfrutta il sottosistema crittografico AF_ALG: un'ottimizzazione in-place del 2017 permette scritture di 4 byte controllati nella page cache di file leggibili
CISA ha aggiunto la vulnerabilità al KEV catalog il 1° maggio 2026 con due date al 15 maggio; Microsoft conferma exploitation attiva limitata

Il meccanismo: 4 byte per corrompere la page cache

La falla risiede in algif_aead, modulo del sottosistema crittografico AF_ALG del kernel Linux. Nel 2017 è stata introdotta un'ottimizzazione in-place che riutilizza la memoria sorgente come destinazione in operazioni crittografiche. Quando la syscall splice() copia dati in un socket AF_ALG e si verifica un errore di copia, il kernel scrive quattro byte controllati dall'utente nella page cache di un file leggibile, bypassando i permessi di accesso.

La page cache è la memoria condivisa in cui il kernel mantiene le copie in RAM dei file lettuti di recente. Corrompere la page cache di un binario setuid come /usr/bin/su permette di alterare il codice in esecuzione senza modificare il file su disco. Secondo Microsoft Security Response Center, l'exploit è "deterministico, non dipende da race condition e può essere implementato in uno script molto piccolo (~732 byte) che funziona su diverse distribuzioni".

"Un utente locale non privilegiato può scrivere quattro byte controllati nella page cache di qualsiasi file leggibile su un sistema Linux e usarli per ottenere root" — Theori/Xint research team, via The Hacker News

Portabilità e caratteristiche dell'exploit

La vulnerabilità presenta proprietà che la rendono particolarmente preoccupante per i team di sicurezza. Secondo uno spokesperson di Xint.io citato da The Hacker News, "questa vulnerabilità è unica perché ha quattro proprietà che quasi mai appaiono insieme: è portatile, minuscola, stealth e cross-container". La semplicità del meccanismo riduce drasticamente la soglia di attacco: non servono competenze di reverse engineering avanzate né condizioni di gara temporali.

David Brumley di Bugcrowd, citato da The Hacker News, ha sintetizzato la natura della falla come primitiva di scrittura nella page cache applicata a un nuovo sottosistema. Il risultato è un exploit che funziona in modo consistente across diverse distribuzioni e versioni kernel, senza necessità di adattamenti specifici per target particolari.

Cross-container e cloud: il pericolo nascosto

Microsoft ha evidenziato un impatto specifico per gli ambienti containerizzati: "Poiché la page cache è condivisa tra container e host, la vulnerabilità abilita anche impatti cross-container e scenari di container escape". In un ambiente multi-tenant dove container distinti eseguono carichi di lavoro isolati su un kernel condiviso, un processo non privilegiato all'interno di un singolo container può compromettere l'intero nodo.

Il profilo di rischio è massimizzato in pipeline CI/CD che eseguono codice non fidato in container effimeri, e in servizi cloud che offrono ambienti di esecuzione condivisi. Il kernel affected spazia dalla versione 4.14 (ancora presente in sistemi embedded e industriali) fino alle release candidate della 7.0, con patch ufficiali disponibili per le branch LTS 5.10.254, 5.15.204, 6.1.170, 6.6.137, 6.12.85, 6.18.22, 6.19.12 e 7.0-rc.

Cosa fare adesso

Verificare la versione del kernel in uso e applicare gli aggiornamenti rilasciati dalle distribuzioni supportate: Ubuntu, RHEL, Debian, SUSE, Amazon Linux, Fedora e Arch Linux hanno pubblicato patch specifiche secondo Microsoft e l'advisory Arch Linux
Per ambienti container e multi-tenant, pianificare il reboot dei nodi per attivare il kernel aggiornato: la page cache condivisa rende insufficiente l'isolamento a livello container
Consultare il CISA KEV catalog per CVE-2026-31431 e valutare le tempistiche di remediation in base alla data del 15 maggio 2026 indicata per l'applicazione delle patch
Rivedere la necessità di esporre l'accesso AF_ALG a container non fidati: se la funzionalità crittografica in userspace non è richiesta, la restrizione del socket AF_ALG riduce la superficie di attacco

Il fix upstream e le implicazioni

Il fix upstream per Copy Fail consiste nel revert all'operazione out-of-place, sostanzialmente annullando il commit del 2017: una soluzione conservatrice che privilegia la sicurezza sulla performance. Il record CVE.org indica che la patch "reverte a operare out-of-place" e "annulla per la maggior parte il commit 72548b093ee3".

Il dossier non specifica se siano in corso revisioni architetturali più ampie del sottosistema splice, né quanti sistemi restino non patchati a fine agosto 2026. L'entità dell'exploitation attiva documentata da Microsoft rimane limitata a testing preliminare, ma l'inclusione nel KEV catalog del CISA indica che le agenzie federali considerano la minaccia concreta e meritevole di remediation prioritaria.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti