CVE-2026-31431

HIGH(7.8)KEVWahrscheinlich ausgenutzt

Linux Kernel Incorrect Resource Transfer Between Spheres Vulnerability

Beschreibung

CVE-2026-31431 ist eine lokale Privilege-Escalation-Schwachstelle der Stufe HIGH im AF_ALG-Socket-Interface algif_aead des Linux-Kernels, mit einem CVSS-3.1-Score von 7.8. Die Schwachstelle — öffentlich bekannt als „copy_fail" — geht auf einen Kernel-Commit zurück, der algif_aead auf In-place-Operation umgestellt hat; ein lokaler Benutzer mit Zugriff auf das AEAD-Socket-Interface kann dadurch den Page-Cache manipulieren und Speicher so beschädigen, dass er Root-Rechte erlangt. Der Fix revertiert den ursprünglichen Commit und erzwingt Out-of-place-Operation, wobei nur die zugehörigen Daten kopiert werden, statt sie in-place abzubilden. CISA hat CVE-2026-31431 am 1. Mai 2026 in den KEV-Katalog aufgenommen, mit einer aggressiven Patch-Frist 15. Mai 2026. Öffentlicher Exploit-Code ist von theori-io verfügbar („copy_fail"), und detaillierte Aufarbeitungen wurden auf websec.net und copy.fail veröffentlicht. Der EPSS-Score von 0.040 (88. Perzentil) signalisiert eine erhöhte Wahrscheinlichkeit fortgesetzter Ausnutzung.

KEV-Informationen

Hersteller
Linux
Produkt
Kernel
Hinzugefügt am
1. Mai 2026
Fälligkeitsdatum
15. Mai 2026
Erforderliche Maßnahme
"Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

CVSS-Score

Vektorstring
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnen
Angriffsvektor
LOCAL
Angriffskomplexität
LOW
Erforderliche Privilegien
LOW
Benutzerinteraktion
NONE
Scope
UNCHANGED
Vertraulichkeitsauswirkung
HIGH
Integritätsauswirkung
HIGH
Verfügbarkeitsauswirkung
HIGH
Ausnutzbarkeitsscore
1.8
Auswirkungsscore
5.9

CWEs

CWE-669
CWE-1288

Betroffene Produkte

HerstellerProduktVersion
linuxlinux kernel>= 4.14, < 5.10.254; >= 5.11, < 5.15.204; >= 5.16, < 6.1.170; >= 6.2, < 6.6.137; >= 6.7, < 6.12.85; >= 6.13, < 6.18.22; >= 6.19, < 6.19.12; 7.0
redhatopenshift container platform>= 4.12, < 4.12.89; >= 4.13, < 4.13.66; >= 4.14, < 4.14.65; >= 4.15, < 4.15.64; >= 4.16, < 4.16.61; >= 4.17, < 4.17.53; >= 4.18, < 4.18.40; >= 4.19, < 4.19.30; >= 4.20, < 4.20.21; >= 4.21, < 4.21.14; 4.0
redhatenterprise linux8.0; 9.0; 10.0
redhatenterprise linux aus8.4; 8.6
redhatenterprise linux eus8.4; 9.4; 9.6; 10.0
redhatenterprise linux tus8.6; 8.8
redhatenterprise linux update services for sap solutions8.6; 8.8; 9.0; 9.2
amazonamazon linux-
canonicalubuntu linux-; 14.04; 16.04; 18.04; 20.04; 22.04; 24.04; 25.10
debiandebian linux11.0; 12.0; 13.0
opensuseleap15.3; 15.4; 15.5; 15.6
susecaas platform4.0
suseenterprise storage6.0; 7.0; 7.1
susemanager proxy4.0; 4.1; 4.2; 4.3
susemanager retail branch server4.0; 4.1; 4.2; 4.3
susemanager server4.0; 4.1; 4.2; 4.3
suseopenstack cloud9.0
suseopenstack cloud crowbar9.0
susebasesystem module15
susedevelopment tools module15

Mehrere CVSS-Bewertungen

Quelle: 416baaa9-dc9f-4396-8d5f-8c081fb06d67(Secondary)
7.8
HIGH

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Quelle: 0b0ca135-0b70-47e7-9f44-1890c2a1c46c(Secondary)
7.8
HIGH

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Referenzen

Schwachstellentyp

CWE-669: Fehlerhafter Ressourcentransfer zwischen Sphären

Fehlerhafter Ressourcentransfer zwischen Sphären tritt auf, wenn ein Produkt eine Ressource auf eine Weise an eine andere Sphäre überträgt, die die beabsichtigten Sicherheitsgrenzen verletzt — etwa die Übertragung sensibler Daten an nicht vertrauenswürdige Kontexte oder der Import nicht vertrauenswürdiger Daten in eine privilegierte Sphäre. Bei CVE-2026-31431 hat die algif_aead-Socket-Implementierung des Linux-Kernels vom Benutzer gelieferte Page-Mappings so in den kryptographischen Verarbeitungspfad des Kernels überführt, dass die Source-Pages des Benutzers mit den vom Kernel verwalteten Destination-Pages vermischt wurden (In-place-Operation). Da Source und Destination aus unterschiedlichen Mappings stammen, brach die In-place-Optimierung die Sicherheitsgrenze zwischen Userspace und kernel-verwaltetem Page-Cache-Speicher, und ein lokaler Angreifer konnte diese Fehlbehandlung nutzen, um angreifer-kontrollierte Daten in Pages zu schreiben, die der Kernel später als vertrauenswürdig betrachtet — Eskalation von einem gering privilegierten lokalen Benutzer zu root.

Mehr erfahren: CWE-669 — Incorrect Resource Transfer Between Spheres

Auswirkungsanalyse

CVE-2026-31431 hat einen CVSS-3.1-Score von 7.8 (HIGH) mit dem Vektor AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H — lokaler Angriffsvektor mit niedriger Komplexität, nur niedrige Privilegien erforderlich (jedes Benutzerkonto, das socket(AF_ALG) aufrufen kann), keine Benutzerinteraktion nötig und einheitlich High-Wirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. Der lokale Angriffsvektor wird gelegentlich unterschätzt; für Multi-Tenant-Linux-Systeme ist die Auswirkung jedoch gravierend: Container, Shared-Web-Hosts, CI-Runner und Entwickler-Maschinen, die nicht vertrauenswürdigem Code Remote-Shell-Zugriff gewähren, exponieren das AF_ALG-Interface gegenüber dem Angreifer. Eine erfolgreiche Ausnutzung führt zu Code-Ausführung auf Kernel-Ebene und vollständigen Root-Rechten auf dem Host — auf einem Container-System bedeutet das Container-Escape, auf einem Hypervisor-Host die Kompromittierung der Tenants. Da der Bug im Linux-Kernel selbst sitzt, ist der verwundbare Code in praktisch jeder großen Distribution mit betroffenen Kernel-Versionen ausgeliefert; die lange Reihe betroffener Versionen (4.14 bis 6.19.11) bedeutet, dass selbst langsam aktualisierende Enterprise-Distributionen verwundbar bleiben, bis sie den Backport-Fix einspielen.

Exploit-Reifegrad

Öffentliche Exploits: Mehrere öffentliche Proofs-of-Concept und weaponisierte Exploits existieren für CVE-2026-31431. Das Theori-io-Forschungsteam hat einen funktionierenden Exploit unter github.com/theori-io/copy-fail-CVE-2026-31431 veröffentlicht; eine ausführliche technische Aufarbeitung mit dem Titel „copy_fail: Linux algif_aead page cache write to root" ist auf websec.net verfügbar; und eine eigene Landing-Page unter copy.fail dokumentiert die Entdeckung. Die OSS-Security-Mailingliste hat seit dem 29. April 2026 mehr als 30 Folge-Beiträge mit weiteren Exploit-Details und Diskussionen veröffentlicht. Aktive Ausnutzung: CISA bestätigte In-the-Wild-Ausnutzung durch Aufnahme in den KEV-Katalog am 1. Mai 2026 mit Patch-Frist 15. Mai 2026. Ausnutzungswahrscheinlichkeit: Mit einem EPSS-Score von 0.040 (88. Perzentil) bewertet das Modell die Wahrscheinlichkeit fortgesetzter Ausnutzung als erhöht — typisch für Kernel-Privilege-Escalation-Bugs, deren primäre Verwendung post-Compromise-Eskalation und nicht massenhaftes Internet-Scanning ist. Praktisches Risiko: Betreiber von Multi-Tenant-Linux-Umgebungen — Public Clouds, Container-Plattformen, Shared-Web-Hosts, CI/CD-Systeme — sollten diese Schwachstelle als höchste Priorität behandeln, da ein einzelner gering privilegierter Tenant zu vollständigem Host-Root pivotieren kann.

Behebung

  1. Upstream-Linux-Kernel-Patch einspielen. Aktualisieren Sie auf einen Kernel mit dem Revert der In-place-algif_aead-Operation: 5.10.254, 5.15.204, 6.1.170, 6.6.137, 6.12.85, 6.18.22, 6.19.12 oder 7.0+. Die offiziellen Patches werden auf kernel.org gepflegt; die Red-Hat-Kunden-Anleitung steht unter access.redhat.com.
  2. Distributions-Sicherheits-Update einspielen. Holen Sie das gepatchte Kernel-Paket aus dem Sicherheits-Feed Ihrer Distribution (Debian/Ubuntu, RHEL/CentOS Stream, SUSE, Amazon Linux usw.) und starten Sie neu. Für lange laufende Multi-Tenant-Hosts erwägen Sie Live-Patching, wo unterstützt (kpatch, kgraft, ksplice, livepatch).
  3. Interim-Mitigation: AF_ALG-Zugriff einschränken. Wo der Patch nicht sofort angewendet werden kann, beschränken Sie den Zugriff auf das AF_ALG-Socket-Interface. Auf Systemen ohne Userspace-AEAD-Bedarf via algif deaktivieren Sie die Module algif_aead und af_alg (rmmod algif_aead af_alg) und verhindern Sie Nachladen via modprobe.d. In Container-Umgebungen entfernen Sie die relevanten Kernel-Capabilities und setzen Sie Seccomp-Profile ein, die socket(AF_ALG, ...) blockieren.
  4. Auf vorherige Ausnutzung prüfen. Überprüfen Sie Kernel- und Audit-Logs auf unerwartete Privilege-Escalation-Ereignisse rund um den Disclosure-Zeitraum (22. April – 4. Mai 2026). Suchen Sie in /var/log/audit/audit.log nach setuid-Übergängen zu root von nicht privilegierten Benutzern, achten Sie auf unerwartete dmesg-Einträge des algif_aead-Subsystems und prüfen Sie Container-Runtime-Logs auf Capability-Set-Änderungen.
  5. Langfristige Härtung. Wenden Sie das CWE-669-Prinzip an, indem Sie die für nicht vertrauenswürdigen lokalen Code exponierte Kernel-Angriffsoberfläche minimieren: Seccomp/Landlock zur Syscall-Beschränkung, unprivilegierte User-Namespaces sowie Kernel-Hardening-Features (Kernel-Modul-Loading-Lockdown, SECCOMP_FILTER, AppArmor- oder SELinux-Profile), um die praktische Ausnutzbarkeit ähnlicher künftiger Bugs zu reduzieren.

Technische Details

CVE-2026-31431 ist eine CWE-669-Schwachstelle für fehlerhaften Ressourcentransfer im Linux-Kernel-Modul algif_aead, dem Userspace-Interface zur Authenticated-Encryption-(AEAD)-Crypto-API des Kernels via AF_ALG-Sockets. Die Schwachstelle wurde durch Commit 72548b093ee3 eingeführt, der algif_aead darauf umstellte, In-place auf den vom Benutzer gelieferten Source-Pages zu operieren — statt die Daten Out-of-place auf ein kernel-allokiertes Ziel zu kopieren. Da AF_ALG-Source- und -Destination-Buffer aus unterschiedlichen Mappings stammen, lässt die In-place-Optimierung den Kernel benutzer-gemappten Page-Cache-Speicher als Ziel der Crypto-Ausgabe behandeln; eine sorgfältig konstruierte Folge von Socket-Operationen kann so angreifer-kontrollierte Bytes in Pages schreiben, die andere Kernel-Teile (oder andere Prozesse) als vertrauenswürdig behandeln. Der veröffentlichte „copy_fail"-Exploit verkettet dieses Primitiv zu einer Page-Cache-zu-Root-Eskalation: Indem Ziel-Pages ausgewählt werden, die ein Setuid-Root-Binary oder eine privilegierte Kernel-Datenstruktur belegen, überschreibt der Angreifer sie mit bösartigem Inhalt und löst Ausführung als root aus. Der CVSS-3.1-Vektor AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H spiegelt den lokalen Charakter des Angriffs und seine einheitlich High-Wirkung wider. Der Fix revertiert den Großteil des In-place-Commits, behält aber das Kopieren der zugehörigen Daten bei — und beseitigt damit die Vermischung von Benutzer- und Kernel-Page-Mappings.

Häufig gestellte Fragen

Wird CVE-2026-31431 aktiv ausgenutzt?

Ja. CISA hat CVE-2026-31431 am 1. Mai 2026 mit 14-Tage-Frist 15. Mai 2026 in den KEV-Katalog aufgenommen. Öffentlicher Exploit-Code ist von theori-io und websec.net verfügbar, und die OSS-Security-Mailingliste dokumentiert seit dem 29. April 2026 aktive Diskussion. Der EPSS-Score von 0.040 (88. Perzentil) spiegelt erhöhte fortgesetzte Ausnutzungswahrscheinlichkeit wider.

Welche Produkte sind von CVE-2026-31431 betroffen?

Der Upstream-Linux-Kernel von Version 4.14 bis 6.19.11 (sowie Version 7.0 vor dem Fix) ist verwundbar. Gepatchte Kernel: 5.10.254, 5.15.204, 6.1.170, 6.6.137, 6.12.85, 6.18.22, 6.19.12 und 7.0+. Jede große Linux-Distribution mit einem Kernel in diesem Bereich ist betroffen, bis sie den Backport einspielt.

Wie behebe ich CVE-2026-31431?

Aktualisieren Sie auf einen gepatchten Upstream-Kernel oder das Sicherheits-Release Ihrer Distribution und starten Sie neu (oder spielen Sie einen Live-Patch ein, wo unterstützt). Wenn das Patchen verzögert ist, schränken Sie den Zugriff auf das AF_ALG-Socket-Interface ein — deaktivieren Sie die Kernel-Module algif_aead/af_alg oder nutzen Sie Seccomp/AppArmor/SELinux-Profile, um socket(AF_ALG, ...) für nicht vertrauenswürdigen Code zu blockieren.

Wie schwerwiegend ist CVE-2026-31431?

CVE-2026-31431 ist als HIGH eingestuft (CVSS-3.1-Score 7.8) mit voller High-Wirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. Auch wenn der lokale Angriffsvektor die Remote-Ausnutzbarkeit begrenzt, sollten Multi-Tenant-Linux-Umgebungen (Cloud, Container, Shared Hosting, CI-Runner) die Schwachstelle als kritisch zu behebende Priorität behandeln, weil jeder lokale Benutzer zu root eskalieren kann und damit die Tenant-Isolation bricht.

CVSS-Score

7.8
HIGH(7.8)

EPSS-Score

EPSS-Score99.91%
EPSS-Perzentil100.0%

Daten

Veröffentlicht22. April 2026
Zuletzt geändert28. Juli 2026
StatusAnalyzed
CVSS-Versionv3.1

Quick Links

Zurück zur CVE-Datenbank

Hilfe beim Schwachstellenmanagement?

Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.

Kontakt aufnehmen