CVE-2026-31431 – Linux Kernel 'Copy Fail': Lokale Privilege Escalation

Update vom 22. Oktober 2026

Die Lücke wird inzwischen aktiv ausgenutzt: Die US-Behörde CISA führt sie seit dem 1. Mai 2026 in ihrem Katalog aktiv ausgenutzter Schwachstellen, und ein öffentlicher Proof of Concept ist verfügbar. Wir haben ausserdem einen Workaround für Systeme ergänzt, die noch nicht gepatcht werden können.

Was ist passiert?

CVE-2026-31431, bekannt als "Copy Fail", betrifft das algif_aead-Interface des Linux-Kernels. Die Schwachstelle existiert seit 2017 und resultiert aus einer fehlerhaften Speicheroptimierung bei "In-place"-Operationen. Ein Angreifer kann durch gezielte Krypto-Anfragen an den Kernel genau 4 Bytes im Page Cache überschreiben.

Obwohl 4 Bytes nach wenig klingen, reicht dies aus, um bei setuid-Binärdateien (wie sudo oder polkit) Sicherheitsprüfungen im RAM zu umgehen. Der Angreifer erlangt so administrative Rechte, ohne ein Passwort zu kennen oder komplexe Memory-Corruption-Techniken anwenden zu müssen.

Wen betrifft es?

Nahezu alle KMU, die Linux-basierte Systeme einsetzen:

• ▸Server-Infrastruktur: Ubuntu (ab 18.04), RHEL, Debian und SUSE.
• ▸Cloud & Container: Kubernetes-Knoten sind besonders gefährdet, da die Lücke einen stabilen Ausbruch aus Containern auf den Host-Level (Container Escape) ermöglicht.
• ▸Embedded/NAS: Viele Speicherlösungen nutzen betroffene Kernel-Versionen.

Was ist zu tun?

1. ▸Kernel-Patch einspielen: Installiere die neuesten Sicherheitsupdates deiner Distribution (Kernel-Fix vom April 2026).
2. ▸Reboot erzwingen: Da der Fehler direkt im Kernel-Code liegt, ist ein Neustart des Systems zwingend erforderlich, um den Patch zu aktivieren.
3. ▸Audit der Nutzerrechte: Überprüfe, welche lokalen Nutzer Zugriff auf die Systeme haben; die Lücke benötigt einen initialen (wenn auch unprivilegierten) Zugang.
4. ▸Live-Patching nutzen: In kritischen Umgebungen kannst du den Fix mit Canonical Livepatch oder Red Hat Kpatch ohne Downtime einspielen.
5. ▸Workaround, falls noch kein Patch möglich ist: Deaktiviere das betroffene Kernel-Modul, indem du install algif_aead /bin/false in einer Datei unter /etc/modprobe.d/ einträgst und das Modul mit rmmod algif_aead entlädst. Prüfe vorher, ob eine Anwendung die Kernel-Krypto-Schnittstelle AF_ALG benötigt.

---

Dieses Advisory dient der Information. Für eine Analyse deiner Linux-Härtung kontaktiere uns.