Thông tin Chi tiết

1. Tóm tắt sự cố

SOC ghi nhận lỗ hổng nghiêm trọng trong Linux kernel — tên gọi "Copy Fail" (CVE-2026-31431) — cho phép bất kỳ local user không đặc quyền nào leo thang lên root chỉ trong vài giây. Lỗi nằm tại module crypto/algif_aead, nơi tối ưu in-place AEAD operation từ 2017 cho phép user ghi đè vào page cache thuộc file root-owned thông qua AF_ALG socket.

Hai điểm nguy hiểm đặc biệt:

• Container không bảo vệ được — bug ở kernel của host, không phải image. Patch image không có tác dụng.
• lsmod trống KHÔNG có nghĩa an toàn — kernel autoload module qua MODULE_ALIAS khi user tạo AF_ALG socket. Detection chính xác phải dựa vào package version.

2. Cơ chế khai thác

Cuộc tấn công tận dụng cách kernel xử lý AEAD operation theo dạng in-place trên interface algif_aead:

Trích NVD: "There is no benefit in operating in-place in algif_aead since the source and destination come from different mappings. Get rid of all the complexity added for in-place operation and just copy the AD directly."

Patch fix: bỏ in-place optimization, đảm bảo destination/output scatterlist của AEAD operation không thể bị chain với các source pages (bao gồm page-cache pages) — quay lại xử lý out-of-place hoàn toàn. Commit fix: a664bf3d603d.

Khả năng của exploit:

• Local Privilege Escalation từ user thường lên root
• Reliable trên mọi distro lớn (Ubuntu, RHEL, Debian, Amazon Linux, CloudLinux)
• PoC nhỏ (~732 byte Python) — dễ embed vào supply-chain attack hoặc bypass tooling
• Không có user interaction, không có network exposure — pure local

3. Phạm vi ảnh hưởng

Bạn có thể bị ảnh hưởng nếu:

• Server chạy kernel Linux phiên bản cũ hơn ngày patch của distro
• Có local user có thể tạo shell hoặc đạt code execution (web app RCE, supply-chain trên CI runner...)
• K8s node chạy untrusted workload (multi-tenant cluster)
• Container có quyền tạo AF_ALG socket (mặc định, không cần CAP đặc biệt)

3.1 Upstream kernel fixed versions

Cách dùng: chạy uname -r → lấy 2 số đầu (vd: 5.15.0-130-generic → series 5.15) → tìm row tương ứng → so version với cột "An toàn từ".

Ví dụ nhanh: uname -r ra 5.15.0-130-generic → series 5.15 → cần >= 5.15.204 → VULNERABLE (cần patch).

Lưu ý: Distro (Ubuntu / RHEL...) có ABI numbering riêng (vd Ubuntu 5.15.0-176-generic), không trùng với upstream version. Bảng "Phiên bản đã vá theo distro" ở đầu file là tham chiếu chuẩn cho distro; bảng này dùng cho self-built kernel hoặc cross-check.

4. Dấu hiệu phát hiện

4.1 Module / runtime indicators

4.2 Process / behavioral indicators (post-exploit hunting)

4.3 Reference & PoC

5. Hướng dẫn kiểm tra

uname -r

So kết quả với bảng "Tình trạng vendor" ở đầu file (USN / DSA / RHSA / ALAS) hoặc bảng 3.1 (self-built kernel). Nếu version thấp hơn mốc patched của vendor → VULNERABLE.

Lưu ý: Trên distro mainstream (Ubuntu / RHEL / Debian / Amazon Linux), uname -r trả về ABI version do vendor đánh dấu (vd 5.15.0-176-generic) — đây chính là chuỗi advisory dùng để công bố fixed version, nên check như vậy là đủ. Chỉ cần soi sâu hơn (dpkg -l / rpm -q --changelog / dnf updateinfo info CVE-2026-31431) khi nghi ngờ ABI numbering bị custom hoặc kernel built từ source.

6. Hướng xử lý bắt buộc

6.1 Mitigation tức thời (không reboot, < 1 phút)

Block module autoload — đây là hàng rào tạm trong khi chờ upgrade kernel:

sudo tee /etc/modprobe.d/disable-algif-aead.conf <<'EOF'
    install algif_aead /bin/false
    EOF
    

    # Rebuild initramfs để mitigation áp dụng từ early-boot
    sudo update-initramfs -u   # Debian / Ubuntu
    sudo dracut -f             # RHEL / Fedora / Rocky / Alma
    

    # Unload nếu đang load
    sudo modprobe -r algif_aead 2>/dev/null || true
    

    # Verify
    lsmod | grep algif_aead                    # phải trống
    sudo modprobe algif_aead 2>&1              # phải báo "install /bin/false ... failed"

6.1.a Alternative: initcall_blacklist qua GRUB (nếu module built-in)

Nếu kernel build algif_aead built-in (CONFIG_CRYPTO_USER_API_AEAD=y) thay vì module — modprobe.d không có tác dụng. Dùng GRUB để chặn ở init time:

# Mở /etc/default/grub, thêm "initcall_blacklist=algif_aead_init" vào
    # GRUB_CMDLINE_LINUX. Hoặc dùng sed:
    sudo sed -i 's|GRUB_CMDLINE_LINUX="\(.*\)"|GRUB_CMDLINE_LINUX="\1 initcall_blacklist=algif_aead_init"|' /etc/default/grub
    

    # Apply
    sudo update-grub                              # Debian / Ubuntu
    sudo grub2-mkconfig -o /boot/grub2/grub.cfg   # RHEL / Rocky / Alma
    sudo reboot
    

    # Verify sau reboot
    dmesg | grep -i "blacklisting initcall"

6.2 Upgrade kernel (yêu cầu reboot)

# Ubuntu / Debian
    sudo apt update
    sudo apt install --only-upgrade linux-image-generic linux-headers-generic linux-image-virtual
    sudo reboot
    

    # RHEL / CentOS / Rocky / Alma
    sudo dnf update kernel
    sudo reboot
    

    # Amazon Linux 2
    sudo yum update kernel && sudo reboot
    

    # Amazon Linux 2023
    sudo dnf update kernel && sudo reboot

6.3 Container / K8s rolling upgrade

Container không patch được trong image — phải patch host kernel + reboot từng node:

# Lấy hostname (không có prefix "node/")
    NODES=$(kubectl get nodes -o jsonpath='{.items[*].metadata.name}')
    

    for node in $NODES; do
        echo "=== $node ==="
        kubectl drain "$node" \
            --ignore-daemonsets \
            --delete-emptydir-data \
            --force
    

        ssh "$node" '
            sudo apt update
            sudo apt install -y --only-upgrade \
                linux-image-generic \
                linux-headers-generic \
                linux-image-virtual
            sudo reboot
        '
    

        # Đợi node về Ready
        until kubectl get node "$node" 2>/dev/null | grep -q ' Ready '; do
            sleep 10
        done
        kubectl uncordon "$node"
    done

6.3.a Mitigation nhanh qua DaemonSet (chặn module — không reboot)

Khi chưa kịp lên lịch rolling reboot, dùng DaemonSet để áp Section 6.1 đồng loạt mọi node trong vài giây. Đây là chữa cháy, KHÔNG thay thế upgrade kernel — vẫn phải làm Section 6.3 trong SLA P0/P1.

apiVersion: apps/v1
    kind: DaemonSet
    metadata:
      name: cve-2026-31431-mitigation
      namespace: kube-system
    spec:
      selector:
        matchLabels: { app: cve-2026-31431-mitigation }
      template:
        metadata:
          labels: { app: cve-2026-31431-mitigation }
        spec:
          hostPID: true
          tolerations:
            - operator: Exists
          containers:
            - name: mitigate
              image: debian:12-slim          # cần update-initramfs/modprobe → KHÔNG dùng busybox
              command: ["/bin/sh", "-c"]
              args:
                - |
                  set -eu
                  chroot /host /bin/sh -c '
                    cat > /etc/modprobe.d/disable-algif-aead.conf <<EOF
                  install algif_aead /bin/false
                  EOF
                    update-initramfs -u
                    modprobe -r algif_aead 2>/dev/null || true
                    # verify
                    lsmod | grep algif_aead && exit 1
                    modprobe algif_aead 2>&1 | grep -q "install /bin/false" || exit 1
                    echo "[OK] $(hostname) mitigated"
                  '
                  sleep infinity
              securityContext:
                privileged: true
                runAsUser: 0
              volumeMounts:
                - { name: host-root, mountPath: /host }
          volumes:
            - { name: host-root, hostPath: { path: / } }

Verify mọi node đã chặn:

kubectl logs -n kube-system -l app=cve-2026-31431-mitigation --tail=1 --prefix
    # Mỗi node phải in: [OK] <hostname> mitigated

Lưu ý các pitfall thường gặp:

• ❌ image: busybox — không có update-initramfs, bash → mitigation không persist qua reboot.
• ❌ Quên chroot /host — script chạy trong filesystem của container chứ không phải host.
• ❌ Quên sleep infinity — pod restart liên tục, log khó đọc.
• ❌ Block thừa các module khác họ algif_* — không cần thiết cho CVE này, có thể break workload IPSec/AF_ALG hợp lệ.

6.4 Post-fix verification

uname -r                                       # >= 5.15.0-176-generic (Ubuntu 22.04)
    dpkg -l linux-image-$(uname -r) | tail -1      # Debian/Ubuntu
    rpm -q kernel                                  # RHEL family
    lsmod | grep algif_aead                        # vẫn trống nếu giữ mitigation

7. Khuyến nghị dài hạn (Defense-in-depth)

7.1 Least-privilege & access control

• Least-privilege shell access — chỉ user vận hành mới có shell thật. App account / service account dùng /sbin/nologin hoặc /bin/false. Audit /etc/passwd định kỳ (getent passwd | awk -F: '$7 ~ /(bash|sh|zsh)$/ {print $1}') để soi user shell ngoài expected list.
• Hardened bastion / SSH — SSH lên prod chỉ qua bastion + MFA, không cho direct SSH từ Internet. Disable password auth, enforce key-based + per-user audit trail.
• Network segmentation — server production chỉ cho phép truy cập từ bastion / jump host hoặc qua VPN. Block ingress từ Internet trên SSH port.
• Sudo policy chặt — không cấp NOPASSWD rộng, không cấp ALL=(ALL) mà whitelist command cụ thể; log mọi sudo invocation qua auditd.

8. Liên hệ hỗ trợ

Nếu team nào đang vận hành Linux server và nghi ngờ bị ảnh hưởng, hoặc cần hỗ trợ trong quá trình kiểm tra / mitigation / upgrade, vui lòng liên hệ SOC để được hỗ trợ xử lý.

Liên hệ nội bộ: SOC Team

Tham chiếu chính

• NVD entry
• Ubuntu CVE tracker
• Canonical advisory
• Red Hat advisory
• Amazon Linux ALAS
• CERT-EU 2026-005
• Tenable FAQ
• Sysdig technical analysis
• Help Net Security
• The Register
• websec.net writeup
• Public PoC (theori-io)
• Kernel patch commit a664bf3d603d