O Chief Information Security Officer (CISO) da SlowMist, 23pds, publicou no X a 30 de abril, que foi encontrado, no sistema Linux, uma vulnerabilidade lógica denominada “Copy Fail” (CVE-2026-31431), altamente explorável, pelo que a SlowMist recomenda aos utilizadores que atualizem rapidamente o kernel.
Informação base da vulnerabilidade e âmbito afetado
De acordo com o relatório técnico do dia 29 de abril do grupo de investigação Xint Code, a CVE-2026-31431 é uma vulnerabilidade lógica no template de cifra de autenticação com dados adicionais (AEAD) do kernel Linux, algif_aead.c, que utiliza uma cadeia de chamadas envolvendo AF_ALG + a função splice(), permitindo que um utilizador local não privilegiado realize uma escrita controlada determinística de 4 bytes na cache de páginas de ficheiros arbitrários legíveis pelo sistema, e assim obtenha privilégios de root ao comprometer binários setuid.
De acordo com o relatório da Xint Code, foram testadas e confirmadas as distribuições e versões de kernel afetadas, incluindo:
Ubuntu 24.04 LTS：kernel 6.17.0-1007-aws
Amazon Linux 2023：kernel 6.18.8-9.213.amzn2023
RHEL 10.1：kernel 6.12.0-124.45.1.el10_1
SUSE 16：kernel 6.12.0-160000.9-default
De acordo com o relatório da Xint Code, a causa raiz desta vulnerabilidade está na otimização AEAD “in-place” introduzida no algif_aead.c em 2017 (commit 72548b093ee3), que faz com que as páginas da cache provenientes do splice() sejam colocadas numa lista dispersa gravável e, em conjunto com a operação temporária de escrita do encapsulador AEAD authenticsn, formam um caminho explorável.
Linha temporal de divulgação coordenada e medidas de correção
De acordo com a linha temporal divulgada pela Xint Code em 29 de abril, a CVE-2026-31431 foi reportada ao Linux Kernel Security Team a 23 de março de 2026. O patch (a664bf3d603d) ficou concluído na revisão a 25 de março, foi submetido ao kernel principal a 1 de abril, a CVE foi atribuída oficialmente a 22 de abril e a divulgação pública ocorreu a 29 de abril.
De acordo com o relatório da Xint Code, as medidas de correção incluem: atualizar os pacotes de software do kernel das distribuições (as principais distribuições devem publicar este patch através de atualizações regulares do kernel). Se for necessária uma mitigação imediata, pode ser utilizada a seccomp para impedir a criação de sockets AF_ALG, ou executar o seguinte comando para colocar o módulo algif_aead na lista negra: echo “install algif_aead /bin/false” > /etc/modprobe.d/disable-algif-aead.conf.
De acordo com o relatório da Xint Code, esta vulnerabilidade afeta também cenários além do limite entre contentores, porque a cache de páginas é partilhada pelo anfitrião; os impactos relacionados com escape de contentores do Kubernetes serão divulgados na segunda parte.
Perguntas frequentes
Qual é o âmbito de impacto da CVE-2026-31431?
De acordo com o relatório da Xint Code a 29 de abril e com o alerta da SlowMist 23pds a 30 de abril, a CVE-2026-31431 afeta praticamente todas as principais distribuições Linux lançadas desde 2017, incluindo Ubuntu, Amazon Linux, RHEL e SUSE, permitindo que um script Python com 732 bytes obtenha privilégios de root sem necessidade de privilégios.
Qual é a mitigação temporária para esta vulnerabilidade?
De acordo com o relatório da Xint Code a 29 de abril, é possível bloquear a criação de sockets AF_ALG via seccomp, ou executar echo “install algif_aead /bin/false” > /etc/modprobe.d/disable-algif-aead.conf para colocar o módulo algif_aead na lista negra e mitigar imediatamente.
Quando é que o patch da CVE-2026-31431 é disponibilizado?
De acordo com a linha temporal divulgada pela Xint Code a 29 de abril, o patch (a664bf3d603d) foi submetido ao kernel principal do Linux a 1 de abril de 2026; as principais distribuições devem publicar este patch através de atualizações regulares dos pacotes de software do kernel.
Isenção de responsabilidade: As informações contidas nesta página podem ser provenientes de terceiros e não representam os pontos de vista ou opiniões da Gate. O conteúdo apresentado nesta página é apenas para referência e não constitui qualquer aconselhamento financeiro, de investimento ou jurídico. A Gate não garante a exatidão ou o carácter exaustivo das informações e não poderá ser responsabilizada por quaisquer perdas resultantes da utilização destas informações. Os investimentos em ativos virtuais implicam riscos elevados e estão sujeitos a uma volatilidade de preços significativa. Pode perder todo o seu capital investido. Compreenda plenamente os riscos relevantes e tome decisões prudentes com base na sua própria situação financeira e tolerância ao risco. Para mais informações, consulte a
Isenção de responsabilidade.
Related Articles
Famílias procuram ETH de Arbitrum congelado para vítimas da Coreia do Norte
As famílias que detêm, há décadas, decisões judiciais contra a Coreia do Norte estão a tentar apreender 30.765 ETH congelados no Arbitrum, na sequência do exploit rsETH do mês passado. As famílias invocaram uma ordem de restrição de Nova Iorque na tentativa de impedir o Arbitrum de libertar os fundos, citando ligações alegadas entre o att
CryptoFrontier26m atrás
Investigador on-chain ZachXBT emite um aviso contra a imToken e a Tokenlon, LON desce 8%
O investigador on-chain ZachXBT identificou recentemente o imToken e a bolsa descentralizada Tokenlon como centros de branqueamento de capitais ilícitos. Segundo ZachXBT, a grande maioria do volume de negociação da Tokenlon tem origem em atividades ilegais, incluindo fraude, tráfico de seres humanos e investimento
GateNews1h atrás
Payward processa a Etana por fraude de custódia de cripto $25M
A empresa-mãe da Kraken, a Payward, apresentou uma ação judicial contra a Etana e o seu CEO, alegando 25 milhões de dólares em fraude de custódia de cripto. De acordo com as alegações, os fundos dos clientes foram usados indevidamente, misturados e ocultados num esquema “semelhante a Ponzi”, segundo a Payward, que se desfez no meio de uma liquidez
CryptoFrontier2h atrás
A Coreia do Norte nega o roubo de criptomoedas, apesar de $577M ter sido furtado em 2026
A República Popular Democrática da Coreia negou as alegações de roubos de criptomoedas patrocinados pelo Estado, mesmo depois de a empresa de inteligência de blockchain TRM Labs ter comunicado que atores ligados à DPRK roubaram aproximadamente 577 milhões de dólares nos primeiros quatro meses de 2026. Um porta-voz do Ministério dos Negócios Estrangeiros do regime
CryptoFrontier7h atrás
Utilizador do X Rouba 175.000 dólares em DRB do Bankr através de uma injeção de prompt do Grok a 4 de maio
De acordo com a BlockBeats, a 4 de maio o utilizador do X @Ilhamrfliansyh usou um ataque de prompt injection contra a Grok para roubar 175.000 dólares em tokens DRB da carteira da Bankr. O atacante criou um tweet malicioso codificado em código Morse que a Grok decodificou e retransmitiu para @bankrbot, o que foi interpretado como uma transação na blockchain
GateNews7h atrás
