CVE-2026-31431 er en sårbarhed i Linux-kernen, der påvirker algif_aead kryptomodul.
Det tillader en lokal bruger at eskalere privilegier til root ved at misbruge usikker hukommelseshåndtering via AF_ALG-grænsefladen.

Hurtig konsekvensanalyse #

• Type: Lokal privilegieeskalering (LPE)
• Adgang kræves: Lokal bruger- eller containeradgang
• Påvirket: De fleste Linux-kerner (≈2017+)
• Udnyttelsespålidelighed: Høj

Risiko: Fuld root-kompromis fra uprivilegeret adgang.

Hovedårsagen #

Sårbarheden skyldes forkert håndtering af AEAD-operationer på stedet:

// Usikker antagelse if (src == dst) { process_in_place(); }

I virkeligheden, Det er ikke garanteret, at src- og dst-buffere refererer til den samme hukommelse.,
fører til kontrolleret hukommelseskorruption via genbrug af sidecache.

Sådan verificerer du eksponering #

Kontroller om modulet er indlæst #

lsmod | grep algif_aead

Tjek kerneversionen #

uname -r

Hvis du kører en ikke-patchet kerne (< 6.1.170) og algif_aead er tilgængelig, er systemet potentielt sårbart.

4. Indikatorer for udnyttelse #

• Uventet privilegieeskalering uden logfiler
• Unormal brug af AF_ALG-stik
• Høj frekvens af splice() syscalls
• Udførelsesanomalier i setuid-binære filer

Reproduktionsmønster (forenklet) #

// Åbn målbinær fil fd = open("/usr/bin/suid_binary", O_RDONLY); // Opret AF_ALG socket sock = socket(AF_ALG, SOCK_SEQPACKET, 0); // Kortlæg fil til kryptosti splice(fd, NULL, sock, NULL, size, 0); // Udløser korruption sendmsg(sock, payload, ...);

Resultatet ville være en overskrivning af sidecache og dermed en privilegering eskalering.

Øjeblikkelig afbødning #

Aflæs sårbart modul #

modprobe -r algif_aead

Bloker AF_ALG brug (eksempel) #

Via seccomp / AppArmor / SELinux:

deny socket(AF_ALG)

Bemærk: Disse er midlertidige afbødninger.

Permanent løsning #

Anvend kernelrettelser, der fjerner usikker in-place-behandling:

// Fast fremgangsmåde copy_to_temp(src); process(temp, dst);

RELIANOID Beskyttelse #

Risikoomfang #

Det berørte kernemodul findes i RELIANOID systemer, men er ikke indlæst som standard. Desuden, RELIANOID software bruger ikke og AF_ALG sokkel-grænseflade.

Derfor er risikoeksponeringen for RELIANOID Load Balancers er minimal, forudsat at ingen brugerdefinerede konfigurationer eksplicit aktiverer eller bruger denne funktionalitet.

Mitigation #

Understøttelse af afhjælpning vil blive inkluderet i vores kommende udgivelser:

• RELIANOID Enterprise Edition 8.6
• RELIANOID Fællesskabsudgave 7.10

Anbefalede handlinger #

• Hold systemet opdateret til den seneste tilgængelige version
• Revider lokal adgang (SSH, containere, CI/CD)
• Begræns AF_ALG hvis det ikke er nødvendigt
• Overvåg syscall-anomalier