Nueva vulnerabilidad 'Copy Fail' en Linux permite acceso root

Se ha identificado una vulnerabilidad de escalada de privilegios en el núcleo de Linux, identificada como CVE-2026-31431. El fallo permite que un usuario local no autenticado obtenga acceso root mediante la manipulación de la caché de página en diversos sistemas operativos.

Investigadores de Xint.io y Theori han revelado la vulnerabilidad CVE-2026-31431, apodada Copy Fail, la cual afecta a prácticamente todas las distribuciones de Linux lanzadas desde 2017, incluyendo Amazon Linux, RHEL, SUSE y Ubuntu. El fallo tiene una puntuación CVSS de 7.8 y se origina en un error lógico dentro del módulo algif_aead del subsistema criptográfico del núcleo.

Mecánica de la vulnerabilidad

El problema se introdujo en un commit de código fuente en agosto de 2017. La falla permite a un usuario local no autenticado escribir cuatro bytes controlados en la caché de página de cualquier archivo legible. A través de este método, un atacante puede corromper un binario setuid y obtener privilegios de administrador. La explotación es confiable y no depende de condiciones de carrera o desplazamientos del núcleo.

Aunque no es explotable de forma remota de manera aislada, la vulnerabilidad tiene un impacto significativo en entornos de contenedores, ya que la caché de página se comparte entre todos los procesos del sistema. La técnica es similar a la de Dirty Pipe (CVE-2022-0847), pero se localiza en un subsistema distinto. David Brumley de Bugcrowd indicó: «Copy Fail pertenece a la misma clase de primitiva, en un subsistema diferente».

Alcance y severidad

La vulnerabilidad es especialmente peligrosa porque es portátil, pequeña, sigilosa y permite el salto entre contenedores (cross-container). Un script de Python de 732 bytes es suficiente para ejecutar la explotación en diversas distribuciones. Según un portavoz de Xint.io, la falla permite a cualquier cuenta de usuario, sin importar su nivel de permisos, obtener acceso total de administrador y eludir el sandboxing en todas las versiones de Linux.

Por qué importa y qué hacer

El impacto de Copy Fail es relevante para la infraestructura que utiliza contenedores, ya que permite que un proceso con privilegios mínimos rompa el aislamiento y acceda a la raíz del sistema. Al ser una vulnerabilidad que afecta a múltiples distribuciones populares y no requiere condiciones de carrera, el riesgo de escalada de privilegios en servidores y nodos de infraestructura es alto.

• Actualice el núcleo de Linux a la versión más reciente proporcionada por su distribución (Amazon Linux, RHEL, SUSE o Ubuntu).
• Verifique que los parches para el módulo algif_aead estén aplicados en sus servidores.
• Monitoree procesos sospechosos que intenten realizar operaciones de escritura en archivos setuid.
• Revise las políticas de seguridad de sus contenedores para asegurar que no compartan recursos críticos de forma no necesaria.

Relacionado:
Debian 13.7 incluye correcciones de 92 avisos de seguridad
Nuevo fallo en el kernel de Linux permite a usuarios locales obtener root vía Open vSwitch
CVE-2026-31431: Vulnerabilidad Copy Fail permite escalada de privilegios a root en Linux

Fuente:
https://thehackernews.com/2026/04/new-linux-copy-fail-vulnerability.html

Nota elaborada por Ciberseguridad en español a partir de información publicada por The Hacker News. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.