Copy Fail：Linux 内核 2017 年至今的高危漏洞（附临时缓解方案） | CVE-2026-31431
内容提要
Linux内核存在高危漏洞CVE-2026-31431，可被脚本利用直接提权至root。临时缓解方案为禁用AF_ALG：执行rmmod algif_aead，并在/etc/modprobe.d/disable-algif.conf中禁止加载。该漏洞影响面广，建议尽快检查服务器。
延伸解读
漏洞影响范围与时间跨度
该漏洞自2017年起潜伏于Linux内核，影响近十年间发布的大量发行版和服务器。由于AF_ALG接口被广泛使用，攻击面较大，任何未打补丁的系统都可能被脚本直接提权至root。建议管理员尽快排查所有Linux主机，尤其是对外提供服务的生产环境。
临时缓解措施的操作要点
文章给出的临时方案是禁用AF_ALG模块：先执行rmmod algif_aead卸载模块，再通过/etc/modprobe.d/disable-algif.conf禁止其自动加载。操作后需验证模块是否已禁用，并注意这仅是临时缓解，不能替代内核补丁。若业务依赖AF_ALG，需评估影响后再实施。
验证与后续建议
作者通过实际测试确认，禁用AF_ALG后利用脚本会因找不到相关套接字而失败。读者可参考此方法验证缓解效果。但长期来看，应关注官方内核更新，及时安装修复补丁。同时，限制本地低权限用户的异常行为也有助于降低风险。
Q&A
CVE-2026-31431 是什么漏洞？
CVE-2026-31431 是一个 Linux 内核高危漏洞，自 2017 年起存在近 10 年，可被脚本利用直接提权至 root。
如何临时缓解 CVE-2026-31431 漏洞？
临时缓解方案是禁用 AF_ALG：执行 rmmod algif_aead，并在 /etc/modprobe.d/disable-algif.conf 中写入 install algif_aead /bin/false 以禁止加载。
为什么禁用 AF_ALG 可以缓解该漏洞？
因为 SSH/OpenSSL 等安全基建库几乎都使用自行维护的用户态加密库，所以 AF_ALG 可以直接禁用，作为临时缓解措施。
这个漏洞的影响范围有多大？
影响面甚广，建议尽快检查自己的服务器。
如何验证漏洞是否被成功缓解？
再次运行利用脚本（如 test.py），如果出现 FileNotFoundError 等错误，说明缓解生效。
漏洞利用脚本的大致原理是什么？
脚本通过创建 AF_ALG 套接字，绑定到 aead 算法，设置特定选项并发送消息，利用 splice 等操作实现提权。
