El director de seguridad de la información de SlowMist (SlowMist) 23pds publicó en X el 30 de abril que, en sistemas Linux, se encontró una vulnerabilidad de lógica llamada «Copy Fail» (CVE-2026-31431), que puede aprovecharse con suma facilidad; SlowMist recomienda a los usuarios actualizar el kernel de forma inmediata.
Información básica de la vulnerabilidad y alcance afectado
Según el informe técnico del 29 de abril del equipo de investigación Xint Code, CVE-2026-31431 es una vulnerabilidad de lógica en la plantilla de cifrado/validación de núcleo de Linux (AEAD) algif_aead.c, que aprovecha una llamada en cadena de AF_ALG + la función splice(). Esto permite a usuarios locales sin privilegios realizar una escritura controlada determinista de 4 bytes en la caché de páginas de archivos arbitrarios legibles del sistema y, posteriormente, obtener privilegios de root al comprometer binarios setuid.
Según el informe de Xint Code, se ha probado y confirmado que las distribuciones y versiones de kernel afectadas incluyen:
Ubuntu 24.04 LTS: kernel 6.17.0-1007-aws
Amazon Linux 2023: kernel 6.18.8-9.213.amzn2023
RHEL 10.1: kernel 6.12.0-124.45.1.el10_1
SUSE 16: kernel 6.12.0-160000.9-default
Según el informe de Xint Code, la causa raíz de esta vulnerabilidad radica en una optimización en su lugar (in-place) de AEAD introducida en 2017 en algif_aead.c (commit 72548b093ee3), que hace que las páginas de caché provenientes de splice() se coloquen en una lista dispersa escribible; junto con la operación de escritura temporal del encapsulador AEAD authenticsn, esto conforma una ruta explotable.
Cronograma de divulgación coordinada y medidas de remediación
Según el cronograma divulgado por Xint Code el 29 de abril, CVE-2026-31431 se reportó el 23 de marzo de 2026 al equipo de seguridad del kernel de Linux. El parche (a664bf3d603d) se completó su revisión el 25 de marzo, se envió al kernel principal el 1 de abril, el 22 de abril se asignó formalmente el CVE y el 29 de abril se divulgó públicamente.
Según el informe de Xint Code, las medidas de remediación incluyen: actualizar los paquetes de software del kernel de la distribución (las distribuciones principales deberían publicar este parche mediante la actualización normal del kernel). Si se necesita mitigación inmediata, se puede impedir la creación de sockets AF_ALG mediante seccomp, o ejecutar el siguiente comando para añadir el módulo algif_aead a una lista negra: echo “install algif_aead /bin/false” > /etc/modprobe.d/disable-algif-aead.conf.
Según el informe de Xint Code, esta vulnerabilidad también afecta escenarios de cruce de límites entre contenedores, debido a que la caché de páginas se comparte con el host; los impactos relacionados con la evasión de contenedores de Kubernetes se divulgarán en la segunda parte.
Preguntas frecuentes
¿Cuál es el alcance del impacto de CVE-2026-31431?
Según el informe de Xint Code del 29 de abril y la alerta de 23pds de SlowMist del 30 de abril, CVE-2026-31431 afecta a casi todas las distribuciones Linux principales publicadas desde 2017, incluyendo Ubuntu, Amazon Linux, RHEL y SUSE; un script de Python de 732 bytes puede obtener privilegios de root sin necesidad de privilegios.
¿Cuál es la mitigación temporal de esta vulnerabilidad?
Según el informe de Xint Code del 29 de abril, se puede bloquear la creación de sockets AF_ALG mediante seccomp, o ejecutar echo “install algif_aead /bin/false” > /etc/modprobe.d/disable-algif-aead.conf para añadir el módulo algif_aead a la lista negra y mitigar de forma inmediata.
¿Cuándo se publicó el parche de CVE-2026-31431?
Según el cronograma divulgado por Xint Code el 29 de abril, el parche (a664bf3d603d) se envió al kernel principal de Linux el 1 de abril de 2026; las distribuciones principales deberían publicar este parche mediante la actualización normal de paquetes de kernel.
Aviso legal: La información de esta página puede proceder de terceros y no representa los puntos de vista ni las opiniones de Gate. El contenido que aparece en esta página es solo para fines informativos y no constituye ningún tipo de asesoramiento financiero, de inversión o legal. Gate no garantiza la exactitud ni la integridad de la información y no se hace responsable de ninguna pérdida derivada del uso de esta información. Las inversiones en activos virtuales conllevan riesgos elevados y están sujetas a una volatilidad significativa de los precios. Podrías perder todo el capital invertido. Asegúrate de entender completamente los riesgos asociados y toma decisiones prudentes de acuerdo con tu situación financiera y tu tolerancia al riesgo. Para obtener más información, consulta el
Aviso legal.
Artículos relacionados
El exploit de Scallop Protocol drena 150.000 tokens SUI el 28 de abril
Según los desarrolladores de la Sui Foundation y Scallop, el protocolo de préstamos Scallop en la red Sui sufrió un exploit de seguridad dirigido el 28 de abril de 2026, lo que provocó el drenaje no autorizado de aproximadamente 150.000 SUI desde un pool de liquidez de recompensas, con un valor de alrededor de 140.000 dólares.
GateNewsHace38m
Los hacks de DeFi alcanzaron 624,58 millones de dólares en abril de 2026, la sexta mayor pérdida registrada, con la mayoría de incidentes
Según DefiLlama, los hacks de DeFi y de la infraestructura on-chain causaron 624,58 millones de dólares en pérdidas en abril de 2026, lo que marca la sexta mayor pérdida mensual registrada. Los 23 incidentes registrados ese mes también representan el mayor número de ataques en un solo mes desde que comenzó el seguimiento en
GateNewsHace49m
El exploit de SWEAT Protocol fue contenido y los saldos de los usuarios fueron restablecidos
El protocolo SWEAT contuvo con éxito un exploit de varios millones de dólares el miércoles aproximadamente a las 13:36 UTC, y el equipo confirmó que todos los saldos de las cuentas externas se han restaurado por completo y que las operaciones han vuelto a la normalidad, según un informe posterior al hack compartido por el equipo de SWEAT el
CryptoFrontierhace1h
Aftermath Finance sufrió un ataque con pérdidas de 1,14 millones; Mysten Labs apoya el reembolso completo a los usuarios
Según el análisis técnico del incidente de ataque publicado por GoPlus el 30 de abril y el comunicado oficial de Aftermath Finance, la plataforma de contratos perpetuos Aftermath Finance en la cadena Sui fue atacada el 29 de abril y sufrió pérdidas superiores a 1,14 millones de dólares; el equipo del proyecto anunció que, con el apoyo de Mysten Labs y la Fundación Sui, todos los usuarios recibirán una compensación total.
MarketWhisperhace4h
Aftermath Finance pierde más de $1.14M en un ataque el 29 de abril, prometiendo compensación total a los usuarios
Según PANews, Aftermath Finance, una plataforma de futuros perpetuos en la blockchain Sui, perdió más de $1.14 millones en un ataque el 29 de abril. El análisis de GoPlus reveló que los atacantes explotaron una vulnerabilidad de discrepancia de símbolos en la función calculate_taker_fees al robar privilegios ADMIN mediante la función add_integrator_config para extraer repetidamente tokens.
GateNewshace5h
El protocolo SWEAT fue robado con 13.71 mil millones de tokens, se suspendieron los contratos y los fondos de los usuarios se recuperaron completamente
De acuerdo con el informe posterior publicado después del ataque al protocolo SWEAT, los fondos de los usuarios robados en el incidente de vulnerabilidad ocurrido el miércoles ya se han recuperado por completo, y la operación del protocolo ha vuelto a la normalidad. La empresa de seguridad criptográfica Blockaid estima que el atacante robó aproximadamente 137.1 mil millones de tokens SWEAT; el equipo de SWEAT suspendió rápidamente el contrato de tokens y se coordinó con los exchanges y el proveedor de liquidez Rhea Finance, y finalmente restauró los saldos de todas las cuentas de los usuarios.
MarketWhisperhace6h
