A Microsoft detalhou uma vulnerabilidade de alta gravidade do kernel Linux que pode permitir que um usuário native sem privilégios obtenha acesso root nos sistemas afetados.
A falha, rastreada como CVE-2026-31431 e também conhecida como “Falha de cópia”, afeta várias distribuições Linux usadas em ambientes corporativos e em nuvem. A Microsoft disse que as plataformas afetadas incluem Purple Hat, SUSE, Ubuntu, Amazon Linux, Debian, Fedora e Arch Linux, dependendo da versão do kernel e do standing do patch.
A vulnerabilidade tem uma pontuação CVSS de 7,8. A Microsoft disse que isso afeta os kernels Linux lançados a partir de 2017 até que versões corrigidas sejam aplicadas.
Uma falha native com implicações na nuvem
CVE-2026-31431 não pode ser explorado remotamente por si só. A Microsoft disse que um invasor precisaria primeiro da execução native de código como um usuário não privilegiado, uma condição que pode existir em ambientes de nuvem, CI/CD e Kubernetes onde código não confiável pode ser executado.
A falha pode se tornar mais séria quando combinada com o acesso inicial por meio de SSH, um trabalho de CI malicioso ou um processo de contêiner comprometido. Nesses casos, um invasor com acesso limitado pode tentar aumentar os privilégios de root em um sistema vulnerável.
O problema está no subsistema criptográfico do kernel Linux. A Microsoft descreveu isso como uma falha lógica no módulo algif_aead do AF_ALG, a API de criptomoeda do espaço do usuário do Linux.
A falha envolve manipulação inadequada de memória durante operações criptográficas locais. Ao abusar da interação entre a interface do soquete AF_ALG e a chamada do sistema splice(), um invasor pode realizar uma gravação controlada de quatro bytes no cache da página do kernel de um arquivo legível.
A Microsoft disse que isso pode corromper a versão na memória de binários privilegiados, como /usr/bin/su, sem alterar o arquivo armazenado no disco. O CERT-EU disse que um usuário native sem privilégios pode usar o bug para atingir um binário setuid e obter um shell root.
Por que os ambientes Kubernetes estão expostos
O problema é relevante para o Kubernetes, pois os contêineres dependem do kernel do host. A Microsoft disse que a exploração bem-sucedida poderia apoiar a fuga de contêineres, o comprometimento de vários locatários e a movimentação lateral em ambientes compartilhados.
A exploração não requer acesso remoto, uma vez que um invasor pode executar código native em um sistema vulnerável.
A Microsoft disse que a exploração bem-sucedida pode afetar a confidencialidade e a disponibilidade, dando ao invasor acesso root whole. A pesquisa pública de exploração descreveu o bug como determinístico, enquanto a Microsoft e o CERT-EU disseram que a falha envolve corrupção do cache de páginas em vez de modificação do arquivo no disco.
A Microsoft observou uma exploração ativa limitada até agora, principalmente em testes de prova de conceito.
A Agência de Segurança Cibernética e de Infraestrutura dos EUA adicionou CVE-2026-31431 ao seu catálogo de vulnerabilidades exploradas conhecidas em 1º de maio. A CISA listou-o como uma vulnerabilidade de transferência incorreta de recursos entre esferas do kernel Linux.
Prioridades de patches para equipes de nuvem
A Microsoft recomendou que as organizações identificassem os sistemas Linux afetados e aplicassem patches do fornecedor quando disponíveis. Boletins de segurança e informações sobre patches estão disponíveis na entrada do Banco de Dados Nacional de Vulnerabilidades para CVE-2026-31431.
Onde os patches ainda não estão disponíveis, a Microsoft disse que as organizações devem considerar medidas provisórias, como desabilitar o recurso afetado, bloquear a criação do soquete AF_ALG, aplicar controles de acesso ou usar isolamento de rede.
Em ambientes Kubernetes, a correção precisa abranger o sistema operacional do nó, não apenas os contêineres de aplicativos. A Microsoft aconselhou as organizações a corrigir ou atualizar os pacotes do kernel Linux, enquanto a documentação do AKS observa que as atualizações de segurança do sistema operacional dos nós são gerenciadas separadamente das atualizações de versão do Kubernetes.
A empresa também aconselhou os clientes a revisar os registros em busca de sinais de exploração. Em ambientes de contêineres, a Microsoft disse que qualquer execução remota de código de contêiner deve ser tratada como um possível comprometimento do host, com rápida reciclagem de nós após a descoberta de indicadores de comprometimento.
O Microsoft Defender XDR adicionou detecções para atividades vinculadas ao CVE-2026-31431. A Microsoft listou cobertura no Defender Antivirus, Defender for Endpoint, Defender for Cloud e Microsoft Defender Vulnerability Administration.
As detecções incluem assinaturas de exploração e comportamento para atividades baseadas em Linux e Python associadas ao Copy Fail. O Defender Vulnerability Administration também pode revelar dispositivos que podem ser vulneráveis ao CVE-2026-31431 em ambientes de clientes.
(Foto por Lucas)
Veja também: A demanda de energia do knowledge heart de IA molda o crescimento da nuvem
Quer aprender mais sobre Cloud Computing com os líderes do setor? Confira Segurança cibernética e exposição de nuvem acontecendo em Amsterdã, Califórnia e Londres. O evento abrangente faz parte TechEx e está localizado junto com outros eventos líderes de tecnologia, clique aqui para mais informações.
CloudTech Information é desenvolvido por Mídia TechForge. Discover outros eventos e webinars de tecnologia empresarial futuros aqui.