Copy Fail漏洞排查指南：版本、AF_ALG与防护

一、漏洞结论与来源

Copy Fail（CVE-2026-31431）是一个被报告的Linux本地提权漏洞。现有材料称，问题位于内核加密接口子系统的algif_aead相关代码中。该代码通过AF_ALG套接字向用户态提供AEAD类对称加密服务。

本文依据的材料尚未经官方来源核实。受影响的内核版本范围、修复提交、具体函数和细节都需要以下来源确认：

1. NVD中该CVE条目的受影响版本范围和CVSS向量。
2. kernel.org安全公告，以及对应稳定分支的修复提交。
3. 你所用发行版（如RHEL、Ubuntu、Debian、SUSE）的安全公告，以及已修复的内核包版本。

在官方确认前，请不要依据本文的版本判断直接结束排查。

二、触发条件

只有同时满足以下条件的主机，才需要尽快处理：

1. 内核版本落在官方公告列出的受影响范围内，且发行版尚未提供修复包或尚未安装。
2. 内核编译了AEAD用户态接口，即CONFIG_CRYPTO_USER_API_AEAD为y或m。
3. 普通用户可以创建AF_ALG套接字。除非有seccomp、LSM或模块屏蔽策略，普通进程一般都能创建该类套接字。
4. 主机上存在非特权的本地代码执行入口。例如：多个普通用户共用一台主机，运行不可信容器，CI Runner执行外部提交的代码，或Web服务可被攻击者执行命令。

如果第1项不成立，说明版本不在范围内或已修复，应按常规更新周期处理。如果第2项不成立，说明接口未编译，风险明显降低。如果第3项被策略屏蔽，攻击面也会缩小。即便如此，仍建议完成补丁升级。

三、排查命令

下表列出每项检查的命令、预期结果和不满足时的处理方式。除表格中的命令外，还需要在宿主机上执行检查。容器内通常看不到/boot目录，也可能无法读取/proc/config.gz。

检查项	命令	预期结果	不满足时的动作
运行中的内核版本	uname -r	输出如6.8.0-xx-generic	与官方受影响版本对比，落在范围内则进入第二步
已安装的内核包	RHEL系：rpm -q kernel；Debian/Ubuntu：`dpkg -l ‘linux-image-*’ \	grep ^ii`	已安装版本不低于发行版公告中的修复版本	安排升级，并在升级后重启
AEAD接口编译状态	grep CONFIG_CRYPTO_USER_API_AEAD /boot/config-$(uname -r) 或 `zcat /proc/config.gz \	grep CONFIG_CRYPTO_USER_API_AEAD`	输出=y或=m表示存在；# is not set或无输出表示未编译	未编译则风险降低；存在则进入下一步
模块加载状态	`lsmod \	grep algif_aead`	有输出表示已加载	已加载且模块化的内核，可按第四节禁用；内建模块不会出现在lsmod中，需以上一步结果为准
模块自动加载是否被屏蔽	modprobe -n -v algif_aead	显示install ... /bin/false表示已屏蔽；显示insmod路径表示仍可自动加载	需要屏蔽时，参照第四节配置

判断结论如下。内核版本已修复、或接口未编译、或模块已被屏蔽，即可认为本机风险已解除或明显降低。内核仍在受影响范围内，且接口可用、普通用户可访问时，应列为高优先级，立即执行第四节的措施。

四