紧急安全更新 | Linux Kernel Dirty Frag 本地提权漏洞修复，请尽快升级！
尽快修复CopyFail 内核高危漏洞
🔔 亲爱的 deepin 用户与社区伙伴们
近期，Linux Kernel 被披露存在本地权限提升漏洞，业界称为 Dirty Frag 或 Copy Fail 2。
该漏洞属于 Copy Fail 漏洞同类变种，攻击者在已获得本地低权限执行条件的情况下，可能利用该漏洞篡改只读文件的 page cache，进一步提升权限并获取 root 权限。
目前公开资料显示，该漏洞利用代码已公开传播。
鉴于其严重性和广泛影响，为确保您的系统安全，我们强烈建议所有用户尽快升级。
漏洞编号：CVE-2026-43284、CVE-2026-43500
漏洞描述：该漏洞涉及 Linux 内核网络协议栈中的 xfrm-ESP 和 RxRPC 相关处理路径。
漏洞源于零拷贝发送路径中，攻击者可通过 splice() 将只读文件的 page cache 页引入 sk_buff 的 frag 区域。
接收侧内核代码在特定条件下未对外部共享 frag 做有效隔离或复制，随后执行原地加解密操作，导致 page cache 中的数据被写入修改。
漏洞等级：高危 | 利用条件：本地低权限账户 + xfrm-ESP/RxRPC 相关路径，攻击者需具备本地低权限代码执行条件（普通用户shell、容器内进程等）。
影响范围：所有未更新 deepin 25 的用户均受影响，建议立即更新升级。
deepin 25（6.6 及 6.18 内核）：均已推送修复更新，请尽快升级！
deepin 作为在 DistroWatch 全球排名中表现亮眼、广受全球用户认可的开源操作系统，持续迭代漏洞响应，全力打造稳定可信、安全无忧的开源桌面生态。
如您在更新和使用过程中遇到任何问题，欢迎前往 deepin论坛专帖 反馈讨论！
来源：https://www.deepin.org/zh/linux-kernel-dirty-frag-vulnerability-fix/
⚠️ 麒麟软件安全公告：CopyFail (CVE-2026-31431) 高危本地提权漏洞
4月30日，麒麟软件安全团队监测到Linux Kernel crypto模块存在高危本地提权漏洞 （CVE-2026-31431，又称"CopyFail"），并**时间发布漏洞修复方案。
针对桌面和服务器产品的更详细修复方案如下，建议您根据解决方案及时防护，确保操作系统安全！
漏洞编号：CVE-2026-31431
漏洞描述：Linux Kernel algif_aead 模块（AF_ALG 用户态加密 API 的 AEAD 接口）存在本地提权漏洞，该漏洞源于2017年引入的一项 in-place 优化（commit 72548b093ee3）。
由于源数据与目标数据来自不同的内存映射，in-place 操作会将 page-cache 页面错误地放入可写目的地的 scatterlist 中。
未授权的本地攻击者可通过 splice() 将 SUID 二进制文件的页缓存页面与 AF_ALG socket 加密操作串联，实现对任意页缓存页面的可控 4 字节写入，从而篡改已加载到内存中的 SUID 程序代码，最终获取 root 权限。
威胁等级：高危 | 评分向量：CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H (7.8)
组件与操作系统关系：algif_aead 是 Linux kernel crypto 子系统中 AF_ALG 接口的 AEAD 算法实现模块，支持 GCM、CCM、authenc 等多种 AEAD 算法模式，默认通常启用。
漏洞被利用前提条件：攻击者在目标系统上拥有本地低权限账户（普通用户即可），目标内核版本包含漏洞代码（4.14 至修复前），且 algif_aead 模块可用（默认通常启用）。
漏洞被利用可能性：该漏洞利用可能性高，已有公开 POC 代码并成功验证，利用流程简单，仅需普通用户权限无需特殊配置。
桌面版：在设置-更新页面获取最新系统更新补丁，补丁版本号为：U26000x。单击更新按钮，下载系统更新补丁，并按照提示重启系统安装更新。
注：示意图片源于官方公告，实际以更新管理器为准。
服务器版：在麒麟软件客户服务门户网站 https://support.kylinos.cn/#/security/sa 检索漏洞编号“CVE-2026-31431”获取漏洞信息与补丁。
**步：更新软件源缓存
对于使用 yum 的系统：sudo yum clean all && sudo yum makecache
对于使用 dnf 的系统：sudo dnf clean all && sudo dnf makecache
第二步：升级系统内核sudo yum update kernel* 或 sudo dnf update kernel*
第三步：查看默认启动项sudo grub2-editenv list
第四步：设置默认启动项
执行 sudo grep ^menuentry /boot/efi/EFI/kylin/grub.cfg | cut -d "'" -f2 查看可用内核项，然后使用 sudo grub2-set-default "Kylin Linux Advanced Server xxxx" 设置新内核为默认启动项。
第五步：重启并验证
重启系统后执行 uname -r 确认内核版本已更新至修复版本。
下载缓解脚本：kylin_mitigate-CVE-2026-31431.zip
执行命令：
sudo bash ./kylin_mitigation-cve-2026-31431.sh脚本执行完毕后会提示“是否需要重启系统”。若出现相关提示，请按提示执行重启操作，临时缓解措施方可生效。
银河麒麟桌面和服务器 V10、V11版本均受 Copy Fail 影响，建议尽快修复更新！如有疑问，请您向麒麟软件技术服务热线400-089-1870咨询。
通讯员 | 高桐 | 来源 | 麒麟软件研究院 | 审核 | 品牌与市场部
原文：https://www.kylinos.cn/about/news/2051829003803791362.html
攻击代码已武器化且在野利用活跃。 CopyFail（CVE-2026-31431）的PoC仅有732字节，公开后24小时内CISA即确认存在在野利用。
源代码公开后7分钟内，VirusTotal即出现可执行样本，GitHub出现众多变种利用脚本，攻击门槛极低，批量扫描激增。
对云原生与容器生态的冲击（参考案例） 由于Linux内核的页缓存在容器之间共享，CopyFail和Dirty Frag均具备容器逃逸或跨容器攻击特性。
VMware Tanzu官方公告指出：即使容器内获得宿主机root权限较困难（inode映射差异），但恶意租户依然可以对同一节点上的其他容器发起攻击，打破多租户隔离信任边界。
SUSE官方公告强调：攻击者可以直接修改内存中/usr/bin/su或/etc/passwd的缓存，磁盘文件校验和未变，传统检测无效，对虚拟化环境构成严重供应链威胁。
公有云共享内核场景，恶意容器或低权限进程可利用Dirty Frag链实现静默提权，多家安全机构将其列为年度最具破坏力的本地提权漏洞链。
检测与溯源困难。 此类漏洞属于纯逻辑缺陷，无崩溃特征。它仅修改page cache而不修改磁盘文件，基于文件完整性的检测工具（rkhunter、Tripwire）完全失效，溯源极其困难。
方案一：官方补丁升级（首选） 升级linux内核至安全版本，彻底修复page cache写入逻辑。
| 发行版/产品 | 受影响版本 | 修复动作/版本要求 |
|---|---|---|
| deepin 25 / deepin 23 | 6.6 & 6.18 内核 | 已推送更新，控制中心升级并重启 |
| Ubuntu 22.04/24.04 | 内核 6.2 - 6.17 | sudo apt update && sudo apt full-upgrade -y && reboot |
| RHEL 9/10 / Rocky Linux 9 | kernel 早于修复版本 | sudo dnf update kernel -y && reboot |
| 麒麟 V10 / V11 | 所有未打补丁版本 | U26000x补丁集，按官方安全公告更新内核 |
| SUSE Linux / Amazon Linux 2023 | zypper/yum 受影响仓库 | zypper update kernel / yum update kernel |
| 通用主线内核 | 4.14~6.18 | 升级至 ≥6.18.22 / 6.19.12 / 7.0.0 |
方案二：临时缓解（无法立即重启时） 禁用受影响的内核模块，阻断攻击路径。
容器/云原生加固**实践：启用Seccomp策略限制AF_ALG套接字；在Pod Security Standards中设置allowPrivilegeEscalation: false；使用eBPF监控sk_buff异常修改行为。
CopyFail与Dirty Frag的连续暴露，标志着利用AI辅助挖掘漏洞的门槛已大幅降低（Theori团队借助AI仅1小时定位漏洞）。
攻击者发现此类逻辑漏洞的速度可能比厂商修复周期更快。
防御重心：立即升级补丁 + 临时禁用脆弱模块 + 加强内核运行时监控。
对于无法立即升级的环境，务必执行上述缓解脚本，并持续关注厂商安全公告。
本次联合资讯完整保留了deepin与麒麟软件原始安全公告，并结合行业分析提供可落地的加固指南。
确保系统及时更新，防范本地提权风险，守护核心资产安全。
来源整合：deepin社区新闻 | 麒麟软件安全公告 | 行业威胁分析 (CISA, VMware, SUSE) 推荐阅读。文档遵循CC BY-NC 4.0 分享原则。
