如果你在維護 Linux 伺服器或管理 Kubernetes 叢集，最近 CISA（美國網路安全與基礎設施安全局）將一個名為 CVE-2026-31431 的漏洞列入 KEV（已知被利用漏洞目錄），這意味著這個漏洞在現實世界中已經被駭客利用，不再只是理論上的風險。這個漏洞被研究人員稱為 Copy Fail，是一個非常典型的本地權限提升漏洞。
首先我們來釐清什麼是本地權限提升，也就是 Local Privilege Escalation (LPE)。簡單來說，攻擊者已經進入了你的系統，但目前只有一個權限極低的普通使用者帳號（例如一個受限的 Web 服務帳號）。他們的目標是透過系統漏洞，將自己的權限提升到 root（超級管理員），一旦拿到 root 權限，他們就能控制整台主機、讀取所有敏感資料或安裝後門。
Copy Fail 漏洞的核心問題出在 Linux 核心的身份驗證加密模板中。這是一個邏輯錯誤，有趣的是，這個漏洞並非由單一一次錯誤造成，而是由 2011、2015 和 2017 年三次看似無害的程式碼更動共同累積而成的結果。
這個漏洞最危險的地方在於它操作的是 Page Cache（頁快取）。Page Cache 是 Linux 核心用來快取磁碟檔案在記憶體中副本的機制，目的是為了加速讀取。Copy Fail 允許低權限使用者直接在記憶體中修改這些快取內容，而不需要實際修改硬碟上的檔案。
想像一下，系統中有些特殊的程式叫做 setuid binaries（例如 /usr/bin/su），這些程式在執行時會暫時獲得 root 權限。攻擊者利用此漏洞，在記憶體中修改這些程式的快取版本，將惡意程式碼注入其中。當系統執行這些程式時，實際上執行的是被竄改後的記憶體內容，從而讓攻擊者在不觸動硬碟檔案的情況下，直接獲取 root 權限。
對於現代雲端架構來說，這個漏洞對容器環境（Containerized Environments）影響極大。在 Docker、LXC 或 Kubernetes 中，如果宿主機核心載入了 algif_aead 模組，容器內的行程預設可以存取 AF_ALG 子系統（這是 Linux 核心提供的一套加密 API）。這意味著攻擊者如果攻破了一個容器，可以利用這個漏洞突破容器隔離（Container Isolation），直接控制底層的物理主機。
此外，這個漏洞的利用門檻非常低。它不需要複雜的競態條件（Race Condition，一種依賴精確時間差的攻擊）或記憶體位址猜測，只需要一個約 700 多位元組的 Python 腳本就能穩定觸發。由於它使用的是合法的系統呼叫（System Calls），傳統的監控工具很難將其與正常應用程式行為區分開來，偵測難度極高。
雖然這個漏洞不能直接從網路遠端觸發，但它非常適合被用作攻擊鏈（Attack Chain）的最後一環。例如，駭客先透過 SSH 暴力破解或利用 CI/CD 流程的漏洞進入系統，隨後立即使用 Copy Fail 取得 root 權限，完成對伺服器的全面控制。
目前 Linux 核心版本 6.18.22、6.19.12 與 7.0 已經釋出修正補丁。如果你無法立即更新核心，建議採取暫時性的緩解措施，例如禁用受影響的功能、實施嚴格的網路隔離以及強化存取控制。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。