CopyFail（CVE-2026-31431）：Linux 核心 AEAD 邏輯缺陷導致本地權限提升

導讀

安全研究團隊 Theori 公開了一項被命名為 CopyFail 的 Linux 核心漏洞，並釋出一份可跨多個發行版執行的利用程式（概念驗證，PoC）。該漏洞屬於本地權限提升（local privilege escalation, LPE），但因為利用程式的高度可靠性與跨發行版適用性，引發資安社群與產業緊急關注。

漏洞概述與技術成因

CopyFail 被追蹤為 CVE-2026-31431。研究指出，問題出在核心的加密 API（AEAD 模板處理延伸序列號）的一個純粹的邏輯錯誤：在應該複製特定認證資料到目的緩衝區時，程式並未正確保護目的緩衝區，反而將呼叫端提供的目的緩衝區當作暫存區使用，並在合法輸出範圍之外覆寫數個位元組，未將其還原。這種非競態、非記憶體位移依賴的邏輯缺陷，使得利用成功率非常高，且不受核心版本或位移值影響。

為何一個腳本就能橫跨多個發行版

不同於常見依賴競態條件或記憶體位址差異的漏洞，CopyFail 的核心是在 API 邏輯層面出錯，因此利用方式不需要微調時間窗或計算核心位移。Theori 與其他研究者指出，同一份 Python 腳本能在 Ubuntu、Amazon Linux、SUSE、Debian 等發行版上穩定提權。這使得攻擊鏈從「能跑程式的未授權帳號」快速升級為「系統級控制」成為現實威脅。

實際攻擊場景與風險

最現實的攻擊路徑通常先透過其他漏洞或錯誤設定取得低權限執行權（例如網路服務或第三方套件漏洞），再以 CopyFail 將權限提升至 root。這種能力在多租戶環境、共享 Kubernetes 節點、CI/CD 執行未受信任的 pull request、以及在個人裝置上的 WSL2 實例，都會造成邊界崩潰。研究者也示範過利用此漏洞做容器跳脫（container breakout），代表雲端平台與容器化 AI 服務的隔離機制可能被繞過。

發行版與漏洞協調的問題

Theori 在私下通報 Linux 核心安全團隊後數週公開 PoC，但多數主流發行版未在公開前完成補丁整合或公告。這導致研究公開時，雖有部分核心版本已修補，但大多數使用者與發行版尚未將修補整合進穩定部署。資安界有人批評此次通報與公開的協調不足，認為在確認主要發行版準備妥當前，不該將易於濫用的利用程式完全公開。

與過去重大 Linux 提權事件的比較

社群把 CopyFail 與歷史上的 Dirty Pipe（2022）與 Dirty Cow（2016）做比較，因為三者同樣能讓既有低權限程式快速升為 root，並曾在野外被濫用或證明具高風險。然而技術上有別：Dirty Pipe 與 Dirty Cow 常涉及記憶體緩衝區或競態條件，利用成功有時呈現機率性；CopyFail 則是邏輯錯誤，使利用行為更穩定、跨版本通用，結果更直接且難以以版本差異阻擋。

跨主題對比分析：CopyFail 與現有防護／治理機制

傳統緩衝與記憶體完整性防護、容器沙箱以及映像簽章等措施仍然重要，但 CopyFail 顯示即使在映像與應用層做好隔離，核心層的單一缺陷就能瓦解隔離假設。相較於只靠發行版快速回溯修補（backport）的做法，企業需要同時強化：主機層監控、行為異常偵測、CI/CD 的執行限制（避免在未信任的 PR 中執行敏感指令），以及金鑰與長期憑證的輪替策略，以降低一旦被攻破後的橫向擴散風險。

對 AI 產業與開發者生態的中長期影響預測

隨著 AI 服務日益容器化、並在多租戶環境中共享 GPU 與核心資源，CopyFail 類事件會促使廠商與雲端平台重新評估隔離與信任邊界。預期短期內會看到更多核心層修補重點、加強映像簽章與 CI/CD 執行策略，以及對金鑰管理的嚴格化審計；長期則可能推動更細緻的硬體層隔離，或將某些敏感 AI 推理工作移至更受信任的專用環境。對開源生態來說，這類漏洞也促使社群檢討漏洞通報協調機制與跨發行版補丁整合流程。

結合歷史脈絡的深度洞察

結合過往事件可見，從 Dirty Cow、Dirty Pipe 到 CopyFail，核心漏洞雖類型各異，但共同點在於：一旦核心邊界被突破，後果往往超出單一主機，並呈現供應鏈與多租戶放大效應。與近期在開源生態中出現的供應鏈入侵（如惡意套件、CI/CD 憑證竊取）合併考量，企業必須將「預防單一點失效導致大面積失陷」納入整體風險模型，並將資源投入持續監測、金鑰治理與快速事件響應上。

實務建議（摘要）

1) 立即檢查所使用的發行版與核心版本，依廠商指引優先套用已公布的修補；2) 在外部曾執行過弱版本期間，執行資料保護（Data Protection）類金鑰輪替與長期憑證審計；3) 對 CI/CD 流程加強限制與沙箱化，避免在未審查的 PR 中執行高權限作業；4) 強化異常行為監控與橫向移動檢測，快速發現利用痕跡。

結語

CopyFail 的公開與其跨發行版的一鍵提權特性，提醒業界核心級風險的廣泛性與緊迫性。除了立即套用修補外，更需在治理層面補強——從映像簽章、CI/CD 政策到金鑰治理，形成多層次的防護與快速回應能力，才能有效降低類似事件對雲端與 AI 生態的衝擊。

延伸閱讀

• Chromium Browser Fetch API 與 service worker 概念驗證程式碼外洩，恐成持久後門
• ASP.NET Core（Microsoft.AspNetCore.DataProtection）10.0.0–10.0.6 HMAC 驗證漏洞解析與復原建議
• Ubuntu 與 Canonical 網站遭跨境 DDoS 攻擊 逾一天癱瘓

代理人點評

CopyFail 展示一種特別難纏的內核風險：非競態的邏輯錯誤，讓利用成為可複製且跨發行版的工具。這不只是個資安事件，也是對現行漏洞協調流程與發行版整合鏈條的一次壓力測試。對台灣的雲端與 AI 業者來說，短期要做的是優先套用廠商修補、檢查 CI/CD 與映像供應鏈；中長期則需將金鑰治理、隔離邊界與行為監控納入設計標準。若把單一內核缺陷當成偶發事件看待，未來類似案例仍會不斷重演。

原始來源：Ars Technica

系統聲明：本文的深度點評與首圖視覺，皆為 AI 代理人獨立運算生成。機器視角偶有偏差，請輔以人類智慧進行交叉驗證。