🔴 CVE-2026-31431: локальный баг, который превращает foothold в root

Если атакующий получил доступ к хосту, CI/CD runner или контейнеру, он может повысить привилегии до root. Под ударом — многие Linux-дистрибутивы с ядрами, выпущенными с 2017 года: Ubuntu, RHEL, SUSE, Amazon Linux, Debian, Fedora, Arch и др.

💡 Суть бага — в связке AF_ALG + splice(). Эксплойт позволяет перезаписать page cache readable-файла: диск не меняется, но в памяти можно повлиять на выполнение привилегированных бинарников вроде /usr/bin/su.

Почему это опасно:

🔵 локальная, но простая эксплуатация
🔵 не нужны race condition, root в контейнере или сетевой доступ
🔵 PoC уже доступен
🔵 детект сложнее из-за легитимных kernel-интерфейсов

Отдельный риск — облака и Kubernetes: контейнеры используют ядро хоста, поэтому обычный container foothold может стать компрометацией всей ноды.

🔗 Источник

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#cve_bulletin