CVE-2026-31431 kernel upgrade notice - - Centre de documentation Alibaba Cloud

Contexte

La vulnérabilité CVE-2026-31431 est une faille d'élévation locale de privilèges située dans le module algif_aead du noyau Linux.

Le module algif_aead gère les opérations de chiffrement authentifié avec données associées (AEAD) en espace noyau. Un correctif d'optimisation des performances a introduit un mécanisme de partage du cache de pages. Celui-ci permet à un attaquant d'écrire 4 octets de données contrôlées dans le cache de pages de n'importe quel fichier lisible. En modifiant un binaire setuid, l'attaquant peut alors élever ses privilèges locaux pour obtenir les permissions root.

Correction

Alibaba Cloud a intégré la correction officielle upstream en publiant une nouvelle version mineure du noyau.

Cette correction annule l'opération sur place non sécurisée du module algif_aead et rétablit le mode hors place, plus sûr, pour le chiffrement et le déchiffrement :

Avant la correction : les opérations de chiffrement et de déchiffrement réutilisent le cache de pages, ce qui introduit un risque d'élévation locale de privilèges.
Après la correction : ces mêmes opérations utilisent un tampon séparé.

Important

Puisque cette correction annule une optimisation des performances upstream, elle peut entraîner une légère baisse de performance dans certains scénarios de chiffrement et de déchiffrement. Nous vous recommandons de surveiller attentivement les métriques de performance de vos applications ainsi que la stabilité du système après la mise à niveau.

Versions affectées et corrigées

Système d'exploitation

Version affectée

Version corrigée

Alibaba Cloud Linux 2

kernel-4.19.91-28.4 et versions antérieures

kernel-4.19.91-28.5.al7 ou ultérieure

Alibaba Cloud Linux 3

kernel-5.10.134-19.3 et versions antérieures

kernel-5.10.134-19.3.1.al8 ou ultérieure

Alibaba Cloud Linux 4

kernel-6.6.102-5.3 et versions antérieures

kernel-6.6.102-5.3.1.alnx4 ou ultérieure

Mise à niveau du noyau

Important

L'exécution de la commande yum update kernel met à niveau le noyau actuel vers la dernière version disponible dans le dépôt. Par exemple :

kernel-5.10.134-16 → kernel-5.10.134-19.3.1. Ce processus de mise à niveau peut impliquer des changements de compatibilité ou des régressions de performance. Vous devez contrôler strictement le rythme de déploiement, effectuer des vérifications de l'état des services et procéder à une validation canari.

Étape 1 : Créer un snapshot

Avant toute mise à niveau, créez des snapshots de votre disque système et de vos disques de données. Cela vous permettra de revenir rapidement en arrière en cas de problème.

Chemin : ECS console > Instance Details > Block Storage > Create Snapshot

Étape 2 : Installer le noyau corrigé

Méthode 1 : Mise à niveau en ligne avec YUM (recommandée)

# 1. Clean the cache.
sudo yum clean all

# 2. Install the patched kernel.
sudo yum update kernel

# 3. Confirm the default boot kernel.
sudo grubby --default-kernel

# Expected output: /boot/vmlinuz-<fixed_version_number>
# If the output shows the fixed version, no further action is needed. If not, proceed to step 4.

# 4. (Optional) Set the new kernel as the default.
# First, view all kernels and their index values.
sudo grubby --info=ALL | grep -E "^index|^kernel"

# Set the new kernel as the default (replace with the actual index value).
sudo grubby --set-default-index=<new_kernel_index>

Méthode 2 : Installation hors ligne avec RPM

# 1. Download the corresponding RPM package from an official Alibaba Cloud channel.

# 2. Install the kernel.
sudo rpm -ivh kernel-*.rpm

# 3. Confirm the default boot kernel.
sudo grubby --default-kernel

# Expected output: /boot/vmlinuz-<fixed_version_number>
# If the output shows the fixed version, no further action is needed. If not, proceed to step 4.

# 4. (Optional) Set the new kernel as the default.
# First, view all kernels and their index values.
sudo grubby --info=ALL | grep -E "^index|^kernel"

# Set the new kernel as the default (replace with the actual index value).
sudo grubby --set-default-index=<new_kernel_index>

Étape 3 : Redémarrer le système

sudo reboot

Étape 4 : Vérifier la correction

# Check the kernel version.
uname -r

# Expected output: The fixed version or a later version (see the preceding version table).

Impact de la mise à niveau

Pour les utilisateurs ne nécessitant pas la correction CVE

Si vous mettez à niveau le noyau pour d'autres raisons que la correction de cette vulnérabilité :

Absence d'utilisation du module algif_aead : la mise à niveau n'a aucun impact**. Les fonctionnalités et les performances du système restent inchangées.
Charges de travail utilisant l'interface AF_ALG pour le chiffrement ou le déchiffrement : les fonctionnalités restent opérationnelles après la mise à niveau, mais les performances du module algif_aead diminuent d'environ 5 %.

Remarque

Si vos charges de travail ne dépendent pas de algif_aead et que vous n'avez aucune exigence de sécurité ou de conformité, planifiez la fenêtre de mise à niveau selon vos besoins.
En revanche, si vous êtes soumis à des exigences de sécurité ou de conformité, ou si vos charges de travail utilisent ce module, nous vous recommandons d'effectuer la mise à niveau dès que possible.

Impact sur les performances

La correction annule une optimisation des performances upstream et remplace le mode de cache partagé par un mode à tampon séparé, ce qui peut entraîner une légère baisse de performance. À titre d'exemple :

Selon les tests effectués avec libkcapi
Avec l'algorithme AES(AESNI) GCM(ASM-RFC) 256
Les performances du module algif_aead diminuent d'environ 5 %.

Remarque

Avant la correction : utilisation du mode sur place avec un cache de pages partagé. Ce mode offre de meilleures performances mais introduit un risque de sécurité.
Après la correction : utilisation du mode hors place avec un tampon séparé, garantissant une sécurité accrue.

Nous vous conseillons d'effectuer la mise à niveau pendant les heures creuses et de surveiller les métriques de vos applications pendant 10 à 30 minutes après l'opération.

Procédure de restauration

Si vous rencontrez des problèmes de compatibilité ou de performance après la mise à niveau, utilisez l'une des méthodes suivantes pour revenir en arrière.

Méthode 1 : Restauration par snapshot (recommandée)

Arrêtez l'instance ECS.
Dans la console, restaurez le disque à l'aide du snapshot créé avant la mise à niveau.
Démarrez l'instance et vérifiez l'état de vos charges de travail.

Méthode 2 : Changement du noyau de démarrage par défaut

# 1. List the installed kernel versions.
grep menuentry /boot/grub2/grub.cfg | cut -d "'" -f2

# 2. Set the previous kernel as the default for startup.
sudo grubby --set-default-index=<previous_kernel_index>

# 3. Reboot the system.
sudo reboot

# 4. (Optional) Uninstall the new kernel and its components (using 5.10.134-19.3.1.al8 as an example).
sudo yum remove kernel-5.10.134-19.3.1.al8 \
    kernel-core-5.10.134-19.3.1.al8 \
    kernel-modules-5.10.134-19.3.1.al8 \
    kernel-modules-extra-5.10.134-19.3.1.al8 \
    kernel-modules-internal-5.10.134-19.3.1.al8

Notes

Redémarrage requis : le redémarrage du système est indispensable pour que la mise à niveau du noyau prenne effet. Si vous ne pouvez pas redémarrer le système, consultez la rubrique Atténuation par désactivation de la famille de protocoles AF_ALG dans Alibaba Cloud Linux.
Validation des charges de travail : si vos charges de travail appellent l'interface AF_ALG pour utiliser le module algif_aead, validez soigneusement leur bon fonctionnement et leurs performances après la mise à niveau.
Compatibilité : lorsque vos charges de travail utilisent des modules de noyau personnalisés, assurez-vous qu'ils sont compatibles avec la version du noyau cible avant de lancer la mise à niveau.
Surveillance : après la mise à niveau, surveillez attentivement les bases de référence de performance et les journaux d'erreurs des charges de travail à forte intensité cryptographique.