CVE-2026-31431 kernel upgrade notice - : Central de Documentação do Alibaba Cloud

Este documento descreve o impacto da vulnerabilidade de escalonamento local de privilégios CVE-2026-31431 no kernel Linux e sua correção oficial. A Alibaba Cloud fornece uma versão secundária do kernel corrigida para resolver essa vulnerabilidade, restaurando a segurança do sistema sem exigir modificações no código da aplicação.

Contexto

A CVE-2026-31431 é uma vulnerabilidade de escalonamento local de privilégios no módulo algif_aead do kernel Linux.

O módulo algif_aead executa operações de Criptografia Autenticada com Dados Associados (AEAD) no espaço do kernel. Um patch de otimização de desempenho introduziu um mecanismo de compartilhamento de cache de páginas que permite a um invasor gravar 4 bytes de dados controlados no cache de páginas de qualquer arquivo legível. Ao modificar um arquivo binário setuid, o invasor consegue escalar privilégios locais e obter permissões de root.

Correção

A Alibaba Cloud adota a correção oficial do upstream, que resolve a vulnerabilidade pelo lançamento de uma nova versão secundária do kernel.

A correção reverte a operação in-place insegura no módulo algif_aead, retornando ao modo out-of-place, mais seguro, para criptografia e descriptografia:

Antes da correção: As operações de criptografia e descriptografia reutilizam o cache de páginas, o que introduz risco de escalonamento local de privilégios.
Após a correção: As operações de criptografia e descriptografia utilizam um buffer separado.

Importante

Como esta correção reverte uma otimização de desempenho do upstream, pode haver leve redução de desempenho em alguns cenários de criptografia e descriptografia. Recomendamos monitorar atentamente as métricas de desempenho da aplicação e a estabilidade do sistema após a atualização.

Versões afetadas e corrigidas

Sistema operacional	Versão afetada	Versão corrigida
Alibaba Cloud Linux 2	kernel-4.19.91-28.4 e versões anteriores	kernel-4.19.91-28.5.al7 ou posterior
Alibaba Cloud Linux 3	kernel-5.10.134-19.3 e versões anteriores	kernel-5.10.134-19.3.1.al8 ou posterior
Alibaba Cloud Linux 4	kernel-6.6.102-5.3 e versões anteriores	kernel-6.6.102-5.3.1.alnx4 ou posterior

Atualizar o kernel

Importante

Executar yum update kernel atualiza o kernel atual para a versão mais recente disponível no repositório. Por exemplo:

kernel-5.10.134-16 → kernel-5.10.134-19.3.1. O processo de atualização pode envolver alterações de compatibilidade ou regressões de desempenho. Controle rigorosamente o ritmo da atualização, realize verificações de integridade dos serviços e validações canário.

Etapa 1: Criar um snapshot

Antes de atualizar, crie snapshots do disco do sistema e dos discos de dados. Isso permite reverter rapidamente caso ocorra algum problema.

Caminho: ECS console > Instance Details > Block Storage > Create Snapshot

Etapa 2: Instalar o kernel corrigido

Método 1: Atualização online com YUM (recomendado)

# 1. Clean the cache.
sudo yum clean all

# 2. Install the patched kernel.
sudo yum update kernel

# 3. Confirm the default boot kernel.
sudo grubby --default-kernel

# Expected output: /boot/vmlinuz-<fixed_version_number>
# If the output shows the fixed version, no further action is needed. If not, proceed to step 4.

# 4. (Optional) Set the new kernel as the default.
# First, view all kernels and their index values.
sudo grubby --info=ALL | grep -E "^index|^kernel"

# Set the new kernel as the default (replace with the actual index value).
sudo grubby --set-default-index=<new_kernel_index>

Método 2: Instalação offline com RPM

# 1. Download the corresponding RPM package from an official Alibaba Cloud channel.

# 2. Install the kernel.
sudo rpm -ivh kernel-*.rpm

# 3. Confirm the default boot kernel.
sudo grubby --default-kernel

# Expected output: /boot/vmlinuz-<fixed_version_number>
# If the output shows the fixed version, no further action is needed. If not, proceed to step 4.

# 4. (Optional) Set the new kernel as the default.
# First, view all kernels and their index values.
sudo grubby --info=ALL | grep -E "^index|^kernel"

# Set the new kernel as the default (replace with the actual index value).
sudo grubby --set-default-index=<new_kernel_index>

Etapa 3: Reiniciar o sistema

sudo reboot

Etapa 4: Verificar a correção

# Check the kernel version.
uname -r

# Expected output: The fixed version or a later version (see the preceding version table).

Impacto da atualização

Para usuários que não precisam da correção da CVE

Caso você atualize o kernel por motivos diferentes da correção desta vulnerabilidade:

Se você não utiliza o módulo algif_aead: A atualização não causa impacto**. A funcionalidade e o desempenho do sistema permanecem inalterados.
Para cargas de trabalho que usam a interface AF_ALG para criptografia ou descriptografia: A funcionalidade permanece normal após a atualização, mas o desempenho do módulo algif_aead diminui aproximadamente 5%.

Nota

Se suas cargas de trabalho não dependem do algif_aead e não há requisitos de segurança ou conformidade, agende a janela de atualização conforme sua necessidade.
Caso existam requisitos de segurança ou conformidade, ou se suas cargas de trabalho utilizarem este módulo, recomendamos atualizar o quanto antes.

Impacto no desempenho

A correção reverte uma otimização de desempenho do upstream e alterna do modo de cache compartilhado para o modo de buffer separado, o que pode causar leve redução de desempenho. Por exemplo:

Com base em testes com libkcapi
Utilizando o algoritmo AES(AESNI) GCM(ASM-RFC) 256
O desempenho do módulo algif_aead diminui aproximadamente 5%.

Nota

Antes da correção: Utiliza o modo in-place com cache de páginas compartilhado. Oferece maior desempenho, mas introduz risco de segurança.
Após a correção: Utiliza o modo out-of-place com buffer separado, proporcionando maior segurança.

Recomendamos realizar a atualização fora do horário de pico e monitorar as métricas da aplicação por 10 a 30 minutos depois.

Procedimento de reversão

Se ocorrerem problemas de compatibilidade ou desempenho após a atualização, reverta utilizando um dos métodos abaixo.

Método 1: Reversão por snapshot (recomendado)

Pare a instância ECS.
No console, reverta o disco usando o snapshot criado antes da atualização.
Inicie a instância e verifique o status das cargas de trabalho.

Método 2: Alternar o kernel padrão de inicialização

# 1. List the installed kernel versions.
grep menuentry /boot/grub2/grub.cfg | cut -d "'" -f2

# 2. Set the previous kernel as the default for startup.
sudo grubby --set-default-index=<previous_kernel_index>

# 3. Reboot the system.
sudo reboot

# 4. (Optional) Uninstall the new kernel and its components (using 5.10.134-19.3.1.al8 as an example).
sudo yum remove kernel-5.10.134-19.3.1.al8 \
    kernel-core-5.10.134-19.3.1.al8 \
    kernel-modules-5.10.134-19.3.1.al8 \
    kernel-modules-extra-5.10.134-19.3.1.al8 \
    kernel-modules-internal-5.10.134-19.3.1.al8

Observações

Reinicialização obrigatória: É necessário reiniciar o sistema para que a atualização do kernel tenha efeito. Caso não seja possível reiniciar, consulte Mitigação por desativação da família de protocolos AF_ALG no Alibaba Cloud Linux.
Validação de cargas de trabalho: Se suas cargas de trabalho chamam a interface AF_ALG para usar o módulo algif_aead, valide cuidadosamente a correção funcional e o desempenho após a atualização.
Compatibilidade: Caso suas cargas de trabalho utilizem módulos de kernel personalizados, garanta que sejam compatíveis com a versão alvo do kernel antes de atualizar.
Monitoramento: Após a atualização, monitore atentamente as linhas de base de desempenho e os logs de erro das cargas de trabalho intensivas em criptografia.