Linux-Kernel-Schwachstellen werden Distributionen nicht vorab angekündigt

• CopyFail, eine lokale Privilegieneskalations-Schwachstelle im Linux-Kernel, gehört zu den schwerwiegendsten aktuellen „make-me-root“-Schwachstellen im Kernel
• Das Problem wurde in 4.14 mit Commit 72548b093ee38a6d4f2a19e6ef1948ae05c181f7 eingeführt und in 6.18.22, 6.19.12 und 7.0 behoben
• 6.19.12 und 6.18.22 wurden am 11. April mit einem Backport des Fixes veröffentlicht, aber in den Longterm-Versionen 6.12, 6.6, 6.1, 5.15 und 5.10 war der Fix zu diesem Zeitpunkt nicht enthalten
• Der Fix ließ sich nicht sauber anwenden auf ältere Kernel, und wenn eine sofortige Auslieferung nötig ist, kann ein Patch zum Deaktivieren des IPSec-Moduls authencesn als temporäre Gegenmaßnahme dienen
• Linux-Kernel-Schwachstellen werden Distributionen nicht vorab angekündigt, sofern der Melder sie nicht an die linux-distros ML weiterleitet; auch in diesem Fall gab es keine Vorwarnung

---

Betroffener Umfang und Fix-Status von CVE-2026-31431

• CopyFail ist eine lokale Privilegieneskalations-Schwachstelle im Linux-Kernel und gehört zu den schwerwiegendsten aktuellen „make-me-root“-Schwachstellen im Kernel
• Das Problem wurde mit Commit 72548b093ee38a6d4f2a19e6ef1948ae05c181f7 in 4.14 eingeführt und jeweils in 6.18.22, 6.19.12 und 7.0 behoben
• Fix-Commit für 6.18.22
• Fix-Commit für 6.19.12
• Fix-Commit für 7.0
• 6.19.12 und 6.18.22 wurden am 11. April mit einem Backport des Fixes veröffentlicht
• In den Longterm-Versionen 6.12, 6.6, 6.1, 5.15 und 5.10 war der Fix zu diesem Zeitpunkt nicht enthalten und er war auch nicht in der upstream stable queue sichtbar
• Da das Problem bereits 2017 eingeführt wurde, muss geprüft werden, ob auch ältere Kernel betroffen sind

Vorabbenachrichtigung für Distributionen und temporäre Gegenmaßnahmen

• Der betreffende Fix lässt sich auf ältere Kernel nicht sauber anwenden
• Es wurde versucht, für eine sofortige Auslieferung einen Backport zu erstellen, aber wegen einiger API-Änderungen war das nicht mit ausreichender Sicherheit möglich
• Als temporäre Gegenmaßnahme kann ein Patch verwendet werden, der das IPSec-Modul authencesn deaktiviert; auch ohne IPSec-Expertise ist das eher die „weniger schlechte Wahl“
• 0001-crypto-disable-authencesn-module-for-CVE-2026-31431.patch: Patch zum Deaktivieren des Moduls authencesn für CVE-2026-31431
• Linux-Kernel-Schwachstellen werden Distributionen nicht vorab angekündigt, sofern der Melder sie nicht an die linux-distros ML weiterleitet
• Auch in diesem Fall gab es keine Vorwarnung über die linux-distros ML