SecBoard
Zurück zur Übersicht
Hoch55 / 100Konfidenz: Hoch
In CISA KEVCVSS7.8EPSS3 %Ohne Zutun des Nutzers

Umgehend alle betroffenen Linux-Systeme auf die neuesten Kernel-Versionen patchen, die diese Schwachstelle beheben.

▸Herleitung der Bewertung(5)

Wie der Wert zustande kommt

  • Im CISA-KEV-Katalog: CVE-2026-31431+25
  • Hoechster CVSS-Basiswert 7.8+14
  • Hinweis auf verfuegbaren Angriffscode: proof-of-concept+10
  • Betrifft KRITIS-nahe Branche: transport+5
  • EPSS 3.4 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+1

Woraus sich die Konfidenz ergibt

  • 5 unabhaengige Herausgeber berichten den Sachverhalt
  • Darunter eine behoerdliche Primaerquelle
  • Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik

Mobilität

2026-005: High Vulnerability in the Linux Kernel ("Copy Fail")

CERT-EU·
Originalartikel lesen bei CERT-EU

On 29 April 2026, a high vulnerability in the Linux kernel, tracked as CVE-2026-31431 and named "Copy Fail", was publicly disclosed. The vulnerability affects every mainstream Linux distributions shipping a kernel built since 2017. A public has...

SecBoard-Einordnung

Die Verfügbarkeit eines öffentlichen Proof-of-Concept-Exploits erhöht das Risiko einer schnellen Ausnutzung. Ein Angreifer mit lokalem Zugriff könnte seine Berechtigungen auf dem System erhöhen.

Realistisch schlimmster Fall: Ein Angreifer mit bereits vorhandenem lokalem Zugriff auf ein Linux-System könnte durch Ausnutzung dieser Schwachstelle Root-Rechte erlangen und somit die vollständige Kontrolle über das betroffene System übernehmen.

Empfehlung: Umgehend alle betroffenen Linux-Systeme auf die neuesten Kernel-Versionen patchen, die diese Schwachstelle beheben. Überprüfen Sie die Kernel-Versionen aller Linux-Server und Workstations.

Key Facts

 

CVE-2026-31431CISA KEV
CVSS
7.8 · HIGH
EPSS
3.4%
Über das Netz
nein
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-05-01
Patch
unbekannt

Betroffen

Alle Organisationen, die Linux-Systeme mit einem seit 2017 erstellten Kernel betreiben, insbesondere im Transportsektor.

Hersteller

LinuxRedhat

Produkte

KernelLinux KernelOpenshift Container Platform
▸ CPE-Rohbezeichner anzeigen (8)
  • cpe:2.3:a:redhat:openshift_container_platform:*:*:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:7.0:rc1:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:7.0:rc2:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:7.0:rc3:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:7.0:rc4:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:7.0:rc5:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:7.0:rc6:*:*:*:*:*:*

Prüfen

3
  • ▸Überprüfen Sie die Kernel-Versionen aller Linux-Systeme in Ihrer Umgebung (z.B. mit 'uname -r'). Identifizieren Sie Systeme mit Kerneln, die vor den Patches für CVE-2026-31431 erstellt wurden.
  • ▸Stellen Sie sicher, dass Ihre Patch-Management-Prozesse für Linux-Systeme aktuell sind und Patches für kritische Kernel-Schwachstellen zeitnah angewendet werden.
▸ 1 weitere
  • ▸Überprüfen Sie Ihre Überwachungssysteme auf ungewöhnliche Prozesse oder Aktivitäten, die auf eine lokale Privilegieneskalation hindeuten könnten, insbesondere auf Linux-Servern.

Offene Punkte

3
▸ anzeigen
  • ▸Es wird nicht spezifiziert, welche spezifischen Linux-Distributionen am stärksten betroffen sind, außer dass es sich um 'every mainstream Linux distributions' handelt.
  • ▸Der genaue technische Mechanismus der Schwachstelle ('Copy Fail') wird im Artikel nicht detailliert beschrieben.
  • ▸Es wird nicht spezifiziert, ob die Ausnutzung der Schwachstelle spezielle Konfigurationen oder Benutzerrechte erfordert, außer dem lokalen Zugriff.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen
  • Initial Access möglich?Unklar
  • Privilege Escalation relevant?Ja
  • Exploit öffentlich verfügbar?Ja
  • Detection / Logging prüfbar?Möglich
  • Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

  • Haben wir Kubernetes extern erreichbar?

MITRE ATT&CK(1)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1068Exploitation for Privilege Escalationzugeordnet

„a high local privilege escalation vulnerability in the Linux kernel, tracked as CVE-2026-31431“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Verlauf der Belege

Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.

  1. The Hacker NewsKontext
    New Linux 'Copy Fail' Vulnerability Enables Root Access on Major Distributions
  2. CERT-EUKontext
    2026-005: High Vulnerability in the Linux Kernel ("Copy Fail")
  3. CISA Current ActivityPrimärbeleg
    CISA Adds One Known Exploited Vulnerability to Catalog
  4. Unit 42Technischer Beleg
    Copy Fail: What You Need to Know About the Most Severe Linux Threat in Years
  5. GitHub TrendingFrüherkennung
    Copy-Fail-CVE-2026-31431-Kubernetes-PoC — PoC: fully unprivileged container escape to node-level code execution on Kubernetes via CVE-2026-31431 page-cache corruption + shared image layers. Validated on Alibaba Cloud ACK and Amazon EKS.

Der Vorgang wird seit 6 Tagen berichtet.

Quellen & Belege· 5 unterschiedliche Quellen

CISA Current ActivityPrimärbelegPUBLICZuverlässigkeit A

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

Unit 42Technischer BelegPUBLICZuverlässigkeit B

Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.

The Hacker NewsKontextPUBLICZuverlässigkeit C

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

CERT-EUKontextUNKNOWNdiese Meldung

Quelle nicht eingeordnet.

GitHub TrendingFrüherkennungPUBLIC

Nutzer-/popularitaetsgetriebene Sammlung, Zuverlaessigkeit je Beitrag verschieden.

  • Mindestens eine Quelle ist noch nicht nach Herkunftsklasse eingeordnet.
  • Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

CVE-Profile

CVE-2026-31431

Branchenlage

Mobilität
Vollständigen Artikel lesen bei CERT-EU