Linux 7.2 elimina strncpy tras 6 años y 360 parches

¿Por qué Linux eliminó strncpy después de 6 años?

Linux 7.2 ha eliminado finalmente la API strncpy del kernel, cerrando un esfuerzo de seis años que requirió más de 360 parches individuales. Esta decisión no es cosmética: strncpy fue responsable de vulnerabilidades críticas como CVE-2024-39479, donde un desbordamiento de búfer en el subsistema kdb permitía escribir más allá de los límites de memoria asignados.

Para founders que construyen sobre infraestructura Linux (el 96% de los servidores cloud lo usa), esta eliminación reduce la superficie de ataque del kernel y obliga a revisar prácticas de desarrollo heredadas que aún persisten en código de producción.

¿Qué hacía vulnerable a strncpy?

La función strncpy tiene tres problemas estructurales que la hacen peligrosa en el contexto del kernel:

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

Falta de null-termination garantizada. Si la cadena de origen es igual o más larga que el tamaño especificado, strncpy no añade el carácter nulo \0 al destino. Esto deja la cadena «abierta», causando lecturas de memoria indefinidas cuando el código posterior asume que siempre está cerrada.

Uso incorrecto de argumentos de tamaño. En CVE-2024-39479, el código pasó el tamaño del búfer de origen en lugar del destino a strncpy. El resultado: la función copió más bytes de los que el búfer destino podía contener, generando un desbordamiento predecible y explotable.

Padding innecesario y costoso. strncpy rellena el resto del búfer destino con caracteres nulos si la fuente es más corta. Esta operación consume ciclos de CPU y memoria sin beneficio real en la mayoría de estructuras del kernel, y además oculta errores de lógica de longitud que podrían detectarse temprano.

¿Qué alternativas usa Linux 7.2 ahora?

El kernel reemplazó strncpy con funciones más explícitas y seguras:

memcpy / memmove: Para copiar bloques de memoria exactos cuando se verifica explícitamente que el espacio es suficiente. Su ventaja es la velocidad (sin validación de null-termination) y la previsibilidad, eliminando el comportamiento de padding automático.
strscpy: Diseñada específicamente para el kernel, garantiza null-termination sin el padding de strncpy. Asegura que la cadena siempre esté cerrada correctamente y devuelve el número de bytes copiados para verificación.
snprintf: Para copias de strings donde se necesita control de longitud y terminación. Garantiza la terminación y no sobrescribe el búfer, incluso si la cadena de origen es más larga.

La ventaja común de todas estas alternativas: requieren verificación explícita de límites antes de la operación, eliminando la ambigüedad de strncpy y previniendo desbordamientos de búfer por errores humanos.

¿Cuál es el contexto de ciberseguridad en kernels en 2026?

La eliminación de strncpy llega en un momento crítico. Entre abril y mayo de 2026, investigadores revelaron cinco vulnerabilidades graves del kernel, cada una otorgando acceso root completo a cualquier usuario conectado:

Copy-Fail (CVE-2026-31431): Un script de Python de 732 bytes podía convertir a cualquier usuario normal en root en prácticamente todas las distribuciones de Linux lanzadas desde 2017. Sin trucos de sincronización, solo un fallo lógico en el subsistema criptográfico.

Dirty Frag (CVE-2026-43284): Una vulnerabilidad en el código de red IPsec ESP que permitía escribir datos arbitrarios en la copia en memoria de archivos del sistema. Conocida como «Copy Fail 2», combinada con un fallo en RxRPC otorgaba acceso root completo.

Fragnesia / Copy Fail 3.0 (CVE-2026-46300): El tercer error en tres semanas, de la misma familia que Dirty Frag, también en el subsistema IPsec del kernel. Se publicó una prueba de concepto funcional el mismo día del anuncio.

Estas vulnerabilidades comparten un patrón: fallos lógicos en el manejo de memoria del kernel que permiten escalada de privilegios local. La eliminación de strncpy es una medida proactiva para evitar que errores similares persistan en el código base.

¿Qué significa esto para tu startup?

Si tu startup depende de infraestructura Linux (y es muy probable que sí), esta eliminación tiene implicaciones directas:

Revisión de código obligatoria. Si desarrollas módulos del kernel, drivers personalizados o código de sistema embebido que usa strncpy, debes actualizarlo inmediatamente. El código que dependa de strncpy fallará en compilación o ejecución en Linux 7.2 y versiones posteriores.

Actualización de distribuciones. Las empresas que usan Ubuntu, RHEL, CentOS, Fedora o cualquier distribución basada en Linux deben actualizar a versiones que incluyan Linux 7.2 o parches de seguridad equivalentes. El código antiguo sin adaptar puede introducir vulnerabilidades explotables.

Auditoría de dependencias. Revisa las librerías de terceros que tu stack tecnológico utiliza. Muchas dependencias heredadas pueden contener llamadas a strncpy que ahora son incompatibles o inseguras.

Acciones concretas para founders técnicos

Ejecuta un scan de código buscando todas las instancias de strncpy en tu codebase. Herramientas como grep -r "strncpy" o analizadores estáticos (Clang Static Analyzer, Coverity) pueden identificarlas rápidamente.
Reemplaza strncpy con memcpy + verificación explícita o usa strscpy/snprintf según el caso. Asegúrate de que cada copia valide que el destino tiene espacio suficiente antes de ejecutar la operación.
Actualiza tu pipeline de CI/CD para incluir checks de seguridad que rechacen código con strncpy. Esto previene regresiones y educa a tu equipo sobre prácticas seguras.
Planifica la migración a Linux 7.2 en tus servidores de producción. Coordina con tu equipo de DevOps para testear compatibilidad antes del deploy, especialmente si usas módulos personalizados o drivers de hardware.

Conclusión

La eliminación de strncpy después de seis años y 360 parches demuestra el compromiso del kernel de Linux con la seguridad proactiva. Para founders y equipos técnicos, esto no es solo una noticia de infraestructura: es un recordatorio de que las prácticas de desarrollo heredadas pueden introducir vulnerabilidades críticas años después de escritas.

La lección para tu startup: invierte en auditorías de seguridad de código regularmente, incluso en áreas que parecen estables. Lo que funcionaba hace cinco años puede ser un riesgo explotable hoy. La seguridad del kernel es la base de toda tu infraestructura cloud—no la des por sentada.