Linux Kernel 7.0.5: 4 versiones con parche parcial Dirty Frag

Qué son Dirty Frag y Copy Fail técnicamente

El 1 de mayo de 2026, CISA añadió Copy Fail (CVE-2026-31431) a su catálogo de vulnerabilidades explotadas activamente. Esta falla permite escalada de privilegios a root con una tasa de éxito del 100% según el PoC público de 732 bytes liberado el 29 de abril.

Copy Fail es un bug en el subsistema criptográfico del kernel Linux, específicamente en el módulo algif_aead de la interfaz AF_ALG. Surge de una optimización introducida en 2017 que reutiliza memoria fuente como destino durante operaciones criptográficas. Un atacante no privilegiado puede escribir 4 bytes controlados en el page cache del kernel, corrompiendo binarios privilegiados como /usr/bin/su o sudo sin alterar el archivo en disco.

Dirty Frag, anunciada el 8 de mayo por Hyunwoo Kim, es una vulnerabilidad zero-day universal que afecta el manejo de fragmentos de paquetes en el page cache. Permite acceso root completo explotando buffers que apuntan a cachés de archivos protegidos. A diferencia de Copy Fail, no existe parche oficial al momento de esta publicación.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

Qué versiones de kernel están afectadas

Greg Kroah-Hartman, mantenedor principal de stable kernels desde 2006, anunció el lanzamiento de cuatro versiones con parche parcial: 7.0.5, 6.18.28, 6.12.87 y 6.6.138. Estos kernels contienen mitigaciones incompletas para ambas vulnerabilidades.

Copy Fail afecta kernels desde la versión 4.11 (2017) hasta las versiones parcheadas lanzadas entre abril y mayo de 2026. Esto representa aproximadamente 9 años de exposición para sistemas no actualizados. Las distribuciones impactadas incluyen Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1, SUSE 16, Debian, Fedora y Arch.

Dirty Frag es descrita como «universal LPE» porque funciona en todas las distribuciones mayores sin modificaciones específicas. Los maintainers de [email protected] rompieron el embargo de coordinación para alertar a la comunidad, y equipos trabajan contrarreloj en parches completos.

Impacto en infraestructura cloud y SaaS

Según Unit42 de Palo Alto Networks, entre el 70-90% de los workloads en cloud ejecutan Linux. Ambas vulnerabilidades permiten escalada de privilegios local (LPE) desde acceso no privilegiado, lo que tiene implicaciones críticas para:

Contenedores y Kubernetes: Posible breakout desde contenedores Docker comprometidos
Multi-tenant environments: El page cache compartido permite ataques cross-tenant en nodos compartidos
Integridad de sistemas: Copy Fail evade chequeos de integridad porque los archivos en disco permanecen intactos
Cadena de ataque: LPE → robo de credenciales → movimiento lateral en la infraestructura

La explotación activa de Copy Fail ya está documentada en el catálogo KEV de CISA. El PoC público de Dirty Frag incluye advertencias explícitas de «no usar en sistemas no autorizados», pero la disponibilidad pública incrementa exponencialmente el riesgo de explotación inminente.

¿Qué significa esto para tu startup?

Si tu startup opera infraestructura Linux (y probablemente lo hace, ya sea en servidores propios, VPS o cloud), esto no es teórico. Un atacante con acceso local limitado —un usuario comprometido, un contenedor escapeado, un contractor con credenciales— puede convertirse en root en minutos.

Acciones inmediatas para CTOs y founders técnicos:

Actualizar kernels YA: Ejecuta uname -r para verificar tu versión. En Ubuntu/Debian: apt upgrade linux-generic. En RHEL/CentOS: yum update kernel. Reinicia inmediatamente después.
Si no puedes parchear: Deshabilita el módulo vulnerable con modprobe -r algif_aead o añade echo 'install algif_aead /bin/false' >> /etc/modprobe.d/blacklist.conf y reinicia. Esto mitiga Copy Fail pero no Dirty Frag.
Implementar monitoreo: Usa dmesg | grep algif para detectar intentos de explotación. Herramientas como Falco o Auditd pueden alertar comportamientos anómalos en el page cache.
Auditar inventario: Usa herramientas como Trivy o Qualys para escanear todos tus sistemas Linux. Prioriza servidores expuestos a internet y nodos multi-tenant.
Reforzar contenedores: Asegúrate de usar namespaces, seccomp profiles y políticas de seguridad (SELinux/AppArmor en modo enforce) para limitar el blast radius de un posible compromiso.

Para Dirty Frag, sin parche disponible, la estrategia es defensa en profundidad: minimizar acceso local no confiable, segmentar redes, mantener backups offsite verificables y preparar un plan de respuesta a incidentes.

El proceso de parches y lecciones para el ecosistema

Este episodio expone tensiones en el proceso de disclosure de vulnerabilidades del kernel Linux. Copy Fail fue descubierta el 23 de marzo de 2026 por Theori usando su plataforma AI Xint Code (en aproximadamente 1 hora). Sin embargo, la coordinación con vendors fue deficiente: detalles públicos se liberaron antes de que parches completos estuvieran disponibles en todas las distribuciones.

Greg Kroah-Hartman y la comunidad de maintainers han expresado frustración por disclosure prematuro que deja sistemas expuestos. Para Dirty Frag, el embargo se rompió a petición de los maintainers mismos, priorizando alerta temprana sobre coordinación tradicional.

Para founders que dependen de infraestructura open-source: no asumas que estás protegido por defecto. Mantén procesos de patch management activos, suscríbete a mailing lists de seguridad ([email protected], CVE announcements), y trata actualizaciones de kernel como prioridad crítica, no como mantenimiento rutinario.