本安全公告针对 Linux 内核中被称为 “Copy Fail” (CVE-2026-31431) 和 “Dirty Frag” (CVE-2026-43284、CVE-2026-43500) 的漏洞。公开研究显示，非特权本地用户可能利用这些漏洞，在受影响的系统中完成本地提权。这些漏洞无法远程利用。已发布的漏洞利用情况表明，本地用户可在非容器化部署中获取 root 权限。在执行任意或不可信第三方工作负载的容器化环境中，这些漏洞也可能被利用，导致容器逃逸和主机被入侵的情况发生。

CVE-2026-31431

在 Linux 内核中，已修复以下漏洞：crypto: algif_aead——恢复为异地操作。此次更改主要撤销了提交 72548b093ee3，而关联数据复制方式保持不变。由于源和目的地来自不同映射，在 algif_aead 中进行原地操作并无优势。移除原地操作带来的复杂性，直接复制关联数据。

CVE-2026-43284, CVE-2026-43500

Linux 内核的 IPsec (ESP) 和 RxRPC 网络堆栈中存在两个相关漏洞，统称 “Copy Fail”。非特权本地攻击者可利用这些漏洞确定性地覆写内核页面缓存，造成本地提权 (LPE)，从而获得完整的 root 控制权。

由于这些问题属于高风险等级，用户应立即执行解决方案，以降低安全风险。

已识别的漏洞类型和潜在影响如下所示

漏洞评分信息

解决方案

下表列出所有受影响的产品系列。用户应遵循以下解决方案修复受影响系统。

更新说明

受影响产品运行的操作系统为 Moxa Industrial Linux (MIL) 或 Debian Linux。每一操作系统所需更新流程不尽相同。操作之前，请先根据受影响产品列表确认设备的操作系统类型，再依照以下相应说明进行更新。

以下软件包可用于修复受影响系统。

针对 MIL 产品

MIL 产品通过 Moxa APT 服务器接收安全更新。

选择与您的网络环境匹配的流程：

• 在线：设备可直接访问 Moxa APT 服务器。
• 离线：设备在物理隔离或受限网络中运行。

在线更新流程

离线更新流程

此流程适用于在物理隔离环境中运行的系统。

前提条件

• 一台与目标系统的产品型号和 MIL 系统版本均相同并可连接物联网的中转设备。

离线步骤 1——在中转机上下载

• 依据您的企业安全策略，通过经认证的 USB 驱动等授权安全介质，将下载的 .deb 文件传输至目标系统。

离线步骤 2——在目标系统上安装

• 备份关键配置文件或创建系统快照。
• 进入已传输 .deb 文件所在的目录，并安装：

• 注意：若出现依赖错误，请确保所有必需的依赖包均已包含在内。

更新后验证

• 更新安全补丁后，必须重启系统，再执行版本检查，以确保更新成功。
• 针对上述软件包列表中产品系列下的软件包，请逐一执行以下命令：

更新后清理

若您已采取临时防护措施，请在安装并验证更新后，参考“防护措施移除”部分，将临时措施移除。

针对 Debian 产品

BXP、DRP 和 RKP 系列均运行 Debian Linux 系统。安全更新通过 Debian 安全库和 Moxa x86 SDK 进行。

选择与您的网络环境匹配的流程：

• 在线：设备可直接访问 Debian 安全库。
• 离线：设备在物理隔离或受限网络中运行。

前提条件

请前往 Moxa 官网产品页面，在资源板块下载 x86 SDK。

更新流程

• 第 1 步——添加 Debian 安全库

  • 在线：在目标系统上运行。离线：在中转机上运行。

  • Debian 11 (Bullseye):

    echo "deb http://security.debian.org/debian-security bullseye-security main contrib non-free" | sudo tee -a /etc/apt/sources.list

  • Debian 12 (Bookworm):

    echo "deb http://security.debian.org/debian-security bookworm-security main contrib non-free non-free-firmware" | sudo tee -a /etc/apt/sources.list

• 第 2 步——更新软件包索引并升级内核l

  • 在线

    • sudo apt-get update

      sudo apt-get install --only-upgrade linux-image-amd64 -y

  • 离线
    • 在中转机上下载

    • sudo apt-get update

      mkdir /tmp/cve-update && cd /tmp/cve-update

      sudo apt-get download linux-image-amd64

    • 通过授权安全介质，将下载的 .deb 文件传输至目标系统。再在目标系统上，备份关键配置文件并安装：

    • cd /path/to/deb-files/

      sudo dpkg -i *.deb

    • 注意：若出现依赖错误，请确保所有必需的依赖包均已包含在内。

• 第 3 步——重装 x86 SDK

  • 重装 x86 SDK，针对更新后的内核重构内核模块。

  • unzip <downloaded_sdk>.zip

    cd Moxa_x86_Linux_SDK_<ver>_Build_<build_date>

    ./install.sh -y

• 第 4 步——重启系统

  • reboot

• 第 5 步——清理
  • 若您已采取临时防护措施，请在安装并验证更新后，参考“防护措施移除”部分，将临时措施移除。

防护措施

临时防护措施——模块黑名单

若更新无法立即执行，可采取以下防护措施。此过程会禁用易受攻击的内核模块，从而有效关闭受影响系统中已知的 CVE-2026-31431、CVE-2026-43284 和 CVE-2026-43500 攻击路径。

重要提示：在采取此防护措施前，请先阅读下文的“功能影响分析”部分。禁用 IPsec 模块 (esp4/esp6) 将中断所有 VPN 隧道。请勿将此防护措施盲目用于依赖 IPsec 进行网络连接的系统。此外，第 3 步（清空页面缓存）可能导致 I/O 性能短暂下降，因为缓存数据必须从磁盘重新加载。建议在 I/O 密集型系统的既定维护窗口期内执行此步骤。
 

第 1 步：缓解 CVE-2026-31431（algif_aead 模块）

针对 AIG-302 系列和 UC-8200 系列：

algif_aead 在此固件中作为内核内建的模块编译，因此无法在运行时通过 modprobe 或黑名单移除。唯一的防护措施是在启动时通过 initcall_blacklist 内核参数阻止其初始化。

⚠️ 这些命令会直接修改启动装载的环境变量。操作失误可能导致设备无法启动，需要通过串口 Console 进行手动恢复。确保具备物理访问权限后再进行操作。

⚠️ 重启前，请先验证更改内容

确认输出与上述设置值一致，再重启设备，让更改生效。

一旦应用了包含官方修复的固件更新，请恢复启动配置：

针对所有其他产品：

创建黑名单配置，卸载模块，并进行验证：

无输出表示模块未加载。

第 2 步：缓解 CVE-2026-43284（esp4/esp6 模块——IPsec）

判断 IPsec 是否在使用中

检查您的系统是否已加载 esp4/esp6 模块：

如果无输出返回，则表示 IPsec 未运行，您可安全地使用阻止列表方法。如果输出中出现模块信息，请通过执行以下命令来确认 IPsec 是否已配置：

如果任一命令显示活跃条目，则说明 IPsec 在使用中。根据您的 IPsec 需求，选择合适的方法。

阻止列表方法

警告：此方法会禁用 IPsec。仅在系统不需要 IPsec 连接时，使用此方法。

用户命名空间限制方法

这一方法通过限制非特权用户命名空间，而非禁用 esp4/esp6 模块，来保持 IPsec 功能。

警告：无 root 特权容器、浏览器沙盒功能和 Flatpak 将受影响。root 特权容器和常规应用程序继续正常运行。

第 3 步：缓解 CVE-2026-43500（rxrpc 模块）

rxrpc 模块为 Andrew 文件系统 (AFS) 提供 RxRPC 协议支持。大多数工业部署中并不使用 AFS。请通过以下命令禁用该模块：

无输出表示模块已成功禁用。

第 4 步：验证

确认所有目标模块均已不再加载：

无输出即防护成功。若有模块仍处于加载状态，则说明正被活跃连接使用。请在下一维护窗口期内安排系统重启，以完成防护。

第 5 步：清理页面缓存（可选）

⚠️ 注意：随着缓存重新填充，磁盘 I/O 会暂时增加。文件服务器或数据库服务器可能出现短期读取性能下降。

功能影响分析——执行前必读

• algif_aead：影响极小。仅影响使用 Linux 用户空间加密套接字 API 的自定义应用程序。标准工业应用不受影响。
• esp4 / esp6 (IPsec)：
  • 阻止列表方法：影响大。禁用模块将立即终止所有 IPsec/VPN 隧道，并阻止它们重新建立。请勿在基于 IPsec 实现网络通信或 OT/IT 隔离的设备上使用此方法。
  • 用户命名空间限制方法：可保留 IPsec 功能，但会影响无 root 特权容器 (Docker/Podman)、沙盒浏览器和 Flatpak 应用程序。特权容器和标准应用程序不受影响。
• rxrpc：预期影响极小。RxRPC 是专有 Linux 网络协议。标准 Moxa 工业应用或典型默认部署均不采用该协议。禁用 rxrpc 模块预计不会影响设备正常运行。运行自定义应用程序、第三方软件包或非标准集成方案的客户，在采取此防护措施之前，应先确认运行环境不需依赖 RxRPC。

   

已确认不受上述漏洞影响的产品

只有此公告的“受影响的产品和解决方案”部分中列出的产品，确认受到这些漏洞的影响。经确认未受影响的产品如下所示：

• UC 系列: UC-2100 系列, UC-3100 系列, UC-5100 系列, UC-8100 系列, UC-8100A-ME-T 系列, UC-8100-ME-T 系列, UC-8200 系列 (MIL1), UC-8410A 系列, UC-8540 系列

• V 系列: V2201 系列, V2403C 系列, V2406C 系列

• AIG 系列: AIG-101 系列, AIG-301 系列, AIG-501 系列

• 所有其他工业计算产品，包括 DA 系列、MC 系列、平板计算机等。

修订历史