Falha crítica no kernel Linux permite escalação de privilégios via BPF

A CVE-2026-31525 não é um bug isolado, é o mais recente elo de uma cadeia de falhas críticas no subsistema BPF do kernel Linux em 2026. Desde abril, pelo menos quatro vulnerabilidades relacionadas a memória e verificação de programas BPF foram divulgadas: CVE-2026-45951 (use-after-free em check_pseudo_btf_id), CVE-2026-43333 (desreferência nula no mesmo subsistema), CVE-2026-31401 (estouro de buffer no HID-BPF) e CVE-2026-45839 (leitura fora dos limites em CO-RE). Todas compartilham um padrão: o verificador BPF assume comportamento determinístico em tempo de análise, mas o interpretador ou JIT executa de forma divergente em tempo de execução, o que abre brechas para corrupção de memória local. A CVE-2026-31525 explora exatamente essa lacuna com overflow de sinal em abs(S32_MIN), enganando o rastreamento de intervalos numéricos do verificador. Isso não é falha de codificação descuidada, mas falha de modelagem lógica do próprio sistema de segurança do BPF.

O fato de exigir JIT desabilitado como condição de exploração é estratégico: muitos ambientes produtivos (como containers com restrições de capacidade ou distros minimalistas) desativam o JIT por padrão por medo de exploits anteriores baseados nele, o que agora os torna *mais* vulneráveis a esse tipo de ataque. Red Hat e Amazon Linux classificaram a falha como 'Moderada' (CVSS 6.4), mas isso reflete política de classificação interna, não realidade técnica: o CVSS 7.8 do kernel.org leva em conta o cenário completo de escalação local com acesso direto ao sistema, sem necessidade de interação remota nem credenciais adicionais.

Na cobertura anterior do CEVIU sobre o CIFSwitch (2 e 1 de junho), destacamos uma falha de lógica antiga (desde 2007) explorando request_key, um mecanismo de autenticação de baixo nível. Já a CVE-2026-31525 é tecnicamente oposta: não explora uma API legada mal projetada, mas sim uma inconsistência matemática entre duas camadas de segurança modernas (verificador vs. interpretador BPF), ambas introduzidas para tornar o kernel mais seguro. Enquanto o CIFSwitch dependia de chaves forjadas e chamadas privilegiadas, essa nova falha opera inteiramente dentro do modelo de sandbox BPF, ou seja, é um ataque *contra* a proteção, não ao redor dela. Também difere das falhas Dirty Frag e Fragnesia (maio/2026), que exploravam manipulação de fragmentos de rede: aqui, o vetor é puramente computacional, sem dependência de tráfego ou hardware externo.

Empresas que usam BPF para observabilidade (eBPF), filtragem de rede (Cilium, XDP) ou políticas de segurança (Falco, Tracee) estão expostas mesmo sem executar código malicioso, basta um processo local não confiável carregar um programa BPF malicioso. A mitigação recomendada (ativar JIT + desabilitar BPF não privilegiado) entra em conflito com práticas comuns em ambientes serverless e CI/CD, onde JIT é desativado por razões de estabilidade e `unprivileged_bpf_disabled=0` é necessário para ferramentas de diagnóstico. Além disso, a correção `abs_s32()` só está disponível em kernels 7.0-rc5+, o que significa que distribuições enterprise (RHEL, SLES, Ubuntu LTS) ainda dependerão de backports, e já há evidências de que alguns desses backports são incompletos, deixando sistemas parcialmente vulneráveis mesmo após atualização.