加载失败
CopyFail 是一个 Linux kernel 的 local privilege escalation 漏洞，公开披露者在上游补丁合入约一个月后放出了 exploit。争议点在于，Linux kernel 的安全文档强调报告者先交给 kernel security team，通常不要在补丁被接受前直接联系 `linux-distros` mailing list（Linux 下游发行版的安全通知列表），但很多发行版当时还没来得及把修复打包进去。评论里也提到 Linux kernel 长期和 CVE/CNA 机制、以及“vulnerability 是否该被单独对待”存在摩擦，所以 upstream 与下游的通知链路一直不够顺。这个漏洞还被放在共享主机、容器和多租户服务器的语境里讨论，因为一旦拿到 local root，影响可能从单机扩大到宿主机或邻居容器。
很多评论认为，真正的问题不是研究者是否发了漏洞，而是 Linux 内核安全流程和发行版下游通知链路失灵。研究者已经把漏洞交给 kernel security team，并等待补丁进入上游；后续本应由内核团队把重要安全修复同步给 distro 维护者。有人直接指出 `linux-distros` 邮件列表本来就是为这类协调而存在，内核文档也明确要求报告者不要在补丁被接受前直接联系它。把责任压到单个研究者身上，在这些人看来等于让外部报告者替整个生态做组织工作，既不现实也不公平。
[来源1] [来源2] [来源3] [来源4] [来源5] [来源6] [来源7] [来源8] [来源9]
另一派认为，这次披露符合漏洞研究领域常见的 timed disclosure：先给上游修补窗口，补丁落地后再等一段时间公开。多条评论直接把它和 Project Zero 常用的 90+30 规则对照，认为研究者已经完成了自己的伦理义务。有人还强调，黑帽和自动化分析工具会第一时间读 commit，因此拖着不公开只会让防守方更晚知道，而不会真正阻止攻击者。按这个逻辑，争议的重点应是发行版和内核团队的响应机制，而不是研究者是否“太快”。
[来源1] [来源2] [来源3] [来源4] [来源5] [来源6] [来源7]
不少人把焦点放在 Xint Code 的网站包装上，觉得这更像一次营销活动，而不只是安全披露。页面上的宣传语、`Try Xint Code`、`Get the exploit` 之类按钮，让人觉得是在借漏洞给自己的产品导流。于是出现了 blacklisting、name and shame 这类强烈反应，认为这种做法会直接损害研究者和公司信誉。也有人反驳说，商业漏洞研究本来就靠营销养活，但“靠营销生存”并不能自动洗白这种披露姿态和时机选择。
[来源1] [来源2] [来源3] [来源4] [来源5] [来源6] [来源7]
讨论很快扩展到 Linux 本身能否作为安全边界的问题。很多人认为，在共享主机、容器、HPC 集群或学术共享登录机里，单一 shared kernel 本来就不是可靠隔离，Kernel LPE 又非常常见。有人因此主张这类场景应改用 VM、gVisor（一个用户态容器沙箱）或 firecracker（一个轻量虚拟机）之类更强隔离方案，而不是继续指望内核永远不出漏洞。另一边则提醒，VM 成本更高，而现实中 OS-level isolation 仍然广泛存在，所以这类漏洞并不只是“过时的共享主机”才会受影响。
[来源1] [来源2] [来源3] [来源4] [来源5] [来源6] [来源7] [来源8] [来源9]
评论区也变成了具体补救方案的交流场：有人贴出 eBPF workaround，有人提到 `initcall_blacklist=algif_aead_init`，还有人讨论禁用模块、改内核参数或直接打补丁。问题在于，不同发行版的构建方式差异很大：有的把相关代码编进内核，关模块并不能解决问题；有的则可以通过简单配置暂时缓解。也有人跟踪 Ubuntu、Debian、Fedora、RHEL 等发行版的修复进度，发现有的已经出补丁，有的还在排队。整体上，这部分讨论强调的是：仅靠“模块没加载”或“换一个 PoC 规避 SUID”并不足以说明系统已经安全。
[来源1] [来源2] [来源3] [来源4] [来源5] [来源6] [来源7] [来源8] [来源9] [来源10] [来源11] [来源12]
coordinated disclosure: 先通知维护方并留出修补窗口，再公开漏洞细节的披露方式。
90+30: 常见披露节奏：报告后 90 天，或补丁落地后再等 30 天公开。
linux-distros: Linux 发行版安全团队的邮件列表，用于协调下游补丁与披露。
CNA/CVE: CVE Numbering Authority 负责分配 CVE 编号；CVE 是通用漏洞编号体系。
LPE: Local Privilege Escalation，本地提权；把普通用户权限提升到 root。
AF_ALG / algif_aead: Linux kernel 的 crypto 接口/模块组合，是这次漏洞利用的重要入口。