CVE-2026-31431-Copy-Fail-add-arm64

脆弱性概要

脆弱性の原理

2017 年にカーネルの algif_aead 暗号化モジュールにインプレース暗号化最適化（in-place optimization）が導入されました。この最適化により、page-cache ページが誤って書き込み可能なターゲット scatterlist に配置される問題が発生しました。攻撃者は AF_ALG ソケットと splice() システムコールを組み合わせることで、任意のファイル（root 所有の読み取り専用ファイルを含む）の page cache にデータを書き込むことができます。

攻撃チェーン: AF_ALG socket → splice() → page-cache 書き込みプリミティブ → setuid バイナリの page cache を改ざん → そのファイルを実行して root 権限を取得

攻撃の特徴:

• 競合状態なし（race condition ではなく、直接的な論理欠陥）
• カーネルのデバッグ機能は不要
• 特定アーキテクチャのオフセット調整は不要
• 汎用エクスプロイトスクリプトは約 732 バイトのみで、主要なすべてのディストリビューションで有効

影響範囲

影響を確認済みのディストリビューション

Debian、Arch、Fedora、Rocky、Alma、Oracle などのディストリビューションでも、同じカーネル範囲が影響を受けます。

影響を受けるカーネルバージョン範囲

以下の修正バージョンより低いカーネルバージョンはすべて影響を受けます：

調査方法

1. カーネルバージョンの確認

uname -r

出力を上記の表の修正バージョンと比較し、修正バージョンより低い場合は影響を受けます。

2. AF_ALG 接続の確認

# 現在の AF_ALG 接続を確認
lsof | grep AF_ALG

# AF_ALG ソケットの状態を確認
ss -xa | grep alg

3. algif_aead モジュールがロードされているか確認

lsmod | grep algif_aead

出力がある場合、モジュールがロードされており、悪用されるリスクがあります。

4. 脆弱性の検証（認可されたテスト環境のみ）

# PoC リポジトリをクローン
git clone https://github.com/cx330zer0/CVE-2026-31431-Copy-Fail-add-arm64.git
cd CVE-2026-31431-Copy-Fail-add-arm64

# PoC を実行（非特権ユーザーとして実行する必要があります）
python3 copy-fail-dual-arch.py

PoC が root シェルの取得に成功した場合、システムにこの脆弱性が存在することを意味します。