██████╗ ██████╗ ██████╗ ██╗   ██╗    ███████╗ █████╗ ██╗██╗
                    ██╔════╝██╔═══██╗██╔══██╗╚██╗ ██╔╝    ██╔════╝██╔══██╗██║██║
                    ██║     ██║   ██║██████╔╝ ╚████╔╝     █████╗  ███████║██║██║
                    ██║     ██║   ██║██╔═══╝   ╚██╔╝      ██╔══╝  ██╔══██║██║██║
                         ╚██████╗╚██████╔╝██║        ██║       ██║     ██║  ██║██║███████╗
                          ╚═════╝ ╚═════╝ ╚═╝        ╚═╝       ╚═╝     ╚═╝  ╚═╝╚═╝╚══════╝

📖 目次

🔍 Copy Failとは？

Copy Fail は、2026年4月29日に公開された**ローカル権限昇格（LPE）**脆弱性で、2017年以降のカーネルを実行するほぼすべての主要なLinuxディストリビューションに影響します。

権限のないユーザー  ──►  AF_ALG + splice()  ──►  4バイトのページキャッシュ書き込み  ──►  ROOT

重要な事実

危険な理由

• 🕵️ ステルス性 — 変更はページキャッシュ内のみに留まり、ディスク上のファイルは決して変更されません。標準的なディスクフォレンジックでは検知できません。
• ⚡ 信頼性 — 決定論的なロジックの欠陥であり、レースコンディションではありません。環境間で一貫した悪用が可能です。
• 🌐 普遍性 — Ubuntu、RHEL、Amazon Linux、SUSE、Debianなど、2017年以降の主要ディストリビューションすべてに影響します。
• ☸️ クラウド/K8sへの影響 — KubernetesワークロードやCI/CDランナーにおけるコンテナエスケープを容易にします。
• 🤖 AIによる発見 — Xint CodeのAIシステムにより、約1時間のスキャン時間と単一のオペレータープロンプトで発見されました。

🔬 技術的詳細

根本原因

この脆弱性は、2017年に導入された（commit 72548b093ee3）Linuxカーネルのユーザー空間暗号API（AF_ALG）の algif_aead モジュール内のバグのあるインプレース最適化に起因します。

AF_ALG (ユーザー空間暗号API)
└── algif_aead モジュール
    └── authencesn テンプレート  ◄── 脆弱
        └── インプレース最適化 (2017)
            └── req->src == req->dst  ◄── splice() からのページが書き込み可能なdstスキャッターリストにチェーンされる

攻撃の流れ

Step 1: AF_ALG AEADソケットを開く
        socket(AF_ALG, SOCK_SEQPACKET, 0)

Step 2: ターゲットファイルを参照するsplice()ページを送信
        (特権バイナリのページキャッシュページ、例: /usr/bin/sudo)

Step 3: authencesnのスクラッチ書き込みをトリガー
        authencesnがdstバッファをスクラッチパッドとして使用 →
        正規の出力領域を超えて4バイトの制御可能なデータを書き込む

Step 4: ターゲットファイルのページキャッシュエントリが破損する
        (ディスクファイルは未変更 — メモリ上のコピーのみ改変)

Step 5: 改変されたバイナリを実行 → ROOT

なぜページキャッシュなのか？

Linuxカーネルのページキャッシュは、ファイルのメモリ上のコピーをバックします。ファイルが読み込まれると、そのページはキャッシュされます。splice() システムコールは、これらのキャッシュされたページを直接参照できます。ページキャッシュページをAF_ALG AEADスキャッターリストに渡すことで、authencesnのスクラッチ書き込みはそのキャッシュページ内に着地し、読み取り可能なあらゆるファイル（sudo、pkexec、passwdなどの特権バイナリを含む）のメモリ上のコピーを事実上パッチすることになります。

修正

アップストリームの修正は、欠陥のある2017年の最適化を差し戻します：

# コミット a664bf3d603d で修正済み
git show a664bf3d603d

🖥️ 影響を受けるシステム

Linuxカーネルバージョン

ディストリビューションマトリックス

📁 リポジトリ構造

CVE-2026-31431-CopyFail/
│
├── 📄 README.md                          ← 現在地
├── 📄 LICENSE                            ← 研究・教育用ライセンス
├── 📄 DISCLAIMER.md                      ← 法的・倫理的使用ポリシー
├── 📄 CHANGELOG.md                       ← バージョン履歴
│
├── 📂 docs/
│   ├── vulnerability-analysis.md         ← 詳細：根本原因とメカニズム
│   ├── exploitation-walkthrough.md       ← ステップバイステップの方法論
│   ├── affected-kernels.md               ← 完全なカーネル/ディストリバージョン表
│   ├── detection.md                      ← Defender、Tenable、Wazuhの対応状況
│   └── references.md                     ← すべてのCVE、ブログ、アドバイザリ
│
├── 📂 exploit/
│   ├── README.md                         ← 使用方法、前提条件、テスト済みディストリ
│   ├── copyfail.py                       ← 参考PoC（教育用）
│   ├── trigger.c                         ← AF_ALG + splice() Cトリガー
│   └── variants/
│       ├── ubuntu.py                     ← Ubuntu向けバリアント
│       ├── rhel.py                       ← RHEL/CentOS向けバリアント
│       └── amazon_linux.py              ← Amazon Linux向けバリアント
│
├── 📂 detection/
│   ├── yara/
│   │   └── copyfail.yar                  ← エクスプロイトアーティファクト用YARAルール
│   ├── sigma/
│   │   └── copyfail_lpe.yml              ← SIEM/SOC用Sigmaルール
│   └── scripts/
│       ├── check_vulnerable.sh           ← カーネル脆弱性の簡易チェック
│       └── detect_algif_aead.sh         ← モジュールがロード/アクティブか確認
│
├── 📂 mitigation/
│   ├── README.md                         ← 緩和策の概要
│   ├── disable_algif_aead.sh             ← 影響を受けるカーネルモジュールを無効化
│   ├── patch-notes.md                    ← アップストリームパッチの詳細
│   └── kubernetes-hardening.md          ← K8s / コンテナのハードニング
│
├── 📂 lab/
│   ├── Vagrantfile                       ← 再現可能な脆弱VM
│   ├── setup.sh                          ← ラブのブートストラップスクリプト
│   └── docker/
│       └── Dockerfile                    ← 脆弱なUbuntuコンテナ
│
├── 📂 reports/
│   ├── pentest-report-template.md        ← クライアント向けレポートテンプレート
│   └── sample-finding.md                ← サンプル調査報告書
│
└── 📂 assets/
    ├── demo.gif                          ← (オプション) 端末デモ
    └── diagrams/
        └── page-cache-write.png         ← 攻撃フロー図

🧪 ラボ環境のセットアップ

必ず隔離された認可環境でテストしてください。本番システムでエクスプロイトを実行しないでください。

オプションA — Vagrant VM（推奨）

# リポジトリをクローン
git clone https://github.com/0xFuffM3/CVE-2026-31431-CopyFail.git
cd CVE-2026-31431-CopyFail

# 脆弱なラボVMを起動
cd lab/
vagrant up

# ラボにSSH
vagrant ssh

# カーネルバージョンの確認（脆弱であるべき）
uname -r

オプションB — Dockerコンテナ

cd lab/docker/

# 脆弱なコンテナイメージをビルド
docker build -t copyfail-lab .

# カーネル操作に必要な権限で実行
docker run --rm -it --privileged copyfail-lab /bin/bash

システムが脆弱か確認

# 簡易チェックスクリプトを実行
chmod +x detection/scripts/check_vulnerable.sh
./detection/scripts/check_vulnerable.sh