権限のないユーザー  ──►  AF_ALG + splice()  ──►  4バイトのページキャッシュ書き込み  ──►  ROOT

AF_ALG (ユーザー空間暗号API)
└── algif_aead モジュール
    └── authencesn テンプレート  ◄── 脆弱
        └── インプレース最適化 (2017)
            └── req->src == req->dst  ◄── splice() からのページが書き込み可能なdstスキャッターリストにチェーンされる

Step 1: AF_ALG AEADソケットを開く
        socket(AF_ALG, SOCK_SEQPACKET, 0)

Step 2: ターゲットファイルを参照するsplice()ページを送信
        (特権バイナリのページキャッシュページ、例: /usr/bin/sudo)

Step 3: authencesnのスクラッチ書き込みをトリガー
        authencesnがdstバッファをスクラッチパッドとして使用 →
        正規の出力領域を超えて4バイトの制御可能なデータを書き込む

Step 4: ターゲットファイルのページキャッシュエントリが破損する
        (ディスクファイルは未変更 — メモリ上のコピーのみ改変)

Step 5: 改変されたバイナリを実行 → ROOT

# コミット a664bf3d603d で修正済み
git show a664bf3d603d

CVE-2026-31431-CopyFail/
│
├── 📄 README.md                          ← 現在地
├── 📄 LICENSE                            ← 研究・教育用ライセンス
├── 📄 DISCLAIMER.md                      ← 法的・倫理的使用ポリシー
├── 📄 CHANGELOG.md                       ← バージョン履歴
│
├── 📂 docs/
│   ├── vulnerability-analysis.md         ← 詳細：根本原因とメカニズム
│   ├── exploitation-walkthrough.md       ← ステップバイステップの方法論
│   ├── affected-kernels.md               ← 完全なカーネル/ディストリバージョン表
│   ├── detection.md                      ← Defender、Tenable、Wazuhの対応状況
│   └── references.md                     ← すべてのCVE、ブログ、アドバイザリ
│
├── 📂 exploit/
│   ├── README.md                         ← 使用方法、前提条件、テスト済みディストリ
│   ├── copyfail.py                       ← 参考PoC（教育用）
│   ├── trigger.c                         ← AF_ALG + splice() Cトリガー
│   └── variants/
│       ├── ubuntu.py                     ← Ubuntu向けバリアント
│       ├── rhel.py                       ← RHEL/CentOS向けバリアント
│       └── amazon_linux.py              ← Amazon Linux向けバリアント
│
├── 📂 detection/
│   ├── yara/
│   │   └── copyfail.yar                  ← エクスプロイトアーティファクト用YARAルール
│   ├── sigma/
│   │   └── copyfail_lpe.yml              ← SIEM/SOC用Sigmaルール
│   └── scripts/
│       ├── check_vulnerable.sh           ← カーネル脆弱性の簡易チェック
│       └── detect_algif_aead.sh         ← モジュールがロード/アクティブか確認
│
├── 📂 mitigation/
│   ├── README.md                         ← 緩和策の概要
│   ├── disable_algif_aead.sh             ← 影響を受けるカーネルモジュールを無効化
│   ├── patch-notes.md                    ← アップストリームパッチの詳細
│   └── kubernetes-hardening.md          ← K8s / コンテナのハードニング
│
├── 📂 lab/
│   ├── Vagrantfile                       ← 再現可能な脆弱VM
│   ├── setup.sh                          ← ラブのブートストラップスクリプト
│   └── docker/
│       └── Dockerfile                    ← 脆弱なUbuntuコンテナ
│
├── 📂 reports/
│   ├── pentest-report-template.md        ← クライアント向けレポートテンプレート
│   └── sample-finding.md                ← サンプル調査報告書
│
└── 📂 assets/
    ├── demo.gif                          ← (オプション) 端末デモ
    └── diagrams/
        └── page-cache-write.png         ← 攻撃フロー図

# リポジトリをクローン
git clone https://github.com/0xFuffM3/CVE-2026-31431-CopyFail.git
cd CVE-2026-31431-CopyFail

# 脆弱なラボVMを起動
cd lab/
vagrant up

# ラボにSSH
vagrant ssh

# カーネルバージョンの確認（脆弱であるべき）
uname -r

cd lab/docker/

# 脆弱なコンテナイメージをビルド
docker build -t copyfail-lab .

# カーネル操作に必要な権限で実行
docker run --rm -it --privileged copyfail-lab /bin/bash

# 簡易チェックスクリプトを実行
chmod +x detection/scripts/check_vulnerable.sh
./detection/scripts/check_vulnerable.sh

[!] カーネルバージョン: 5.15.0-91-generic
[!] algif_aead モジュール: ロード済み
[✗] システムは CVE-2026-31431 (Copy Fail) に対して脆弱と見られます
[*] 推奨アクション: カーネルアップデートを適用するか、algif_aead を無効化してください

[✓] カーネルバージョン: 6.1.132
[✓] システムは CVE-2026-31431 (Copy Fail) に対してパッチ適用済みと見られます

# Python 3.6+
python3 --version

# 必要なカーネルモジュールが存在すること
lsmod | grep algif_aead

# ターゲットバイナリが読み取り可能であること
ls -la /usr/bin/sudo

cd exploit/

# 現在の権限レベルを確認
id
# uid=1000(user) gid=1000(user) groups=1000(user)

# Copy Fail PoCを実行
python3 copyfail.py

# 権限昇格を確認
id
# uid=0(root) gid=0(root) groups=0(root)

1. カーネルバージョンを列挙
   └─► uname -r / cat /proc/version

2. algif_aead がロードされているか確認
   └─► lsmod | grep algif_aead

3. 低権限の足がかりを確認
   └─► id / whoami

4. Copy Fail PoCを実行
   └─► python3 exploit/copyfail.py

5. rootアクセスを確認
   └─► id && cat /etc/shadow

6. 証拠を文書化
   └─► スクリーンショット + カーネルバージョン、ディストリ、エクスプロイトハッシュを記録

7. 緩和策を適用（テスト後）
   └─► sudo bash mitigation/disable_algif_aead.sh

8. ペンテストレポートに含める
   └─► reports/pentest-report-template.md を使用

// detection/yara/copyfail.yar
rule CopyFail_CVE_2026_31431 {
    meta:
        description = "Copy Fail (CVE-2026-31431) エクスプロイトアーティファクトの検出"
        author      = "0xFuffM3"
        date        = "2026-04-30"
        reference   = "https://copy.fail"
    strings:
        $py1 = "algif_aead" ascii
        $py2 = "AF_ALG" ascii
        $py3 = "splice" ascii
        $py4 = "page_cache" ascii
        $py5 = "authencesn" ascii
    condition:
        3 of them
}

yara detection/yara/copyfail.yar /tmp/ -r

# detection/sigma/copyfail_lpe.yml
title: Copy Fail LPE Exploit Execution (CVE-2026-31431)
status: stable
logsource:
    category: process_creation
    product: linux
detection:
    selection:
        CommandLine|contains:
            - 'AF_ALG'
            - 'algif_aead'
            - 'authencesn'
    condition: selection
falsepositives:
    - 正規の暗号APIテスト
level: high

chmod +x detection/scripts/detect_algif_aead.sh
./detection/scripts/detect_algif_aead.sh

# Ubuntu / Debian
sudo apt-get update && sudo apt-get upgrade linux-image-generic

# RHEL / CentOS
sudo yum update kernel

# Amazon Linux
sudo yum update kernel

# アップデート後、再起動
sudo reboot

# 緩和スクリプトを実行
chmod +x mitigation/disable_algif_aead.sh
sudo bash mitigation/disable_algif_aead.sh

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead 2>/dev/null || echo "[*] モジュールは現在ロードされていません"
echo "[✓] algif_aead を無効化しました。再起動して永続性を確認してください。"

Finding:    Copy Fail (CVE-2026-31431) によるローカル権限昇格
Severity:   高 (CVSS 7.8)
Host:       10.10.10.55 (ubuntu-prod-01)
Kernel:     5.15.0-91-generic

Evidence:
  - 権限のないシェル (uid=1000) から root (uid=0) に昇格
  - カーネルモジュール algif_aead がロードされていることを確認
  - ディスクアーティファクトなし — ページキャッシュのみ

Recommendation:
  1. ベンダーのカーネルパッチを直ちに適用
  2. 暫定措置: algif_aead モジュールを無効化
  3. KubernetesノードとCI/CDランナーを確認