CVE-2026-31431 — Copy Fail

AF_ALG + splice によるページキャッシュ上書きを利用した Linux カーネルローカル権限昇格

認可されたセキュリティ研究、ペネトレーションテスト、および教育目的のみに使用してください。 所有していないシステム、または明示的な書面による許可を得ていないシステムに対しては使用しないでください。

技術解説

目次

• 説明
• 脆弱性の詳細
• リポジトリ構成
• クイックスタート
• 検出
• 要件
• 緩和策
• テスト環境（任意）
• 参考情報
• ライセンス

説明

CVE-2026-31431 は、Linux カーネルにおけるローカル権限昇格（LPE）の脆弱性です。権限のないローカルユーザーが、AF_ALG ソケットインターフェースと splice() を組み合わせることで、setuid バイナリが属するページキャッシュページへの認証済み書き込みを直接実行し、root アクセスを獲得できます。

このエクスプロイトは、ディスク上の inode を変更することなくページキャッシュ内の su バイナリを上書きし、ファイルメタデータやブロックレベルのチェックサムのみに依存する整合性メカニズムを回避します。

脆弱性の詳細

影響を受ける環境

リポジトリ構成

.
├── exploit.py    # PoC — ページキャッシュ上書きと権限昇格
├── detect.bt     # リアルタイム検出用 BPFtrace スクリプト
├── run-vm.sh     # QEMU テスト環境自動化（任意）
├── PAYLOAD.md    # ペイロードエンコーディング解析（hex → zlib → ELF → shellcode）
└── LICENSE

クイックスタート

脆弱なシステム上で exploit.py を権限のないローカルユーザーとして実行します — sudo は不要です:

python3 exploit.py

このスクリプトは以下の手順を実行します:

1. AF_ALG（algif_aead）のカーネルサポートを検証し、su バイナリを特定します。
2. アーキテクチャに適したペイロードを選択し、解凍します。
3. su バイナリを生のファイルディスクリプタとして開き、AF_ALG + sendfile を介してページキャッシュページを上書きします。
4. 権限昇格をテストします。成功した場合、root シェルに移行します。

対応アーキテクチャ:

検出

detect.bt を使用して、エクスプロイト試行をリアルタイムで監視します。root 権限が必要です:

sudo bpftrace detect.bt
# または
doas bpftrace detect.bt

このスクリプトは、@suspect[pid] のビットマスクを使用して PID ごとに 3 つの指標を追跡します:

同じ PID で 3 つのビットすべてが設定された場合（@suspect[pid] == 0x7）、アラートが発動します。

要件

exploit.py

• Python 3.6+
• AF_ALG/algif_aead モジュールがロードされた Linux カーネル
• ローカルの権限のないユーザーアカウント（root は不要）

detect.bt

• bpftrace ≥ 0.12
• root 権限（BPF トレーシングに必要）

# Ubuntu/Debian
sudo apt install bpftrace

# RHEL/CentOS/Fedora
sudo dnf install bpftrace

# Amazon Linux
sudo yum install bpftrace

# SUSE
sudo zypper install bpftrace

# Alpine
sudo apk add bpftrace

緩和策

1. パッチ（推奨）

ディストリビューションのカーネルパッケージを、メインラインコミット a664bf3d603d を含むバージョンに更新してください。このコミットは 2017 年の algif_aead インプレース最適化をリバートし、ページキャッシュページが書き込み可能な宛先 scatterlist に含まれないようにします。現在、ほとんどの主要ディストリビューションがこの修正を提供しています。

2. algif_aead の無効化（パッチ適用までの間）

blacklist は明示的な modprobe algif_aead で回避できます。install .../bin/false ディレクティブはインストールコマンドを完全に上書きし、すべてのロード試行を失敗させます:

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf
sudo rmmod algif_aead 2>/dev/null || true

これによって影響を受けるもの — ほぼ何もありません

「なし」の行のサブシステムは、カーネル内暗号 API を直接使用します — AF_ALG を経由することはありません。パフォーマンスは通常のユーザースペース暗号ライブラリにフォールバックしますが、これは他のほぼすべてのものがすでに使用しているものです。

無効化する前に、システム上で AF_ALG をアクティブに使用しているものがあるか確認するには:

lsof | grep AF_ALG
ss -xa | grep alg

3. seccomp によるブロック（コンテナ、サンドボックス、CI）

パッチ適用状態に関係なく、信頼できないワークロードに対して socket(AF_ALG, ...) の作成を拒否します。seccomp の拒否リストに AF_ALG（ファミリ 38）を追加するか、権限のないプロセスの socket 呼び出しを制限する AppArmor/SELinux ポリシーを使用します。

4. detect.bt による監視

即座にパッチ適用やロックダウンができないホストには、同梱の検出スクリプトをデプロイします。完全な 3 ステップのエクスプロイトプリミティブを実行するプロセスがあれば、アラートが発動します。

テスト環境（任意）

run-vm.sh は、管理された環境でのテスト用に Ubuntu 24.04 QEMU VM の作成を自動化します。exploit.py と detect.bt は脆弱なホスト上で直接実行できます — QEMU は必須ではありません。

ホスト要件

QEMU のインストール

# Ubuntu/Debian
sudo apt install qemu-system-x86 cloud-image-utils wget

# Fedora/RHEL
sudo dnf install qemu-system-x86 wget

# Arch
sudo pacman -Sy qemu

# Alpine
sudo apk add qemu-system-x86 qemu-ui-gtk wget

実行

sh run-vm.sh

対話型メニュー

1. VM の起動/作成
2. SSH で接続
3. VM にファイルをアップロード（exploit.py、detect.bt）
4. VM 内でエクスプロイトを実行
5. VM 内で detect.bt を実行
6. VM のステータスを確認
7. VM を停止
8. VM ファイルをクリーンアップ
0. 終了

VM 認証情報

参考情報

• 技術解説 — xint.io
• ペイロードエンコーディング解析 — hex → zlib → ELF → shellcode の内訳
• crypto/af_alg.c — カーネルソース
• mm/splice.c — カーネルソース

ライセンス

このプロジェクトは GNU General Public License v3.0 以降 の下でライセンスされています。 全文は LICENSE を参照してください。

免責事項: このリポジトリは、認可されたセキュリティ研究、ペネトレーションテスト、および教育目的のみで提供されています。著者は、本ソフトウェアの誤用または損害について一切の責任を負いません。