copyfail-rs

CVE-2026-31431（Copy Fail）のRust実装 — AF_ALG spliceを介したLinuxカーネルのページキャッシュ書き込みプリミティブ。

中文文档 / Chinese README

CVE-2026-31431

Linuxカーネルのalgif_aead実装では、権限のないユーザーがsplice()システムコールを介して、読み取り可能な任意のファイルのページキャッシュに任意のデータを書き込むことができます。authencesn AEADアルゴリズムは、seqno_lo（ユーザー制御のAADバイト4〜7）をオフセットassoclen + cryptlenの宛先scatterlistに書き込みます。これは、splice()を介してページキャッシュページに連結されると、任意の4バイト書き込みになります。ディスク上のコンテンツは変更されませんが、その後のすべての読み取り側は破損したページキャッシュデータを参照します。

影響を受けるカーネル: Linux < 6.12.23、< 6.13.11、< 6.14.2

機能

権限昇格モード

1. --uid — ページキャッシュ書き込みを介して/etc/passwd内の現在のユーザーのUIDフィールドを0000に変更します。パッチ適用後、自分のパスワードでsu <username>を実行するとrootシェルが得られます。このツールは、認証後かつシェル起動前にページキャッシュのクリアを試みるため、SSHがアカウントをUID 0として認識し続ける可能性を低減します。rootパスワードの変更は不要です。任意の4桁のUID（1000〜9999）で動作します。

2. --escalate — ページキャッシュ書き込みを介して/etc/passwdのroot行をパッチします: root:x:0:0:root:... → root::0:0:root :...。コメントフィールドは行の長さを同じに保つためにスペースで埋められます。パッチ適用後、su rootはパスワードなしで動作します。

3. --set-password — 最初に権限昇格（rootパスワードの削除）し、次にstdinから新しいパスワードを読み取り、chpasswdで適用します。

4. デフォルトモード（フラグなし） — suバイナリのページキャッシュをアーキテクチャ固有のシェルコードペイロード（x86_64、x86、aarch64）で上書きし、その後suを実行してrootシェルを取得します。

ビルド

cargo build
cargo build --release
cargo test
cargo clippy

使用方法

./copyfail-rs --check
./copyfail-rs --uid
./copyfail-rs --escalate
printf '%s\n' 'mypassword' | ./copyfail-rs --set-password
./copyfail-rs --backup /tmp/su.bak
./copyfail-rs --exec /bin/bash

復旧

ページキャッシュの変更は揮発性です — キャッシュをクリアすると元のディスク上のコンテンツが復元されます:

echo 3 > /proc/sys/vm/drop_caches

検証済み環境

ドキュメント

• クイックスタート
• 脆弱性の原理
• デモ
• 防御と緩和策

ライセンス

このプロジェクトは、認可されたセキュリティテストおよび教育目的のみで提供されます。