CVE-2026-31431 — Linuxカーネル algif_aead「Copy Fail」: 分析

CVE-2026-31431（CVSS 3.1 7.8 HIGH、 AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）に関するセキュリティ研究: AF_ALG AEADインターフェースチェーンにおける3つの合成可能な設計上の 欠陥が、決定的でレースフリーな4バイトのページキャッシュ書き込みを、 読み取り可能な任意のファイルの任意のオフセットに対して引き起こします — ディスクコピーはクリーンなままなので、オンディスクチェックサムは何も検知しません。 公開エクスプロイト（「Copy Fail」、Theori/Xint）は、732バイトのPythonで ローカルルート（LPE）に昇格させます。このバグは2017年から2026年までの すべてのカーネルに存在していました。

1. 72548b093ee3（2017年）により、_aead_recvmsg は インプレースで 復号するようになり、 リクエストのタグページを書き込み可能な宛先SGLにチェーンしました。
2. splice(file → pipe → socket) は、それらのタグスロットに 読み取り可能な任意のファイルのページキャッシュページ（ゼロコピー）を供給します。
3. authencesn は、その4バイトのESNスクラッチ — 値はsendmsgペイロードの AAD[4..8) に乗っています — を正確に dst[assoclen + cryptlen]、すなわち最初のタグバイト（選択したファイルオフセット）に 書き込みます。これはタグ検証 発生するため、 リクエストでも書き込みが実行されます。