CVE-2026-31431 LPE PoC（Rust実装）

このプロジェクトは、ローカル権限昇格（LPE）の脆弱性（CVE-2026-31431を模擬）に対するRustで実装されたProof of Concept（PoC）です。Crypto APIを悪用してLinuxカーネルのページキャッシュを操作する方法を示しています。[cite: 1, 2]

[!CAUTION] このコードは教育および倫理的なセキュリティ研究のみを目的としています。事前の明示的な同意なしにシステムに対してこのツールを不正使用することは違法です。作者は、このプログラムによって引き起こされる誤用や損害について一切の責任を負いません。

概要

このツールは、AF_ALG（カーネル暗号インターフェース）とspliceシステムコールに関連する脆弱性を悪用します。[cite: 2] これにより、権限のないユーザーが読み取り専用ファイルのページキャッシュの4バイトを上書きできます。具体的には、/etc/passwd内のUIDフィールドを標的にして、一時的に0000（root）に変更します。[cite: 1, 2]

動作原理

• ターゲット特定: プログラムはmain.rsを解析して、/etc/passwd内の現在のユーザーのUIDの正確なファイルオフセットを特定します。[cite: 1, 2]
• ページキャッシュのウォーミング: ターゲットファイルを読み取り、関連するページがカーネルのページキャッシュに読み込まれることを確認します。[cite: 2]
• メモリ操作:
  • authesn(hmac(sha256),cbc(aes))アルゴリズムを使用してAF_ALGでソケットを初期化します。[cite: 2]
  • setsockoptパラメータを慎重に作成し、spliceを使用して、ファイルデータを暗号パイプラインにリダイレクトします。[cite: 2]
  • この脆弱性により、「復号化」プロセスが元のページキャッシュデータを目的の4バイト（0000）で上書きできます。[cite: 2]
• 権限昇格:
  • --shellフラグが指定されている場合、su <user>を実行します。これは、システムがキャッシュされた/etc/passwd内のユーザーのUIDを0として認識するため成功します。[cite: 1]
  • それ以外の場合、POSIX_FADV_DONTNEEDを使用して破損したページキャッシュを追い出し、システムの整合性を復元します。[cite: 1]

前提条件

• OS: Linux（特にこのCrypto APIの動作に対して脆弱なバージョン）。
• 言語: Rust（Edition 2024）。[cite: 3]
• 依存関係: libcおよびnix（fs、socket、zerocopy、userフィーチャー付き）。[cite: 3]

使用方法

ビルド

cargo build --release

実行

シェルを起動せずにページキャッシュのパッチをテスト:

./target/release/cve-2026-31431

rootシェルへの権限昇格を試行:

./target/release/cve-2026-31431 --shell

プロジェクト構造

• main.rs: 攻撃を調整し、CLI引数を処理し、最終的なシェルコマンドを実行します。[cite: 1]
• modules.rs: AF_ALGソケット操作やUIDオフセット検索など、中核となる悪用ロジックを含みます。[cite: 2]
• Cargo.toml: プロジェクトのメタデータと外部クレートの依存関係を定義します。[cite: 3]

技術リファレンス

• 関連ファイル: main.rs、modules.rs、Cargo.toml[cite: 1, 2, 3]
• 主要なシステムコール: socket、bind、sendmsg、splice、posix_fadvise。[cite: 1, 2]