CVE-2026-31431（Copy Fail）検出・緩和ツール

本プロジェクトは、CVE-2026-31431（別名 "Copy Fail"）Linux カーネルのローカル権限昇格脆弱性を検出・緩和するための Bash スクリプト群を提供します。

脆弱性の概要

• CVE 番号: CVE-2026-31431
• 脆弱性の種類: ローカル権限昇格（Local Privilege Escalation）
• 影響コンポーネント: Linux Kernel - AF_ALG socket / AEAD 暗号化インターフェース
• 修正コミット: a664bf3d603d 以降のパッチ
• 公開名称: Copy Fail

この脆弱性は Linux カーネルの AF_ALG socket 実装に存在し、攻撃者は特定の authencesn バインド操作を構築することでローカル権限昇格を実現する可能性があります。

プロジェクトファイル

クイックスタート

1. システムが影響を受けるか検出

bash check_cve_2026_31431.sh

スクリプトは以下の項目を順にチェックします：

• カーネル設定 CONFIG_CRYPTO_USER_API_AEAD の状態
• algif_aead / af_alg モジュールのロード状態
• AF_ALG socket の作成可否
• 既存の緩和設定の有無
• authencesn bind 検証（緩和済みかどうかの判定）
• ディストリビューションが既知の影響リストに含まれるか

最終的に総合リスクレベルを出力します：UNKNOWN / LOW / MEDIUM / HIGH。

2. 緩和措置の実行

注意：緩和スクリプトは root 権限で実行する必要があります。

sudo bash cve-2026-31431-mitigate.sh

緩和操作には以下が含まれます：

• /etc/modprobe.d/disable-algif-aead.conf に書き込み、algif_aead モジュールのロードを禁止
• algif_aead がロード済みの場合、アンロードを試行（rmmod）
• depmod -a を実行してモジュール依存関係を更新
• 緩和前後に AF_ALG socket の作成・bind 機能を自動検証

オプションパラメータ

sudo bash cve-2026-31431-mitigate.sh --verify-only          # 検証のみ、設定は書き込まない
sudo bash cve-2026-31431-mitigate.sh --write-seccomp        # Docker seccomp 設定を追加生成
sudo bash cve-2026-31431-mitigate.sh --seccomp-path /path   # seccomp 出力パスを指定

緩和効果の検証

緩和が有効かどうかを判断するゴールドスタンダード：authencesn bind の失敗。

検出スクリプトの「チェック項目5：緩和検証（bind authencesn）」では以下を実行します：

import socket
s = socket.socket(38, 5, 0)  # AF_ALG
s.bind(("aead", "authencesn(hmac(sha256),cbc(aes))"))

• エラーが返る場合（bind 失敗）→ 緩和済みまたは機能がブロック済み
• 成功が返る場合 → 未緩和、追加の対処が必要

既知の制限

1. 静的コンパイル環境では無効：カーネル設定 CONFIG_CRYPTO_USER_API_AEAD=y（カーネルに静的コンパイル）の場合、モジュール無効化は通常効果がなく、カーネルをアップグレードするしかありません。
2. モジュールの使用中：algif_aead が使用中の場合は rmmod によるアンロードが失敗する可能性があります。メンテナンスウィンドウで再起動後に検証することを推奨します。
3. コンテナ環境：seccomp 設定を重ねて socket(AF_ALG) 呼び出しをブロックすることを推奨します。

今後の推奨事項

1. 根本的な修正：修正コミット a664bf3d603d 以降のパッチを含む公式カーネルバージョンにアップグレードしてください。
2. セキュリティ情報の追跡：
   • Ubuntu: https://ubuntu.com/security/CVE-2026-31431
   • RHEL: https://access.redhat.com/security/cve/CVE-2026-31431
   • SUSE: 各ディストリビューションのセキュリティ情報を参照
3. 再テストによる確認：アップグレードまたは緩和後、検出スクリプトを再実行し、bind 検証が失敗することを確認してください。

互換性

スクリプトは以下の環境でテスト済みです：

• Bash 4.x / 5.x
• 依存関係：標準 GNU ツール（grep, sed, lsmod, modprobe, rmmod, depmod）
• オプション依存：python3 または python（AF_ALG socket 検証用）

ライセンス

MIT License

免責事項

本プロジェクトが提供するスクリプトは、セキュリティ検出と一時的な緩和のみを目的としており、公式カーネルパッチのアップグレードに代わるものではありません。本スクリプトを使用する前に、その操作（カーネルモジュールの無効化など）を十分に理解し、テスト環境で事前に検証してください。作者は、本ツールの使用によって生じたいかなる直接的・間接的損害についても責任を負いません。