CVE-2026-31431 — Copy Fail

Linuxカーネル algif_aead 権限昇格 / メモリ破壊
Ansibleベースの監査・緩和プレイブック — 本番環境ですぐに実行可能

概要

Copy Fail（CVE-2026-31431）は、Linuxカーネルの algif_aead モジュール — AF_ALG暗号ソケットファミリーのユーザー空間向けAEADインターフェース — における脆弱性です。
AEADリクエストハンドラー内のカーネルの copy_*user パスに存在する欠陥により、 ローカルの非特権ユーザーが不正なソケットリクエストを細工することで、カーネルメモリを破壊したり権限を昇格したりすることが可能になります。

影響を受けるシステム

algif_aead がロードされておらず、オンデマンドでロードするユーザー空間ツールもない場合、 システムは即時のリスクはありません（監査ステップ1を参照）。

影響の概要

リポジトリ構成

.
├── audit_algif_aead.yml      # ステップ1 — 監査: ホストごとの露出を検出
├── mitigate_copyfail.yml     # ステップ2 — 緩和: モジュールのアンロード + ブラックリスト登録
└── README.md                 # このドキュメント

前提条件

• コントロールノードに Ansible ≥ 2.14
• community.general コレクション（ansible-galaxy collection install community.general）
• ターゲットホストへのSSHアクセス + become: true（sudo）
• ターゲットに lsof がインストールされていること（通常はデフォルトで存在）

インベントリのセットアップ

inventory.ini はgitignore対象です — ローカルに留まり、リポジトリには決して到達しません。 inventory.ini.example は、全員が開始時に使用するコミット済みテンプレートです。

# クローンと準備
git clone https://github.com/your-org/copy-fail-CVE-2026-31431.git
cd copy-fail-CVE-2026-31431
cp inventory.ini.example inventory.ini

# inventory.ini を実際のホストで編集してから実行:
ansible-playbook -i inventory.ini audit_algif_aead.yml

インフラストラクチャデータの漏洩を防ぐため、以下のパスはgitignore対象です:

ステップ1 — 監査

何かに触れる前に監査プレイブックを実行してください。ホストごとの証拠を収集し、 ローカルと各ターゲットの両方にレポートを書き込みます。

ansible-playbook -i inventory.ini audit_algif_aead.yml

レポートは ./copyfail_reports/<hostname>_audit.txt に取得されます。

監査でチェックする内容

判定の解釈

ステップ2 — 緩和

最初に監査を実行してください。 緩和プレイブックは冪等に実行しても安全ですが、 監査によって証跡が得られます。

ansible-playbook -i inventory.ini mitigate_copyfail.yml

特定のホストをスキップする場合（例: kcapi依存が確認されているホスト）:

ansible-playbook -i inventory.ini mitigate_copyfail.yml \
  -e '{"skip_hosts": ["db-prod-01", "hsm-node-02"]}'

緩和策の内容

1. install algif_aead /bin/false を含む /etc/modprobe.d/disable-algif.conf を作成
2. 実行中のカーネルから algif_aead モジュールをアンロード（初期保護に再起動は不要）
3. initramfsを更新してブラックリストが再起動後も維持されるようにする（Debian/Ubuntuでは update-initramfs、RHELでは dracut --force）
4. タイムスタンプ付きログを /var/backup/copyfail_mitigation/mitigation.log に書き込む

メモリからモジュールを削除するために再起動は不要です。
ブラックリストが有効になることを確認し、緩和後のクリーンな状態を確立するために 再起動を推奨します。

検証

プレイブック完了後、任意のターゲットホストで検証します:

# モジュールが表示されないこと
lsmod | grep algif_aead

# ブラックリストファイルが存在し、install行が含まれていること
cat /etc/modprobe.d/disable-algif.conf

# 手動ロードが拒否されること
sudo modprobe algif_aead   # 期待: FATAL: Module algif_aead not found or refused

元に戻す（カーネルパッチ適用後）

ベンダーがパッチ適用済みカーネルをリリースし、それを適用したら:

# 各ホストで — ブラックリストを削除
sudo rm /etc/modprobe.d/disable-algif.conf

# initramfsを再構築
sudo update-initramfs -u        # Debian / Ubuntu
sudo dracut --force              # RHEL / CentOS / Amazon Linux

# パッチ適用済みカーネルで再起動
sudo reboot

参考情報

• CERT Europa Advisory 2026-005
• Ubuntu Security Notice — Copy Fail
• xint.io — Copy Fail across Linux distributions
• Linuxカーネル algif_aead ソース

ライセンス

MIT License の下で公開されています。
自己責任で使用してください。本番システムに適用する前に、必ずステージング環境で検証してください。

コミュニティによって保守されています。PRと問題報告を歓迎します。