Copy Fail eBPFを利用した一行コードでの修正

CVE-2026-31431、別名 Copy Fail は、bpftraceコマンドを使えば一行のコードで修正できます。kpatchのコンパイルもcargoでのコンパイルも不要です。

English Version|中文版本

考え方

この脆弱性を悪用するには、AF_ALGインターフェースにバインドし、かつ暗号化アルゴリズムauthencesnを使用する必要があります。これは大多数のプログラムでは使用されないものです。これこそが修正コードが機能するポイントです。

ファイル一覧

├── kfunc.sh

├── kprobe.sh

├── tests

│   └── bind_af_alg.py

└── tracepoint.sh

なぜこれだけのファイルが必要なのか

tracepoint.shの原作者は@天擎智能云氏で、彼のオリジナルコードは微信公式アカウントで公開されています。

このコードはテスト済みで、実際に動作することを確認しました。

しかし、https://github.com/Jannik2099/copyfail-ebpf-mitigation に触発されて、プログラムが単にAF_ALGインターフェースにバインドしているだけで、暗号化アルゴリズムauthencesnを使用していない場合でも、そのプロセスが無条件に強制終了されることを発見しました。

説明だけでは分かりにくいので、コード をご覧ください。

そこで、Deepseekの助けを借りて、1日かけてテストを行い、さらに2つの修正コードを検証しました。これらは、AF_ALGインターフェースにバインドし、かつ暗号化アルゴリズムauthencesnを使用しようとするすべてのプロセスを記録および拒否することができます。

テスト結果

実行条件

！！未検証！！