CVE-2026-31431「Copy Fail」— LinuxカーネルLPEラボ

概要

このリポジトリは、CVE-2026-31431（Copy Fail） の完全なラボ調査を文書化したものです。これは、2026年4月29日に公開された、Linuxカーネルの algif_aead 暗号モジュールにおける高深刻度のローカル権限昇格（LPE）脆弱性です。

CVSSスコア: 7.8（高）
テストカーネル: 6.18.12+kali-amd64
ラボ実施日: 2026年5月11日

内容

ファイル	説明
`CVE-2026-31431_Copy_Fail_Lab_Documentation_v2.md`	全手順と調査結果を含む完全なラボレポート
`screenshots/`	実機ラボテストからのターミナルスクリーンショット
`test_cve_2026_31431.py`	安全で非破壊的な脆弱性検出ツール
`exploit_cve_2026_31431.py`	PoCエクスプロイト（研究参照用のみ）

主な調査結果

カーネル 6.18.12+kali-amd64 が脆弱であることを確認
algif_aead はオンデマンドで自動ロードされる — 常駐時には存在しない
/etc/passwd のページキャッシュ上書きにより uid=1000 → uid=0 へ昇格
su kali は失敗（PAMがloginuid経由で再検証）
sudo -u root /bin/bash は成功 — rootシェルを取得
ディスク上の痕跡ゼロ — ファイル整合性監視を回避
blacklist ディレクティブでは不十分 — install /bin/false が必要
安全な検出ツールにより緩和策の有効性を確認

緩和策

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf
sudo rmmod algif_aead 2>/dev/null || true
modprobe -n -v algif_aead   # 確認: "install /bin/false" と表示されるはず

パッチ適用済みカーネルバージョン: 6.18.22+ / 6.19.12+ / 7.0+

免責事項

このリポジトリは教育および防御的なセキュリティ研究目的のみを対象としています。すべてのテストは、隔離された研究者所有の仮想マシン上で実施されました。所有していないシステム、または明示的な書面によるテスト許可を得ていないシステムに対して、これらのツールを決して使用しないでください。

CVE-2026-31431-CopyFail-Lab

人気