CVE-2026-31431 別名 Copy.Fail eBPF 回避策

なぜ重要か

このCVEにより、認可されたユーザーが任意の読み取り可能なファイルのキャッシュコピーを変更でき、ローカル権限昇格（別名ローカルルートエクスプロイト）、サンドボックス/コンテナからの脱出、その他の問題を引き起こします。 これは、algif* カーネルモジュールによって提供される AF_ALG ソケットを作成することで機能します。

現在知られている回避策では algif_aead モジュールを無効化することが推奨されていますが、Fedora Linux、Oracle Linux、その他のRHELベースのシステムのようにモジュールが組み込み（built-in）の場合は不可能です。 また、一部の上流ディストリビューションではまだパッチが適用されていません。 つまり、カーネルをパッチ適用するまで、システムは脆弱なままです。

解決策

このパッケージは、2つのeBPFプログラムを提供します:

• ebpf-alg-socket-filter — eBPF/LSMカーネルメカニズムによってAF_ALGソケットの作成をフィルタリングします
• ebpf-alg-socket-killer — AF_ALGソケットを作成するプログラムを強制終了します

カーネルでeBPF LSMモジュールが有効になっている場合は、最初のプログラムを使用することをお勧めします。次のコマンドで確認できます:

cat /sys/kernel/security/lsm

bpf が含まれているか確認してください。

eBPF LSMモジュールがない場合は、2番目のプログラムを使用してください。より乱暴ですが、同様に保護します。

ビルド

• clang、kernel-headers、libbpf-devel、bpftool をインストールします
• カーネルヘッダーから vmlinux.h をコピーします
• build.sh build を実行します

実行

• apply.sh load を実行してロードします
• apply.sh unload を実行してアンロードします
• apply.sh status を実行してステータスを確認します