CVE-2026-31431 — Copy Fail

ローカル権限昇格 — Linuxカーネルのauthencesn暗号テンプレートにおけるAF_ALG + splice()を介した脆弱性。
2026年4月29日にTheori（Xint Code）により公開。

概要

脆弱性の概要

カーネルのauthencesn AEADラッパーにおける論理的な欠陥により、非特権のローカルユーザーがシステム上の任意の読み取り可能なファイルのページキャッシュに対して、決定的かつ制御された4バイト書き込みを実行できます — /usr/bin/suなどのsetuidバイナリも含まれます。

根本原因は、ページキャッシュページを書き込み可能なscatterlistに配置した2017年のインプレース処理最適化にあります。authencesnアルゴリズムは、拡張シーケンス番号の再配置中に、意図した出力領域の外側に4バイトのスクラッチデータを書き込みます。この最適化によって導入されたscatterlist構造のため、その4バイトはsplice()を介して供給されたファイルのページキャッシュに到達し、ファイル権限を完全にバイパスします。

レースコンディションなし。リトライなし。クラッシュのリスクなし。テスト済みの全ディストリビューションで決定的に再現可能。

既存技術との比較

影響を受けるバージョン

脆弱: Linuxカーネル4.14から6.18.21、および6.19.12より前の6.19.x。

この範囲のカーネルを搭載する主要なディストリビューションはすべて影響を受けます。以下を含みます:

影響を受けない: Ubuntu 26.04（Resolute）以降。

緩和策

オプション1 — パッチ適用（推奨）

メインラインコミットa664bf3d603dを含むカーネルに更新してください。このコミットは2017年のインプレース最適化を巻き戻します。

# Ubuntu / Debian
sudo apt update && sudo apt upgrade -y && sudo reboot

# RHEL / AlmaLinux / Amazon Linux
sudo dnf clean metadata && sudo dnf upgrade && sudo reboot

# SUSE
sudo zypper refresh && sudo zypper update kernel-default && sudo reboot

オプション2 — algif_aeadの無効化（一時的）

直ちにパッチを適用できない場合は、脆弱なモジュールを無効化して攻撃対象領域を閉じます。

RHEL系システムに関する注意: RHEL/AlmaLinux/CentOSではalgif_aeadはカーネルに組み込まれています（CONFIG_CRYPTO_USER_API_AEAD=y）。modprobe.dによる回避策はこれらのシステムでは機能しません。代わりにinitcall_blacklist方式を使用してください。

Debian/Ubuntu（モジュールがロード可能）:

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf
sudo rmmod algif_aead 2>/dev/null || true

RHEL系（カーネル組み込み — 再起動が必要）:

sudo grubby --update-kernel=ALL --args="initcall_blacklist=algif_aead_init"
sudo reboot

再起動後に確認:

grep initcall_blacklist /proc/cmdline

この回避策の影響範囲

オプション3 — seccomp（多層防御）

信頼できないワークロード（コンテナ、CIランナー、サンドボックス環境）では、パッチ適用状態に関係なく、seccompポリシーでAF_ALGソケットの作成をブロックします。これにより、脆弱なカーネルでも攻撃対象領域を制限できます。

検出

algif_aeadが現在ロードされているか、使用中かを確認します:

# モジュールがロードされているか確認
lsmod | grep algif_aead

# AF_ALGソケットを開いているプロセスがあるか確認
lsof | grep AF_ALG
ss -xa | grep alg

ランタイム検出シグネチャはSysdig Secureで利用可能です（ルール: AF_ALG Page Cache Poisoning Leading to Privilege Escalation）。

参考情報

開示タイムライン

著者

xD The Watcher — レッドチーマー、倫理的ハッカー & AIセキュリティ研究者
GitHub: @xd20111
ブログ: yourhacker

注記

このリポジトリは、研究および防御目的でこの脆弱性を文書化しています。権威ある技術解説と公式PoCについては、上記にリンクされているTheoriの開示情報を参照してください。

脅威モデルに共有カーネル型マルチテナンシー（共有ホスト上のコンテナ、CIランナー、ビルドファーム）が含まれる場合、パッチ適用までの間、分離境界は実質的に弱まります。ハードウェアまたはVMレベルの分離が適切な対応であり、ネームスペース境界ではありません。