Copy Fail · CVE-2026-31431

Linuxカーネル4.11からパッチ適用済みの6.18リリース未満までのローカル権限昇格。
このバグはカーネルのAF_ALGソケットインターフェースに存在し、具体的にはauthencesnがインプレースAEAD復号中にscatter-gatherリストを処理する方法に起因します。結果として、権限のないユーザーが_任意の読み取り可能なファイルのページキャッシュ_内の4バイトを一度に上書きできます。

/usr/bin/suのようなsetuidバイナリをシェルコードで上書きし、実行するだけでrootになれます。レース不要、カーネルシンボル不要、再コンパイル不要。同じ172バイトのAArch64ペイロード（x86-64では160、i386では126、ARMv7では138）が全ディストリビューションで動作します。

この脆弱性はTaeyang Lee & Theori / Xint Codeによって発見され、2026年4月29日に公開されました。このリポジトリは、認可されたテストを目的とした独立したクラスベースの再実装です。

デモ

脆弱性の確認	エクスプロイトとroot取得

Dirty Cow / Dirty Pipeとの違い

レース不要。 ワンショット、決定的。
カーネル固有のオフセット不要。 スクリプトはディストリビューションを気にしません。
コンテナ脱出が可能。 ページキャッシュはホストと共有されます。allowPrivilegeEscalation: true（Kubernetesのデフォルト）のコンテナは脱出できます。

影響を受けるシステム

4.11からおよそ6.17.xまでのカーネルを実行しているすべてのシステム。以下を含みます：

Ubuntu 24.04 LTS（6.17.xを同梱）
Amazon Linux 2023（パッチ適用前の6.18.x）
RHEL 10.1、SUSE 16（6.12.x）
セキュリティ更新前のDebian Trixie（6.12.85+deb13で修正済み）

パッチ適用済みカーネル：メインライン ≥ 6.18.22 / 6.19.12 / 7.0、および安定版ツリーへのバックポート。

クイックスタート

# システムが脆弱かどうかを確認
python3 exploit.py --check

# エクスプロイトを実行（非rootユーザーが必要）
python3 exploit.py

要件

Python 3.6+（3.10以降はネイティブのos.splice）
AF_ALG + authencesn(hmac(sha256),cbc(aes))をサポートするカーネル
setuid-rootバイナリ（デフォルトは/usr/bin/su。代替を見つけるには--scanを使用）

チェックでアルゴリズムに関するエラーが出る場合は、必要なモジュールをロードしてください：

sudo modprobe algif_aead authencesn hmac cbc

一部のディストリビューションは一時的なブロック（/etc/modprobe.d/disable-algif_aead.conf）を同梱しています。スクリプトはrootで実行すると自動的に削除します。手動で削除することもできます。

緩和策

恒久的な対策： カーネルを更新してください。Ubuntu/Debianの場合：

sudo apt update && sudo apt upgrade linux-image-generic

回避策（IPsec/XFRMには影響しません）：

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif-aead.conf
sudo rmmod algif_aead 2>/dev/null

注： IPsec/XFRMはこのブロックの影響を受けません。カーネル暗号APIを直接使用しており、AF_ALGを使用しないためです。

コンテナ：

主な緩和策は、seccompプロファイルでAF_ALGソケットをブロックすることです。さらに、PodのセキュリティコンテキストでallowPrivilegeEscalation: falseを設定してno_new_privsを有効にすると、カーネルがexecve()でsetuidビットを尊重しなくなります。

参考情報

クレジット

Taeyang Lee & Theori / Xint Code – 脆弱性の発見とオリジナルPoC
ZephrFish – マルチアーキテクチャのシェルコード拡張
このリポジトリ – 独立したOOP再実装、自動回避策削除、システムスキャン、テスト、ドキュメント

免責事項

このツールは教育目的および認可されたセキュリティテスト用です。所有していないシステムや、書面によるテスト許可がないシステムでは実行しないでください。