CVE-2026-31431（Copy Fail）ツールキット

このリポジトリには、Linux algif_aead / authencesn ページキャッシュ scratch-write 脆弱性 CVE-2026-31431 の検出器と PoC が含まれています。

開示記事：https://xint.io/blog/copy-fail-linux-distributions

ライセンスに関する注意

所有している、または明示的な許可を得たホスト上でのみ使用してください。検出器は非破壊的で、一時ディレクトリ内の sentinel ファイルのみを操作します。PoC および LPE はメモリ内のページキャッシュ状態を変更するもので、実際のローカル権限昇格テクニックであり、許可なく実行することは通常違法行為となります。

脆弱性の概要

algif_aead は AEAD 操作をインプレースで実行します。つまり req->src == req->dst です。入力データが splice() によって通常のファイルから送り込まれると、宛先 scatterlist にはそのファイルのページキャッシュページへの参照が含まれ、カーネルがファイルのページキャッシュコピーに書き込む可能性があります。

authencesn(hmac(sha256),cbc(aes)) は、AAD 内の seqno_lo フィールド（AAD の 4 バイト目から 7 バイト目）に対して 4 バイトの scratch write を実行します。上記のインプレース AEAD と splice() パスを組み合わせることで、攻撃者はこの 4 バイトを読み取り可能なファイルのページキャッシュページに落とし込むことができます。

この変更はディスクに書き戻されず、現在のカーネルページキャッシュにのみ影響します。したがって、ディスク上のファイル内容は変わりませんが、そのページキャッシュを共有する読み取り側は汚染された後の内容を参照することになります。/etc/passwd や /usr/bin/su のような world-readable ファイルがターゲットになり得ます。

ファイルの説明

正式版のコンパイル

ローカルに Rust ツールチェーンと Cargo がインストールされている必要があります。

すべての Rust バイナリをコンパイル：

cargo build --release --bins

コンパイル完了後、以下が生成されます：

target/release/cve_2026_31431_detector
target/release/cve_2026_31431_poc

リポジトリにプリコンパイル済みファイルをコミットする場合は、以下に配置してください：

dist/linux-x86_64/cve_2026_31431_detector
dist/linux-x86_64/cve_2026_31431_poc
dist/linux-x86_64/SHA256SUMS

target/ ディレクトリ全体はコミットしないでください。このディレクトリには Cargo の中間生成物とローカルキャッシュが含まれます。

非破壊検出器のみをコンパイル：

cargo build --release --bin cve_2026_31431_detector

poc.py の Rust 版のみをコンパイル：

cargo build --release --bin cve_2026_31431_poc

脆弱性の有無を検証

Rust 非破壊検出器を推奨します：

./target/release/cve_2026_31431_detector
echo $?

Cargo 経由で直接実行することもできます：

cargo run --release --bin cve_2026_31431_detector
echo $?

Python 検出器の使い方：

python3 test_cve_2026_31431.py
echo $?

終了コードの意味：

一般的な出力の判断：

検出器が実行する操作：

1. AF_ALG と authencesn(hmac(sha256),cbc(aes)) が利用可能か確認します。
2. 一時ディレクトリに 4 KiB の sentinel ファイルを作成します。
3. sendmsg で AAD を送信し、AAD の seqno_lo を marker PWND に設定します。
4. splice() で sentinel ファイルのページキャッシュページを AF_ALG op socket に送り込みます。
5. recv() を呼び出してアルゴリズムの実行を駆動します。
6. sentinel ファイルを再読み込みし、ページキャッシュに marker やその他の変更が現れたか確認します。

検出器は /usr/bin/su、/etc/passwd、その他のシステムファイルを変更しません。一時的な sentinel ファイルは終了時に削除されます。

PoC の実行

Rust 版 poc.py：

./target/release/cve_2026_31431_poc

または：

cargo run --release --bin cve_2026_31431_poc

注意：この PoC は poc.py のロジックに従って /usr/bin/su を開き、脆弱性プリミティブを通じてそのページキャッシュコピーを汚染し、その後 su を実行します。これは非破壊検出プロセスではなく、許可されたテスト環境でのみ実行してください。

Python LPE の使い方

python3 exploit_cve_2026_31431.py
python3 exploit_cve_2026_31431.py --shell

このスクリプトは /etc/passwd 内の現在のユーザーの UID フィールドを探し、ページキャッシュ内の UID を 0000 に変更しようとします。ディスク上の /etc/passwd は変更されませんが、システムプロセスがページキャッシュを読み取る際に汚染された後の内容を参照する可能性があります。

制約条件：

• 現在のユーザー UID は 4 桁の数字である必要があります。例：1000 から 9999。
• nscd、sssd、systemd-userdbd などの NSS キャッシュサービスは、/etc/passwd のページキャッシュ変更を隠蔽する可能性があります。
• /etc/passwd のページキャッシュは、patch と su の実行の間、存在し続ける必要があります。

ページキャッシュのクリーンアップ：

python3 -c "import os; fd=os.open('/etc/passwd', os.O_RDONLY); os.posix_fadvise(fd, 0, 0, os.POSIX_FADV_DONTNEED); os.close(fd)"

すでに root シェルを取得している場合は、以下も実行できます：

echo 3 > /proc/sys/vm/drop_caches

再起動でもページキャッシュ状態はクリアされます。

緩和策

ディストリビューションのカーネル修正が提供されるまで、algif_aead を無効化できます：

sudo tee /etc/modprobe.d/disable-algif-aead.conf <<<'install algif_aead /bin/false'
sudo rmmod algif_aead 2>/dev/null

緩和策を適用後、検出器は通常 检测结论：未发现漏洞 を出力し、トリガーの前提条件が満たされていないことを示し、終了コードは 0 になります。

上流の修正方針は、AEAD 操作をインプレース処理から非インプレース処理に戻し、ページキャッシュページが書き込み可能な destination scatterlist に入らないようにすることです。

参考

• Xint 開示記事：https://xint.io/blog/copy-fail-linux-distributions
• CVE-2026-31431