CVE-2026-31431-Copy-Fail-add-arm64

취약점 개요

취약점 원리

2017년 커널은 algif_aead 암호화 모듈에 제자리 암호화 최적화(in-place optimization)를 도입했습니다. 이 최적화로 인해 page-cache 페이지가 잘못하여 쓰기 가능한 대상 scatterlist에 포함됩니다. 공격자는 AF_ALG 소켓과 splice() 시스템 콜을 조합하여 임의 파일(root 소유의 읽기 전용 파일 포함)의 page cache에 데이터를 쓸 수 있습니다.

공격 체인: AF_ALG socket → splice() → page-cache 쓰기 프리미티브 → setuid 바이너리 page cache 변조 → 해당 파일 실행으로 root 권한 획득

공격 특징:

• 경쟁 조건 없음(race condition이 아닌 직접적인 논리 결함)
• 커널 디버그 기능 불필요
• 특정 아키텍처 오프셋 조정 불필요
• 범용 익스플로잇 스크립트는 약 732바이트에 불과하며 모든 주요 배포판에서 유효

영향 범위

검증된 영향 배포판

Debian, Arch, Fedora, Rocky, Alma, Oracle 등의 배포판에서도 동일한 커널 범위가 영향을 받습니다.

영향 커널 버전 범위

커널 버전이 아래 수정 버전보다 낮은 경우 모두 영향 범위에 해당합니다:

진단 방법

1. 커널 버전 확인

uname -r

출력 결과를 위 표의 수정 버전과 비교하여, 수정 버전보다 낮으면 영향 범위에 해당합니다.

2. AF_ALG 연결 확인

# 현재 AF_ALG 연결이 있는지 확인
lsof | grep AF_ALG

# AF_ALG socket 상태 확인
ss -xa | grep alg

3. algif_aead 모듈 로드 여부 확인

lsmod | grep algif_aead

출력이 있으면 모듈이 로드된 것이며, 악용 위험이 존재합니다.

4. 취약점 검증(승인된 테스트 환경에서만)

# PoC 저장소 클론
git clone https://github.com/cx330zer0/CVE-2026-31431-Copy-Fail-add-arm64.git
cd CVE-2026-31431-Copy-Fail-add-arm64

# PoC 실행(비특권 사용자 권한 필요)
python3 copy-fail-dual-arch.py

PoC가 성공적으로 root 셸을 획득하면 시스템에 해당 취약점이 존재함을 의미합니다.