🔍 개요

CVE-2026-31431 - Copy Fail 은 리눅스 커널의 authencesn 암호화 템플릿의 논리적 결함입니다. 권한이 없는 로컬 사용자가 디스크의 파일을 수정하지 않고도 시스템에서 읽을 수 있는 모든 파일의 page cache에 제어된 4바이트 쓰기를 수행할 수 있게 합니다.

이 버그는 세 구성 요소 중 어느 하나에도 개별적으로 존재하지 않습니다. 이는 이들 간의 상호 작용에서 발생합니다:``` 2011 ────────────────────────────────────────────────────────────────────── - authencesn added to the kernel (a5079d084f8b). - Uses the caller's destination scatterlist as scratch space. - Reorder ESN bytes before HMAC computation. - Only caller: internal xfrm layer. Harmless.

2015 ────────────────────────────────────────────────────────────────────── - algif_aead.c gains AEAD support with splice() path (104880a6b470). - splice() can deliver page cache pages to the TX scatterlist. - AF_ALG uses out-of-place operation: req->src != req->dst. - Page cache pages remain read-only. Not exploitable.

2017 ────────────────────────────────────────────────────────────────────── - In-place optimization in algif_aead.c (72548b093ee3). - Copies AAD+CT to RX buffer but chains authentication tag pages via sg_chain(). - Sets req->src = req->dst. - Page cache pages now reside in WRITABLE dst. - authencesn writes past boundary → page cache corruption.

2026 ────────────────────────────────────────────────────────────────────── - Copy Fail - CVE-2026-31431. Discovered by Theori / Xint Code. - Exploitable across all distros since 2017.

---
---
---



<div id='root-cause'/>

## ***🧬 근본 원인 분석***

<div id='primitive'/>

### ***AF_ALG + splice() 프리미티브***

AF_ALG (*[AF_ALG = 38](https://docs.kernel.org/crypto/userspace-if.html#user-space-api-general-remarks)*)는 커널 암호화 API를 권한이 없는 사용자 공간에 노출하는 소켓 유형입니다. 권한이 없는 프로세스는 다음을 수행할 수 있습니다:

1. AF_ALG / SOCK_SEQPACKET 소켓을 엽니다.
2. 커널 crypto API가 노출하는 사용 가능한 AEAD 템플릿에 bind() 합니다.
3. 구성된 알고리즘에 대해 setsockopt(SOL_ALG, ALG_SET_KEY, ...)를 통해 암호화 키를 설정합니다.
4. 암호화 및 복호화 요청을 처리할 전용 연산 소켓을 얻기 위해 accept()를 호출합니다
5. sendmsg()로 조작된 데이터를 보내고 recvmsg()로 처리된 결과를 수신하여 커널 crypto 서브시스템과 완전히 상호작용합니다.

주요 배포판의 커널 구성에서는 기본적으로 활성화되어 있습니다 (CONFIG_CRYPTO_USER_API_AEAD=y).

**[splice(2)](https://man7.org/linux/man-pages/man2/splice.2.html)** 는 복사 없이 파일 디스크립터 간에 데이터를 전송합니다 - 페이지에 대한 참조를 전달하지 복사본을 전달하지는 않습니다. 관련 흐름은 다음과 같습니다:```
open("/usr/bin/su")   ->  fd_file
pipe()                ->  pipe_rd, pipe_wr

# moves N bytes from the file into the pipe
# the pipe buffer now contains a reference to the same physical page in the page cache
splice(fd_file, pipe_wr, N)

# delivers that reference to the AF_ALG socket
# the TX scatterlist of algif_aead now points to the page cache page of /usr/bin/su
splice(pipe_rd, alg_fd, N)

AF_ALG 소켓의 TX scatterlist는 커널이 파일의 모든 read(), mmap(), execve()에서 사용하는 것과 동일한 물리적 페이지에 대한 직접 참조를 포함합니다. 복사가 수반되지 않습니다.

<div id='authencesn'/>

### ***authencesn의 범위를 벗어난 쓰기(out-of-bounds write)***

authencesn은 확장 시퀀스 번호(Extended Sequence Numbers, RFC 4303)를 사용하는 IPsec에서 쓰이는 커널 AEAD 래퍼입니다. IPsec은 64비트 시퀀스 번호를 사용합니다:

- seqno_hi - 상위 32비트 (AAD의 바이트 0-3)
- seqno_lo - 하위 32비트 (AAD의 바이트 4-7)

seqno_lo만 실제로 전송되며, seqno_hi는 암시적 컨텍스트입니다. HMAC 계산을 위해 authencesn은 이 바이트들을 재배열해야 합니다. 즉, 해시 입력의 시작 부분에 seqno_hi를, 끝 부분에 seqno_lo를 배치해야 합니다.

이 재배열은 호출자의 대상 scatterlist를 스크래치 공간으로 사용하여 수행됩니다:```c
/* crypto/authencesn.c - crypto_authenc_esn_decrypt() */

// [1] Read bytes 0-7 of the AAD from dst
scatterwalk_map_and_copy(tmp, dst, 0, 8, 0);

// [2] Overwrite dst[4..7] with seqno_hi (temporary modification for HMAC)
scatterwalk_map_and_copy(tmp, dst, 4, 4, 1);

// [3] *** THE BUG ***
// Writes seqno_lo at dst[assoclen + cryptlen]
// This offset is AFTER the authentication tag - outside the legitimate AEAD output region.
// authencesn uses this position as scratch space and NEVER restores the original bytes.
scatterwalk_map_and_copy(tmp + 1, dst, assoclen + cryptlen, 4, 1);