Linux カーネルの暗号化サブシステムの論理的な脆弱性により、特権のないローカル ユーザーが自分の権限をルート レベルに昇格させることができます。 CVE-2026-31431 として特定され、コピー失敗というニックネームが付けられたこの欠陥は、2017 年以降にリリースされたディストリビューションに影響します。主要なディストリビューションの開発者は、この問題を修正するパッチをすでに配布しています。このエクスプロイトは、わずか 10 行、732 バイトの Python スクリプトを通じて機能します。
コピー失敗脆弱性の技術的メカニズム
このバグは、認証された暗号化操作で使用されるコンポーネントである、authenticationsn テンプレートに存在します。この欠陥により、ローカル ユーザーは読み取り可能なファイルのページ キャッシュに 4 つの制御されたバイトを書き込むことができます。この変更は、カーネルによるバイナリのロードに直接影響し、特権昇格のためのゲートウェイを作成します。
‼️Copy Fail (CVE-2026-31431) is a Linux privilege escalation bug that lets any local user get root using a 732-byte Python script, and itworks on basically every major Linux distro shipped since 2017.
Website: https://t.co/KsC4XDIdnn
Write-up: https://t.co/ah4C7XtRLZ
GitHub:… pic.twitter.com/EwqDdAxSKb
— Dark Web Informer (@DarkWebInformer) April 29, 2026
この問題は、2017 年に algif_aead モジュールに実装された変更が原因で発生しました。この変更により、特定のスキャッタリスト シナリオでページ キャッシュ ページを書き込みに使用できるようになりました。他の従来の脆弱性とは異なり、コピー失敗は動作するために競合状態を必要としないため、悪用が大幅に簡素化されます。
Theori の研究者は、人工知能ベースのスキャン ツールのサポートに問題があることを特定しました。このエクスプロイトは、inotify などのファイル システムのイベントベースの検出メカニズムをトリガーせずに、メモリ内のバイナリを変更します。これにより、リアルタイムでの検出がより複雑になります。
実稼働環境とコンテナ化環境への影響
- CVE-2026-31431 は 10 点中 7.8 のスコアを獲得し、重大度が高として分類されました。
- 悪用はマルチテナント環境と共有カーネルを備えたコンテナで行われます。
- ホスト上の共有ページ キャッシュにより、Kubernetes コンテナが漏洩する可能性があります。
- これを単独でリモートから悪用することはできませんが、他の攻撃ベクトルを増幅します。
CI/CD ランナーや共有サーバーなど、信頼できないコードを実行するシステムが最も危険にさらされます。ホストレベルの共有ページキャッシュは、コンテナ化された環境において具体的なエスケープの脅威をもたらします。複数のテナントまたはサードパーティのワークロードを管理する管理者は、カーネルの即時更新を優先する必要があります。
ディストリビューションではすでに修正されたパッチが提供されています
Debian、Ubuntu、SUSE では、この修正を適用した更新されたカーネルがすでに利用可能になっています。 Red Hat は遅延に関する当初の立場を変更し、現在はエコシステムと同期してパッチを提供しています。 Fedora は修正をリポジトリにもコミットしました。パッチのロールアウトは、主要なメンテナ間で調整された方法で行われ、Debian と Ubuntu は、algif_aead のインプレース動作への必要な復帰を伴う新しいカーネルを公開します。
Linux コミュニティは、ディスカッション リストや技術フォーラムのプロセスに従っています。多くの管理者はすでに重要なサーバーでアプリケーションを開始しています。ベンダー間の調整により、責任を持って障害を開示した後の暴露期間が制限されました。
一時的な軽減措置
一時的な対策として、algif_aead モジュールを無効にして、ほとんどのシナリオで脆弱なコンポーネントが読み込まれないようにします。管理者は、algif_aead /bin/false をインストールする内容を含むファイル /etc/modprobe.d/disable-algif.conf を作成できます。その後、モジュールがロードされている場合は、rmmod algif_aead を実行してモジュールを削除する必要があります。
この設定は、暗号化モジュールに明示的に依存するアプリケーションに影響を与える可能性があります。運用環境に適用する前に、ステージング環境でテストすることをお勧めします。公式アップデートは、脆弱性を完全に解決するための最も確実で安全なソリューションです。
発見の背景と将来の展望
Copy Fail は、Dirty Cow や Dirty Pipe などの歴史的な失敗作に似ていますが、探索の単純さと範囲の広さで際立っています。最近の脆弱性報告の増加は、バグハンティングにおける人工知能ツールの使用に直接関係しています。研究者らは、2017 年以降稼働中のほとんどの施設は、運用の安全性を維持するために直ちに対応する必要があると推定しています。
