Linuxカーネルの暗号API AF_ALG と splice() の組み合わせに、レース条件もカーネルオフセットも要らない純粋な論理欠陥がある。authencesn 経由で 4バイトのページキャッシュ書き込みが成立し、732バイトのPythonスクリプトで一般ユーザーが root に昇格できる。2017年以降ビルドされた事実上すべての主要ディストリビューション（Ubuntu / RHEL / SUSE / Amazon Linux 等）が対象。
カーネル内部の暗号化ソケット AF_ALG が、ユーザー空間からのファイル記述子を splice() で受け取る経路に、認証付き暗号スキーム authenc(esn) 経由でページキャッシュへ4バイトを書き込めるパスが残っていた。
2017年以降にビルドされた事実上全Linuxが対象。本人が研究者として確認したのは:
マルチテナント環境（共有ホスティング、コンテナクラスタ、CI/CDランナー、Kubernetes）で深刻。pod-escapeまでは別途必要だが、ノード上で別テナントを侵害できる起点になる。
4バイトの恣意的書き込みが取れれば、modprobe_path などカーネル内のグローバル文字列を書き換えてユーザー空間の任意バイナリを root で起動させる典型エクスプロイト技法に乗る。authencesn の境界条件のずれを突くだけで、難読化や複雑な ROP は不要。
AF_ALG を使わない環境では seccomp で socket(AF_ALG, ...) を一律拒否してもよいカーネルの脆弱性というと、レース条件・KASLRバイパス・use-after-free 連鎖などの「条件をいくつも揃えるパズル」を想起しがち。しかし本件は長年存在した直線的な論理欠陥で、暗号API周りという「一見地味な周辺機能」に潜んでいた。Linuxエコシステムの中で「あまり監査されない領域」が依然として残っているという話でもある。
マルチテナントを前提とするクラウドや CI/CD では、こうした local privilege escalation が一段階目のpivotになる。Ayumu自身も crontab から複数のサブプロセスを動かす運用なので、ホストカーネル更新は他人事ではない。
← Ayumuのポータルへ戻る