Cloudflare、Linuxの「Copy Fail」脆弱性への対応を発表

2026年4月29日に公開されたLinuxカーネルのローカル権限昇格脆弱性「Copy Fail」(CVE-2026-31431)に対し、Cloudflareは迅速に対応した。同社は脆弱性開示後すぐにセキュリティおよびエンジニアリングチームによる評価を開始し、エクスプロイト技術のレビュー、インフラストラクチャ全体への影響評価、既存の検知能力によるエクスプロイトパターンの特定を行った。結果として、Cloudflareの環境への影響はなく、顧客データもリスクにさらされず、サービスの中断も発生しなかった。Cloudflareは、大規模なグローバルLinuxサーバーインフラストラクチャを運用しており、カスタムLinuxカーネルビルドを使用している。脆弱性の修正は、通常、CVE公開時には既に安定版Linux LTSリリースに数週間統合されており、同社のプロセスによりパッチは既に展開済みであった。Copy Fail脆弱性は、AF_ALGソケットファミリーとカーネル暗号APIにおけるalgif_aeadモジュールの認証済み暗号(AEAD)処理において、ユーザーがsplice()システムコールを使用してメモリページを連鎖させることで、意図した境界を超えて書き込む(out-of-bounds write)ことができる問題に起因する。攻撃者はこれにより、setuid-rootバイナリ(例: /usr/bin/su)のページキャッシュを改変し、root権限でシェルコードを実行することが可能になる。Cloudflareは、脆弱性開示後、影響範囲のマッピング、既存検知機能によるカバレッジの検証、プロアクティブな脅威ハンティング、ランタイム緩和策のエンジニアリング、ソフトウェアアップデートの継続といった複数のワークストリームを並行して開始した。特に、既存の行動検知システムが数分以内にエクスプロイトパターンを検知したこと、および48時間遡ってログを調査した結果、悪用された形跡がないことが確認された。緩和策としては、当初モジュールの無効化が検討されたが、暗号APIを利用するソフトウェアへの影響を考慮し、bpf-lsm(eBPF Linux Security Module)プログラムを用いたより外科的なアプローチが採用された。これは、許可リストに登録されたバイナリ以外のAF_ALGソケットバインドを拒否するものである。また、パッチ適用済みのLinuxカーネルのロールアウトも進められた。最終的に、全てのサーバーがパッチ適用済みカーネルまたはbpf-lsmプログラムによって保護され、顧客への影響は一切なかった。Cloudflareは、今回のインシデント対応を通じて、カーネルAPI依存関係の可視性向上、ランタイム緩和策の改善、Linuxカーネルの攻撃対象領域の削減などを今後の改善点として挙げている。