Amazon Linux カーネルにおける「Dirty Frag」およびその他の問題
速報 ID: 2026-027-AWS
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
発行日: 2026 年 5 月 7 日 午後 7 時 45 分 (PDT)
変更日: 2026 年 5 月 13 日 午後 1 時 30 分 (PDT)
| ⚠️これは現在進行中の問題です。情報は変更される場合があります。最新のパッチ情報については、セキュリティ速報 (ID: 2026-030-AWS) を参照してください。 |
説明:
Amazon は、元の問題 (CVE-2026-31431) に関連する Linux カーネルにおける一連の問題 (CVE-2026-43284) を認識しています。一般的に「DirtyFrag」と呼ばれるこれらの問題は、xfrm_user/esp4/esp6 を含む、複数のロード可能なモジュールに存在します。非特権ユーザーがソケットを直接または CAP_NET_ADMIN を通じて作成できるようにするシステム、あるいは非特権ユーザーの名前空間 (user+net) の作成を許可するシステムでは、行為者はカーネルメモリに対するアクセスを取得して自らの特権を昇格させる可能性があります。
影響を受けるサービスで必要となるお客様の対応
Amazon Linux: Amazon Linux カーネル 4.14、5.4、5.10、5.15、6.1、6.12、6.18 が影響を受けます。AWS は、この問題に対処する Amazon Linux のアップデートをリリースしました。お客様は最新のカーネルアップデートを適用すべきです。この問題に関連する最新情報については、Amazon Linux Security Center (ALAS) を参照することをお勧めします。
お客様には、利用可能なカーネルアップデートをお客様の環境に適用することをお勧めします。カーネルアップデートを適用せずに既知の攻撃経路を狭めるために、お客様は必ず次のことを行なってください。
- 次のコマンドを使用して、影響を受けるすべてのモジュールについて、該当のモジュールがホスト上にロードされているかどうかを確認します:
lsmod | grep -E "esp4|esp6|rxrpc"
出力に影響を受けるモジュールが表示されている場合、それらは現在ロードされています。想定外の使用状況が表示されている場合は、次のコマンドを実行後、再起動してください。想定どおりの使用状況が表示されている場合は、他の緩和オプションを検討してください。
- 次のコマンドを使用して、影響を受けるモジュールの今後のロードを個別に無効にしてください。
echo 'install esp4 /bin/false' >> /etc/modprobe.d/cve-copyfail2.conf
echo 'install esp6 /bin/false' >> /etc/modprobe.d/cve-copyfail2.conf
echo 'install rxrpc /bin/false' >> /etc/modprobe.d/cve-copyfail2.conf
あるいは、影響を受けるモジュールが現在ロードされていない場合は、次のコマンドを使用して、すべての追加カーネルモジュールのロードを無効にしてください:
sysctl -w kernel.modules_disabled=1
この変更は、次回の再起動まで有効です。
名前空間に特有の攻撃経路を狭めるには、次のコマンドを使用すると、名前空間を作成するオプションが無効になります:
sysctl -w user.max_user_namespaces=0
上記のモジュールを使用しているお客様は、異常な setuid 実行がないか、環境をモニタリングしてください。「Copyfail v1」に関する詳細については、当社のセキュリティ速報をご覧ください。
セキュリティ速報 (ID: 2026-030-AWS) で更新が確認でき次第、詳細情報を公開します。
関連するセキュリティ速報 – copy.fail のバリエーション:
- セキュリティ速報 2026-029-AWS – CVE-2026-43284 (別名「Fragnesia」)
- セキュリティ速報 2026-026-AWS – CVE-2026-31431 (別名 copy.fail)
参考情報:
- CVE-2026-31431
- CVE-2026-43284
- https://explore.alas.aws.amazon.com/CVE-2026-43284.html
- AL2023 – kernel 6.1
- AL2023 – kernel 6.12
- AL2023 – kernel 6.18
- AL2 – kernel 4.14
- AL2 – kernel 5.4
- AL2 – kernel 5.10
- AL2 – kernel 5.15
セキュリティに関する質問や懸念については、aws-security@amazon.com まで E メールでお問い合わせください。