malware · cryptomining · rootkit · linux · kernel · monero · privilege-escalation · cve-2026-31431 · container-escape
Rootpacket：カーネルに潜む Linux クリプトジャッキング・ツールキット
Kinryū Labs は Rootpacket を分析した。これは Linux 向けのクリプトジャッキング・ツールキットで、CPU とメモリの使用率を偽るカーネル・ルートキットを携え、CVE-2026-31431（コンテナからホストへも逃げ出す AF_ALG ページキャッシュの欠陥）で root へ昇格し、Intel ドライバになりすまし、競合マイナーが侵入に使うのと同じ露出サービスを無効化する。
著者 Davis Zheng·
TLP:CLEAR。一般公開を承認済み。これは純粋に静的な分析である。検体は一切実行しておらず、すべての結論は文字列抽出、逆アセンブル、ソース精査から得たものだ。攻撃者のモネロ・ウォレット、プール、インフラは防御指標として公開する。
エグゼクティブサマリー
- ~45%実際は 100% 近くで動くなか top が表示する CPU
- 3つの永続化の仕組み
- 7.8CVSS、CVE-2026-31431（AF_ALG ページキャッシュ LPE）
- ホスト無特権コンテナから奪う root
Rootpacket は Linux 向けの複数コンポーネントから成るクリプトジャッキング・ツールキットだ。隠密のためのカーネルレベルのルートキット、Linux AF_ALG 暗号インターフェースの CVE-2026-31431 を突く権限昇格エクスプロイト、xrandom に改名された UPX パックの XMRig 6.26.0 モネロ・マイナー、そして競合排除スクリプトを同梱する。コードはほぼトルコ語で書かれており（変数名、コメント、ステータス文字列）、トルコ語話者の操作者を示唆する。
ツールキットは二つのモードのいずれかで動く。root モードでは、intel_uncore_freq_aux に偽装した可搬カーネルモジュール（LKM）ルートキットを読み込み、カーネルのアップグレードを生き延びるよう DKMS 経由でインストールし、systemd サービスを登録し、マシンから対手を一掃する。root を取れないときは、crontab で永続化しマイナーをデーモンとして走らせるユーザーランドモードにフォールバックする。マイナーは stratum+ssl で pool.supportxmr.com:443 に接続し、RandomX でモネロを掘る。
掘り下げる価値のあるコンポーネントはルートキットだ。マイナーがプロセッサを 100 パーセント近くに張り付けるなか、ルートキットは /proc/stat を書き換え、top と htop が穏やかな 40〜50 パーセントを報告するようにし、jiffies を使ってその数値を上下させ、負荷が一定値に張り付くのではなく本物らしく動くように見せる。/proc/meminfo にも同じことをし、ディレクトリ一覧を絞り込んで自分のプロセスとファイルを隠す。
主要な判断
- 目的はクリプトジャッキング（高い確度）。ツールキットは XMRig 6.26.0、ハードコードされたモネロ・ウォレット、そして
pool.supportxmr.comのマイニング設定を同梱し、XMRig の開発者寄付を切って全収益が操作者に渡るようにしている。 - 権限昇格は CVE-2026-31431（“Copy Fail”）、Linux AF_ALG
algif_aead経路における確定的なページキャッシュ書き込みだ（CVSS 7.8、2026 年 4 月公表）。ページキャッシュは全ホストで共有されるため、同じ書き込みがコンテナから逃げ出してホストの root を奪う。したがって感染したコンテナは侵害されたホストに等しい（高い確度）。 - 操作者は典型的な「投下して掘るだけ」の集団より格段に上だ（高い確度）。ftrace フックを備えた独自の LKM ルートキット、新しいカーネル向けに自動で再ビルドする DKMS 永続化、動作する CVE-2026-31431 ページキャッシュ・エクスプロイト、そして systemd/DKMS/cron の多層永続化は、大半のクリプトジャッカーが決して到達しない工学水準だ。
- 操作者はトルコ語話者の可能性が高い（中程度の確度）。トルコ語の変数名、コメント、そして
ROOT ele gecirildi!（「root を奪取した」の意）のようなステータスメッセージがツールキット全体を貫いている。 - Rootpacket は、ホストを独占し保持するために作られている。その
killservice.shは競合マイナーを排除したうえで、クリプトジャッカーが初期アクセスに使う外部露出サービス——2375/2376 上の Docker API を含む——を無効化する。我々が RedTail の記事 で記録したのと同じ経路だ。これらの集団は同じ設定ミスのマシンを奪い合っている。
ツールキットの構成
Rootpacket はモジュール式の投下器だ。各部品。
setup.sh 入口点。権限レベルを確認し、配備モードを選ぶ。
getroot 権限昇格。CVE-2026-31431（AF_ALG）を突いてローカル root を得る。
xrandom UPX パックの XMRig 6.26.0。名前ベースの検知を躱すため改名。
kernel/
stealth.c LKM ルートキット。DKMS でコンパイルし、Intel ドライバに偽装。
install.sh DKMS 永続化エンジン。
killservice.sh 競合排除と「堅牢化」。
rootpacket.tar.gz ツールキット全体の内層コピー。再配布用にパッケージ化。root モード。 setup.sh は、まだ root でなければ getroot を実行し、xrandom を /opt/kernel-kd/ にコピーし、systemd サービスを作成し、kernel/install.sh を実行して DKMS 経由でルートキットをコンパイル・ロードし、killservice.sh を実行して競合を一掃し、マイナーを永続的なサービスとして起動する。
ユーザーランドフォールバック。 root が手の届かないところにあるとき、setup.sh は xrandom を ~/.xrandom/ にコピーし、PID ロック付きのランチャーを書き込み、再起動時および毎分に発火する crontab エントリをインストールし、親 shell が終了しても生き延びるよう setsid でマイナーを起動する。
| 機能 | root モード | ユーザーランドモード |
|---|---|---|
| マイナーの場所 | /opt/kernel-kd/xrandom | ~/.xrandom/xrandom |
| 永続化 | systemd（kernel-kd.service） | crontab（@reboot + */1 * * * *） |
| ルートキット | あり（DKMS 経由の LKM） | なし |
| 競合の kill | あり（killservice.sh） | なし |
| 実行主体 | root（systemd） | 現在のユーザー（setsid デーモン） |
getroot：CVE-2026-31431、ページキャッシュ破壊による root 奪取
getroot は getroot.c からビルドされた、静的リンクで未 strip の ELF64 x86-64 バイナリだ。CVE-2026-31431（“Copy Fail”）を突く。これは 2026 年 4 月 29 日に公表された、Linux カーネルの AF_ALG algif_aead インターフェースの論理欠陥である（CVSS 7.8）。このバグは、攻撃者が制御する確定的な 4 バイト書き込みをカーネルのページキャッシュへ与え、getroot はそれを使って SUID バイナリをメモリ上でパッチし、root として歩き出す。
| 属性 | 値 |
|---|---|
| 種類 | ELF 64-bit LSB executable、x86-64、静的リンク、未 strip |
| CVE | CVE-2026-31431 “Copy Fail”（CVSS 7.8、AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H） |
| サブシステム | AF_ALG algif_aead、AEAD テンプレート authencesn(hmac(sha256),cbc(aes)) |
| 影響範囲 | Linux 4.14〜6.19.11（欠陥は 2017 年、コミット 72548b093ee3 で混入）；6.18.22、6.19.12、7.0+ で修正 |
| 標的 | /usr/bin/su——メモリ上の .text がページキャッシュ内でパッチされる |
| 信頼性 | 確定的、競合状態なし |
| 用法 / フォールバック | ./getroot <cmd> [args...]；エクスプロイトが命中しなければ、現在の権限のままコマンドを実行する |
仕組み。 2017 年の AEAD コードのその場最適化により、splice されたページキャッシュのページが、ソース側と宛先側の両方の scatterlist に残ってしまった。authencesn テンプレートが、攻撃者の選んだオフセット assoclen + cryptlen に 4 バイトの ESN 一時値を書き込むと、その書き込みはユーザーが読めるファイルのページキャッシュページの内側に着地する。すると HMAC チェックが失敗し recvmsg() は EBADMSG を返すが、カーネルはその書き込みを決してロールバックしない。getroot は /usr/bin/su の ELF ヘッダーを解析してエントリポイントのファイルオフセットを計算し、splice → sendmsg（書き込む 4 バイトを AAD に載せる）→ recvmsg を、シェルコードの 4 バイトごとに 1 回ループし、ページキャッシュ内で /usr/bin/su をパッチする。続いて /usr/bin/su を execve する。カーネルが破壊済みのページを読み込み、シェルコードが SUID-root で走り、getroot は操作者のコマンドを実行する前に getuid() == 0 を確認する（そしてトルコ語の [+] ROOT ele gecirildi! を出力する）。ディスク上のファイルは一切触れられないため、ファイル完全性監視には何も見えない。
ホストへのコンテナ脱出。 Linux のページキャッシュは全ホスト共有であり、コンテナは自分専用のものを持たない。無特権コンテナ内のプロセスがホストの /usr/bin/su を splice すると、破壊するのはホストのキャッシュ済みコピーであり、execve はコンテナ内だけでなくホスト上で root をもたらす。したがって感染したコンテナは侵害されたホストであり、setup.sh はさらにカーネル・ルートキットをホストに読み込む。コンテナを止めて削除するだけでは足りない。ホストを再構築せねばならない。
我々は隔離した VM（Kali、カーネル 6.6.15）で getroot を一度実行した。完全な AF_ALG シーケンスを実行したが、そのビルドでは root を得られず、非特権でコマンドを実行するフォールバックに落ちた。これは特定のカーネルレイアウトを狙うエクスプロイトと整合する。マイナーは実行していない。
xrandom：マイナー
xrandom は、オープンソースのモネロ・マイナー XMRig 6.26.0 を改名し UPX でパックしたコピーだ。
| 属性 | 値 |
|---|---|
| 実体 | XMRig 6.26.0 |
| パッキング | UPX 4.2.4（パック時 2.8 MB、解凍時 10.1 MB） |
| アルゴリズム | RandomX（rx/0） |
| プール | stratum+ssl 経由の pool.supportxmr.com:443 |
| ウォレット | 46NVDFL6v5STw5Qw4j77PoBSHRTYnHZGZ8WRoGvHmpaMX7ZyhNUP2u24TLV9pNgncz1bZF2Vm8KkaNTzU7SXqrnFUx5zgHQ |
| 寄付レベル | 0（XMRig 開発者寄付を無効化） |
443 番ポート + TLS でのマイニングは、一見すると通信を普通の HTTPS に紛れ込ませる。もっとも、stratum のハンドシェイクは、細かく見る者には異なる TLS 指紋を持つ。
stealth.c：カーネル・ルートキット
これはツールキットの中で最も作り込まれた部分だ。ftrace の関数フックを使ってカーネル関数を横取りし、マルウェアの痕跡を消す LKM ルートキットで、終始 Intel のハードウェアドライバに偽装する。
| 属性 | 値 |
|---|---|
| モジュール名 | intel_uncore_freq_aux |
| 偽造メタデータ | MODULE_AUTHOR("Intel Corporation")、MODULE_DESCRIPTION("Intel Uncore Frequency Control Driver")、MODULE_VERSION("1.2.0") |
| フック方式 | kallsyms_lookup_name 経由の ftrace（5.7 以降のカーネルでは kprobe で解決） |
| 制御 | /sys/kernel/intel_uncore_freq/ の sysfs（enabled、cpu_lo、cpu_hi、mem_lo、mem_hi、hide_tag） |
何をフックし、なぜか。
- CPU の偽装。
show_statをフックして/proc/statを書き換え、設定可能な範囲（既定で 40〜50 パーセント）で利用率を偽り、jiffies で揺らして数値が平坦に座るのではなく本物の負荷のように動くようにする。 - メモリの偽装。
meminfo_proc_showをフックして/proc/meminfoを書き換え、MemFree、MemAvailable、Buffers、Cached、Active、Inactiveを偽る。 - プロセスの隠蔽。
iterate_dirをフックして/proc一覧を絞り込み、名前がハードコードされた集合に一致する PID を隠す：stealth、masscan、sshruns、ransomx、cpumask、xrandom、cpm_、kcpm、mask_helper、ftrhook、kintel_aux。操作者は/sys/kernel/intel_uncore_freq/hide_tagを通じて実行時に名前を追加できる。 - ファイルの隠蔽。
stealth、cpumask、kintel_aux、intel_uncore_freq_auxに一致するパス、そして sysfs ディレクトリそのものを隠す。 - 自己隠蔽。 ロード時に
list_del_initで自分を/proc/modulesと/sys/module/から取り除き、自分の sysfs kobject を削除し、try_module_getで自身の参照カウントを増やしてrmmodがアンロードできないようにする。
その隠蔽リスト自体も手掛かりだ。マイナーと並んで masscan、sshruns、ransomx を隠しているので、操作者はおそらくスキャナーを走らせており、キットにはマイナー以上のものがあるかもしれない。
実際の効果はこうだ。top を見ている管理者には、忙しいが正常なマシンが見え、不正なプロセスは見つからず、嘘をついているカーネルモジュールも見えない。手掛かりは物理的で帯域外のものだ。マシンが熱を持ち、ファンが回り、消費電力が上がる——そのどれもルートキットは偽れない。
永続化：モード別の三つの仕組み
Rootpacket の永続化は、着地したモードによる。root モードでは互いを補強する二つの仕組みを重ね、ユーザーランドモードでは三つ目にフォールバックする。
| # | 仕組み | モード | 詳細 |
|---|---|---|---|
| 1 | systemd サービス | root | kernel-kd.service、Type=simple、Restart=always、RestartSec=3 |
| 2 | DKMS モジュール | root | ルートキットを /lib/modules/$(uname -r)/extra/ 下にインストール；カーネルのアップグレードを生き延びる |
| 3 | crontab | user | @reboot に加え毎分（* * * * *）、PID ロックと setsid 付き |
DKMS エントリは厄介な一つだ。カーネル自身のモジュールビルド機構を通じてルートキットをインストールするため、通常のカーネルアップグレードは、それを取り除くどころか再ビルドして再武装させる。
killservice.sh：場の一掃とマシンの封鎖
スクリプトはバナーで自らを「cryptojacker hardening」（クリプトジャッカーの堅牢化）と称しており、操作者の視点からはその説明は正確だ。三つの段階で動く。
第 1 段階：露出サービスを停止。 0.0.0.0 で待ち受ける、クリプトジャッキングの一般的な入口を標的にし、各々を停止・無効化・マスクし、バイナリに chmod 000 を設定し、iptables の DROP ルールを追加する。
| サービス | ポート |
|---|---|
| Redis | 6379 |
| Docker | 2375/2376 |
| PostgreSQL | 5432 |
| MongoDB | 27017 |
| Elasticsearch | 9200/9300 |
| Memcached | 11211 |
| Hadoop YARN | 8088 |
| Jenkins | 8080 |
| Confluence | 8090 |
Docker の行は、我々の RedTail レポート への結合組織だ。Rootpacket は、RedTail が通り抜けるまさにその 2375/2376 の扉を閉ざす。先に着地した操作者はホストを掘り、次の集団を締め出し、彼らが使ったであろう手法に対してマシンを堅牢化する。
第 2 段階：競合マイナーを排除。 プロセスを kill し、ファイルを削除し、cron ジョブを掃除し、既知のクリプトジャッキング一族に紐づく SSH 鍵を一掃する。対象には XMRig、Kinsing（kdevtmpfsi）、TeamTNT（tntrecht、mdrfckr）、sustes、watchdogs、minerd、そして masscan、pnscan、zgrab のようなスキャナーが含まれる。
第 3 段階：ユーザーランドルートキットを排除。 既知の悪性 LD_PRELOAD エントリ（libprocesshider.so、libjdk.so、libpamx.so、偽の libselinux.so.3、そして xhide）を /etc/ld.so.preload から剥ぎ取り、そのライブラリを削除して、自分に干渉しうる競合のユーザーランドルートキットを片付ける。
帰属
ツールキットのトルコ語の変数名、コメント、ステータス文字列（例えば ROOT ele gecirildi!、「root を奪取した」）は、中程度の確度でトルコ語話者の操作者を指す。我々は linuxutil5.pages[.]dev に配布またはステージングの URL を見つけた。Cloudflare Pages 上にホストされており、無料で信用のあるインフラにペイロードをステージングして紛れ込むという定石に合致する。内層の rootpacket.tar.gz——ツールキット全体の自己完結コピー——は、操作者に次のホストへ送り込むための既成パッケージを与える。
侵害指標
ネットワーク
| 指標 | 説明 |
|---|---|
pool.supportxmr.com / pool.supportxmr.com:443 | 主モネロ・マイニングプール、stratum+ssl |
linuxutil5.pages[.]dev | 配布 / ステージング（Cloudflare Pages） |
api.xmrig.com、randomx.xmrig.com:443 | XMRig API とベンチマークのエンドポイント |
donate.v2.xmrig.com、donate.ssl.xmrig.com | XMRig 開発者寄付プール（存在、寄付は無効化） |
443 番ポートへの stratum+ssl:// | 外向きの TLS マイニング通信 |
モネロ・ウォレット： 46NVDFL6v5STw5Qw4j77PoBSHRTYnHZGZ8WRoGvHmpaMX7ZyhNUP2u24TLV9pNgncz1bZF2Vm8KkaNTzU7SXqrnFUx5zgHQ
ファイル（SHA-256）
| ファイル | SHA-256 | MD5 |
|---|---|---|
rootpacket.tar.gz（外層） | e2d0dab6b29df89d123fe8581047a03ac9b89ae8fa0d1f334b5aefbb93152857 | |
getroot | dda96d8a4bcc39dc7679347a4386bf1024152d2ccc46d333725ad0cda855d952 | |
xrandom（パック済み） | ec3ef3dce99fa6cbc480f0f0b0c292676afed68704c44396271c7dc6afea2937 |
Build ID：getroot 148d8d902efd93ed892a541972fbcea3a99d05a3、xrandom d7a91225bdd2e3ab67cabded9d7809bcc724401f。
ホスト上の痕跡
| パス | 説明 |
|---|---|
/opt/kernel-kd/xrandom | マイナーのバイナリ（root モード） |
~/.xrandom/xrandom、~/.xrandom/run.sh | マイナーとランチャー（ユーザーランドモード） |
/tmp/.xrandom.lock | PID ロック（ユーザーランドモード） |
/etc/systemd/system/kernel-kd.service | 悪性 systemd ユニット |
/usr/src/intel_uncore_freq_aux-1.2.0/ | ルートキットの DKMS ソース |
/sys/kernel/intel_uncore_freq/ | ルートキットの sysfs 制御インターフェース |
/lib/modules/*/extra/intel_uncore_freq_aux.ko | コンパイル済みルートキットモジュール |
挙動
- root または現在のユーザーとして走る
xrandomという名のプロセス。 - ハードウェア性能カウンタ（
perf stat）、あるいはファン速度や消費電力と食い違う/proc/statの CPU 数値。 - systemd サービス
kernel-kd（有効、Type=simple、Restart=always）。 # xrandom-userland-autostartとタグ付けされた cron エントリ。- 起動時にロードされるのに
lsmodには現れないカーネルモジュールintel_uncore_freq_aux。
検知
ルートキットが未ロードの場合
systemctl status kernel-kd.service
ls -la /opt/kernel-kd/ ~/.xrandom/
dkms status | grep intel_uncore_freq
crontab -l | grep xrandom
lsmod | grep intel_uncoreルートキットがロード済みの場合
ユーザーランドのビューは侵害されているため、検知はルートキットの下か脇から来なければならない。
perf statで/proc/statの CPU をハードウェアカウンタと比較する。大きな差が手掛かりだ。show_stat、meminfo_proc_show、iterate_dirへの ftrace フックに注意する。- 報告された CPU と、実際の電力・熱・ファン速度との不一致を、強いシグナルとして扱う。
権限昇格を捕捉する
- 既知の暗号ツール（
cryptsetup、openssl、gpg、systemd-cryptsetup）ではないプロセスが開くAF_ALG、SOCK_SEQPACKETソケットが、中核の手掛かりだ。完全な順序はsocket(AF_ALG)→bind→setsockopt(SOL_ALG)→accept→pipe→splice→sendmsg→splice→recvmsg（繰り返し）、続いてexecve(/usr/bin/su)。 - 各 SUID バイナリのディスク上のバイトを、そのページキャッシュ上のビューと比較する。
sha256sumはキャッシュを通して読むため破壊済みのコピーを示す。よってdd if=<file> iflag=directでディスクを直接読んでハッシュを取り、差分を取ること。SUID バイナリでの不一致は、ページキャッシュの破壊だ。
候補 YARA
rule Rootpacket_Cryptojacker
{
meta:
description = "Rootpacket Linux cryptojacking toolkit"
reference = "Kinryu Labs CTI 2026-06-16"
strings:
$wallet = "46NVDFL6v5STw5Qw4j77PoBSHRTYnHZGZ8WRoGvHmpaMX7ZyhNUP2u24TLV9pNgncz1bZF2Vm8KkaNTzU7SXqrnFUx5zgHQ" ascii
$svc = "kernel-kd" ascii
$cron = "xrandom-userland-autostart" ascii
$mod = "intel_uncore_freq_aux" ascii
condition:
$wallet or 2 of ($svc, $cron, $mod)
}修復
- 既知のクリーンな状態からルートキットを取り除く。 ライブまたはリカバリ媒体から起動する。
/lib/modules/*/extra/intel_uncore_freq_aux.ko*を削除し、dkms remove intel_uncore_freq_aux/1.2.0 --allを実行し、続いて/usr/src/intel_uncore_freq_aux-1.2.0/を削除して initramfs を再ビルドする（update-initramfs -u、dracut -f、またはmkinitcpio -P）。DKMS エントリは消さねば再ビルドされる。 - サービスを削除：
systemctl stop kernel-kd; systemctl disable kernel-kd; rm /etc/systemd/system/kernel-kd.service; systemctl daemon-reload。 - マイナーを削除：
rm -rf /opt/kernel-kd/ ~/.xrandom/ /tmp/.xrandom.lock、続いてpkill -9 -f xrandom。 - cron を掃除 し、
# xrandom-userland-autostartの行を除く。 - killservice.sh が壊したものを復元する。 それは Redis、Docker、PostgreSQL、MongoDB などのバイナリに
chmod 000を設定し、iptables の DROP ルールを追加する。影響を受けたパッケージを再インストールし、ファイアウォールを見直すこと。 - 横方向に追跡する。 内層の
rootpacket.tar.gzは再配布用に作られているので、他のホストで同じ指標を確認し、killservice.shのサービスが悪用された痕跡をログで精査して侵入口を見つけること。 - CVE-2026-31431 を塞ぐ。 修正済みカーネル（6.18.22、6.19.12、7.0+、またはディストロのバックポート）へパッチを当てる。一度にパッチできない場合は、脆弱なインターフェースを無効化する：
echo 'install algif_aead /bin/false' > /etc/modprobe.d/disable-algif-aead.conf、続いてrmmod algif_aead。コンテナについては、seccomp プロファイルでAF_ALG（family 38）を封じること。 - コンテナからのホスト侵害を前提とする。 ページキャッシュの書き込みがコンテナ境界を越えるため、
setup.shを実行したホストは——たとえコンテナ内部からであっても——完全に侵害されたものとして扱うこと。コンテナを削除するだけでなく、ホストを再構築すること。
MITRE ATT&CK マッピング
| 戦術 | 技術 |
|---|---|
| 初期アクセス | T1190 Exploit Public-Facing Application（Redis、Docker、MongoDB、Elasticsearch、Jenkins、Hadoop YARN、暗黙的に） |
| 実行 | T1059.004 Unix Shell |
| 権限昇格 | T1068 Exploitation for Privilege Escalation（CVE-2026-31431、AF_ALG algif_aead）；T1611 Escape to Host（共有ページキャッシュ） |
| 永続化 | T1543.002 Systemd Service；T1053.003 Cron；T1547.006 Kernel Modules（DKMS） |
| 防御回避 | T1014 Rootkit；T1036.005 Masquerading: Match Legitimate Name；T1027.002 Software Packing（UPX）；T1070.004 File Deletion；T1564.001 Hidden Files |
| 探索 | T1057 Process Discovery（対手の狩り） |
| 横展開 | T1570 Lateral Tool Transfer（内層の再配布パッケージ） |
| 影響 | T1496 Resource Hijacking（モネロ・マイニング） |
手法とアナリストノート
- 分析は主に静的（文字列抽出、逆アセンブル、ソース精査、構造分析）で、Kali Linux x86-64 上で行った。挙動を観察するため、隔離した VM（カーネル 6.6.15）で
getrootを一度実行もした。AF_ALG シーケンスを試みたが、そのビルドでは root を得られず、非特権でコマンドを実行するフォールバックに落ちた。マイナーは実行せず、何もアップロードしていない。 - 権限昇格コンポーネントは CVE-2026-31431 と判定した。根拠は、AF_ALG ソケットに紐づけられた
authencesn(hmac(sha256),cbc(aes))テンプレート、/usr/bin/suというページキャッシュ標的、そしてバイナリ内のsplice/sendmsg/recvmsg書き込みループだ。 - 検体（ツールキットとその各コンポーネント）は、他の研究者や防御側の求めに応じて提供可能。[email protected] まで、あなたが誰で何のために必要かを添えてメールを。