CVE-2026-31431-mitigation

Dieses Repository enthält den Quellcode unserer auf eBPF basierenden Abschwächung gegen CVE-2026-31431, auch bekannt als „copy.fail“. (Weitere Informationen unter https://copy.fail)

Die Motivation hinter der Entwicklung dieser Lösung war die Notwendigkeit einer Abschwächung ohne Neustart für sicherheitskritische Maschinen, bei denen algif_aead direkt in den Kernel eingebaut ist, was es unmöglich macht, das Modul für eine schnelle Abschwächung einfach auf die Blockliste zu setzen.

Dieser Code wird WIE BESEHEN verteilt, ohne jegliche Gewährleistung, und ist unter den Bedingungen der GPL-v2.0-Lizenz lizenziert.

Obwohl wir dies auf unseren Produktionsservern getestet haben und es für uns wirksam war, präsentieren wir es nur als Übergangslösung.

Erstellung

Um dies zu erstellen, müssen Sie die BPF-Werkzeuge und Header für Ihre Kernelversion installieren. Zum Beispiel auf CloudLinux:

dnf install bpftool libbpf-devel clang llvm kernel-devel kernel-headers

Auf anderen Distributionen kann es abweichen.

Ausführung

Sobald Sie den Code in diesem Repository erstellt haben, kann block_alg die folgenden Argumente annehmen:

• -l <log_path>: gibt an, in welche Datei blockierte Aufrufe protokolliert werden sollen
• -u <uid_list>: gibt an, welche UIDs AF_ALG verwenden dürfen. Format: 0,1000 -> erlaubt den UIDs 0 und 1000, AF_ALG-Sockets zu erstellen.