cve_2026_frag_family_fix

CVE-2026-46300 / CVE-2026-43500 / CVE-2026-31431 / CVE-2026-43284 golang hotfix

Beschreibung

• prüft, ob Module aktiviert sind, die mit CVE-2026-46300 / CVE-2026-43500 / CVE-2026-43284 / CVE-2026-46300 / CVE-2026-46331 verwundbar sind
• bietet Kernel-Update an, falls verfügbar
• deaktiviert esp4, esp6, rxrpc, act_pedit falls nicht vorhanden
• blockiert Modulladung über modprobe
• fügt module_blacklist in grub hinzu
• bereinigt den Hotfix automatisch nach einem Kernel-Update
• für RHEL-basierte Systeme (AlmaLinux, Rocky, Oracle, Fedora) deaktiviert es die Boot Loader Specification (GRUB_ENABLE_BLSCFG=false), setzt GRUB_DEFAULT=0 und erstellt einen Kernel-Installations-Hook (/etc/kernel/install.d/99-grub-update.install), der die Grub-Konfiguration nach Kernel-Updates neu erstellt, um sicherzustellen, dass beim nächsten Neustart der aktuellste Kernel geladen wird
• für Nebenversionen bietet es ein Update auf die letzte Nebenversion an, für die ein Kernel-Update verfügbar ist, und führt dieses durch

Description

• checks for CVE-2026-46300 / CVE-2026-43500 / CVE-2026-43284 / CVE-2026-46300 / CVE-2026-46331 vulnerability enabled modules
• offers kernel update if available
• disables esp4, esp6, rxrpc, act_pedit if not
• blocks module loading via modprobe
• adds module_blacklist to grub
• automatically cleans up hotfix after kernel update
• for RHEL-based systems (AlmaLinux, Rocky, Oracle, Fedora), disables Boot Loader Specification (GRUB_ENABLE_BLSCFG=false) and sets GRUB_DEFAULT=0, then creates a kernel install hook (/etc/kernel/install.d/99-grub-update.install) that regenerates grub config after kernel updates to ensure the most recent kernel loads on next boot
• for minor releases, it offers and performs an update to the latest minor version that has a kernel update available.

CVE-2026-31431 / Copy Fail-Mitigation (algif_aead)

Beschreibung

Dieses Tool prüft auf die CVE-2026-31431 (Vorbedingung) und wendet bei Root-Rechten die Gegenmaßnahme an:

• identifiziert geschützte Kombinationen von Betriebssystem (inkl. WSL) und Kernel-Version
• bietet ein Kernel-Update mit einem Fix an, falls verfügbar
• deaktiviert algif_aead falls nicht vorhanden
• blockiert Modulladung über modprobe
• fügt initcall_blacklist=algif_aead_init hinzu
• schränkt AF_ALG über systemd ein

Description

This tool checks for CVE-2026-31431 (pre condition) and applies mitigation (requires root):

• identifies protected combinations of OS (including WSL) and kernel versions
• offers a kernel update with a fix if available
• disables algif_aead if not
• blocks module loading via modprobe
• adds initcall_blacklist=algif_aead_init
• restricts AF_ALG via systemd

Linux-Build / build

Kernel-Update (kein Hotfix) verfügbar für / Kernel update (not hotfix) is exist for

Kernel-Update-Befehle / Kernel update commands

• Debian apt update && apt install linux-image-amd64 linux-headers-amd64 -y
• Ubuntu apt update && apt install linux-image-generic linux-headers-generic -y
• CentOS dnf clean metadata && dnf upgrade 'kernel*' -y
• AlmaLinux dnf clean metadata && dnf upgrade 'kernel*' -y
• RockyLinux dnf clean metadata && dnf upgrade 'kernel*' -y
• Fedora dnf clean metadata && dnf upgrade 'kernel*' -y
• OracleLinux dnf clean metadata && dnf upgrade 'kernel*' -y

Minimale Kernelversion für den Fix / Kernel fixed minimal version number