CVE-2026-31431 — „Copy Fail“-Skript zur sicheren Erkennung

Ein schreibgeschütztes Erkennungsskript für die Copy Fail-Schwachstelle zur lokalen Rechteausweitung im Linux-Kernel.
Kein Exploit-Code. Kein AF_ALG-Socket wird geöffnet. Es werden keine Dateien außerhalb von /etc/modprobe.d geschrieben (nur wenn Sie die Abschwächung manuell anwenden).

Hintergrund

Copy Fail (CVE-2026-31431) ist ein Logikfehler im algif_aead-Modul des Linux-Kernels — Teil der AF_ALG-Userspace-Krypto-API. Es wurde am 29. April 2026 von Theori / Xint Code offengelegt.

Ein 732 Byte großes Python-Skript kann einem nicht privilegierten lokalen Benutzer auf praktisch jeder großen Linux-Distribution, die seit 2017 gebaut wurde, vollen Root-Zugriff verschaffen — ohne Race Conditions, Kernel-Offsets oder kompilierte Payloads.

Was das Skript prüft

1. Kernel-Version — ob der laufende Kernel in den verwundbaren Upstream-Bereich fällt
2. algif_aead-Modulstatus — geladen, eingebaut oder nicht vorhanden
3. Aktive Abschwächungen — modprobe.d-Blacklist, initcall_blacklist-Kernel-Cmdline-Parameter
4. Distro-spezifischer Patch-Status — für Debian/Ubuntu/Parrot: überprüft die kmod-Paketversion gemäß USN-8226-1

Hinweis zu Ubuntu / Debian: Ubuntu erhöht die Upstream-Kernel-Version nicht, wenn Sicherheitspatches zurückportiert werden. Das Skript prüft daher die kmod-Paketversion (>= 31+20240202-2ubuntu7.2 gemäß USN-8226-1), anstatt sich allein auf die Kernel-Versionszeichenfolge zu verlassen.

Unterstützte Distributionen

Verwendung

# Herunterladen
curl -O https://raw.githubusercontent.com/kw-soft/copyfail/main/copyfail.sh

# Ausführbar machen
chmod +x copyfail.sh

# Ausführen (Root für vollständige Modul-Sichtbarkeit empfohlen)
sudo ./copyfail.sh

Beispielausgabe

Verwundbares System

============================================
  CVE-2026-31431 'Copy Fail' — Sichere Erkennung
============================================
[*] Kernel: 6.8.0-71-generic
[!] Kernel 6.8.0-71-generic liegt im verwundbaren Upstream-Bereich (4.14 – 6.19.11)
[~] Distro-Backport-Prüfung folgt — die Versionsnummer allein ist nicht aussagekräftig
[*] algif_aead-Modulstatus:
[!] algif_aead ist GELADEN — die Angriffsfläche ist aktiv
[*] Distributions-Patch-Status:
    Distro : Ubuntu 24.04
    kmod installiert : 31+20240202-2ubuntu6
    kmod erforderlich : >= 31+20240202-2ubuntu7.2
[!] kmod 31+20240202-2ubuntu6 < 31+20240202-2ubuntu7.2 — Abschwächung NICHT angewendet
============================================
  ERGEBNIS
============================================
[!] VERWUNDBAR — Kernel betroffen und algif_aead ist aktiv

Abgeschwächtes System

============================================
  CVE-2026-31431 'Copy Fail' — Sichere Erkennung
============================================
[*] Kernel: 6.8.0-71-generic
[!] Kernel 6.8.0-71-generic liegt im verwundbaren Upstream-Bereich (4.14 – 6.19.11)
[~] Distro-Backport-Prüfung folgt — die Versionsnummer allein ist nicht aussagekräftig
[*] algif_aead-Modulstatus:
[✓] algif_aead ist NICHT geladen
[✓] modprobe-Blacklist aktiv: /etc/modprobe.d/disable-algif_aead.conf
[*] Distributions-Patch-Status:
    Distro : Ubuntu 24.04
    kmod installiert : 31+20240202-2ubuntu7.2
    kmod erforderlich : >= 31+20240202-2ubuntu7.2
[✓] kmod >= 31+20240202-2ubuntu7.2 — USN-8226-1-Abschwächung vorhanden
============================================
  ERGEBNIS
============================================
[✓] ABGESCHWÄCHT — algif_aead ist blockiert
[~] Wenden Sie einen gepatchten Kernel an, sobald verfügbar, um das Problem vollständig zu beheben

Anwenden der Abschwächung

Debian / Ubuntu / Parrot / Linux Mint

sudo apt update && sudo apt upgrade && sudo reboot

Dies installiert das gepatchte kmod-Paket (USN-8226-1), das eine modprobe.d-Regel ablegt, die algif_aead blockiert.

Falls ein sofortiger Neustart nicht möglich ist:

echo 'install algif_aead /bin/false' | sudo tee /etc/modprobe.d/disable-algif.conf
sudo update-initramfs -u
sudo rmmod algif_aead 2>/dev/null || echo "Modul wird verwendet — Neustart erforderlich"

RHEL / CentOS / AlmaLinux / Rocky

⚠️ Bei RHEL-Familien-Kerneln ist algif_aead in den Kernel eingebaut (CONFIG_CRYPTO_USER_API_AEAD=y).
modprobe.d-Regeln haben keine Wirkung. Verwenden Sie stattdessen den GRUB-Parameter:

sudo grubby --update-kernel=ALL --args='initcall_blacklist=algif_aead_init'
sudo reboot

Arch Linux

sudo pacman -Syu linux && sudo reboot

Was NICHT betroffen ist

Die Abschwächung wirkt sich auf keines der folgenden Elemente aus:

• dm-crypt / LUKS-Vollverschlüsselung
• SSH
• IPsec / XFRM
• OpenSSL (Standard-Build)
• GnuTLS / NSS
• kTLS

Nur Anwendungen, die explizit für die Verwendung der afalg-Engine konfiguriert sind oder AF_ALG-AEAD-Sockets direkt binden, können betroffen sein — dies ist in Standardbereitstellungen selten.

Automatische Updates prüfen (Ubuntu)

Hetzner wendet OS-Updates nicht automatisch an. Ubuntu liefert unattended-upgrades vorinstalliert aus, aber es muss aktiviert und konfiguriert werden.

# Prüfen, ob automatische Sicherheitsupdates aktiv sind
cat /etc/apt/apt.conf.d/20auto-upgrades

# Update-Verlauf anzeigen
grep "^Start-Date\|^Commandline" /var/log/apt/history.log | tail -30

# Prüfen, ob die kmod-Abschwächung automatisch angewendet wurde
grep "kmod\|algif" /var/log/apt/history.log

# Letzten unattended-upgrades-Lauf prüfen
tail -30 /var/log/unattended-upgrades/unattended-upgrades.log

Hinweis: Selbst bei aktiviertem unattended-upgrades sind automatische Neustarts standardmäßig deaktiviert.
Ein neuer Kernel wird erst nach einem manuellen reboot aktiv.

Referenzen

Haftungsausschluss

Dieses Skript ist für die Verwendung auf Systemen vorgesehen, die Ihnen gehören oder für deren Test Sie autorisiert sind.
Es führt schreibgeschützte Prüfungen durch und nutzt die Schwachstelle in keiner Weise aus.