CVE-2026-31431 (Copy Fail) Erkennungs- und Minderungstool

Dieses Projekt stellt eine Reihe von Bash-Skripten zur Erkennung und Minderung der CVE-2026-31431 (auch bekannt als "Copy Fail") Linux-Kernel-Schwachstelle zur lokalen Rechteausweitung bereit.

Schwachstellenübersicht

• CVE-Nummer: CVE-2026-31431
• Schwachstellentyp: Lokale Rechteausweitung (Local Privilege Escalation)
• Betroffene Komponente: Linux Kernel - AF_ALG socket / AEAD-Verschlüsselungsschnittstelle
• Fix-Commit: a664bf3d603d und spätere Patches
• Öffentlicher Name: Copy Fail

Die Schwachstelle existiert in der AF_ALG-Socket-Implementierung des Linux-Kernels. Angreifer können durch die Konstruktion spezifischer authencesn-Bind-Operationen eine lokale Rechteausweitung erreichen.

Projektdateien

Schnellstart

1. Prüfen, ob das System betroffen ist

bash check_cve_2026_31431.sh

Das Skript prüft nacheinander Folgendes:

• Status der Kernel-Konfiguration CONFIG_CRYPTO_USER_API_AEAD
• Ladestatus der Module algif_aead / af_alg
• Fähigkeit zur Erstellung von AF_ALG-Sockets
• Vorhandensein bestehender Minderungskonfigurationen
• authencesn-Bind-Validierung (zur Feststellung, ob bereits gemindert wurde)
• Ob die Distribution auf der bekannten betroffenen Liste steht

Die endgültige Ausgabe enthält die Gesamtrisikostufe: UNKNOWN / LOW / MEDIUM / HIGH.

2. Minderungsmaßnahmen durchführen

Hinweis: Das Minderungsskript erfordert root-Berechtigungen.

sudo bash cve-2026-31431-mitigate.sh

Die Minderungsmaßnahmen umfassen:

• Schreiben von /etc/modprobe.d/disable-algif-aead.conf, um das Laden des Moduls algif_aead zu verbieten
• Wenn algif_aead bereits geladen ist, Versuch des Entladens (rmmod)
• Ausführen von depmod -a zur Aktualisierung der Modulabhängigkeiten
• Automatische Validierung der AF_ALG-Socket-Erstellung und Bind-Fähigkeit vor und nach der Minderung

Optionale Parameter

sudo bash cve-2026-31431-mitigate.sh --verify-only          # Nur validieren, keine Konfiguration schreiben
sudo bash cve-2026-31431-mitigate.sh --write-seccomp        # Zusätzlich Docker-seccomp-Konfiguration generieren
sudo bash cve-2026-31431-mitigate.sh --seccomp-path /path   # Ausgabepfad für seccomp angeben

Validierung der Minderungswirkung

Der Goldstandard zur Feststellung, ob die Minderung wirksam ist: authencesn-Bind schlägt fehl.

Im Erkennungsskript versucht "Prüfpunkt 5: Minderungsvalidierung (bind authencesn)" Folgendes auszuführen:

import socket
s = socket.socket(38, 5, 0)  # AF_ALG
s.bind(("aead", "authencesn(hmac(sha256),cbc(aes))"))

• Wenn ein Fehler zurückgegeben wird (Bind fehlgeschlagen) → Gemindert oder Fähigkeit blockiert
• Wenn Erfolg zurückgegeben wird → Nicht gemindert, weitere Maßnahmen erforderlich

Bekannte Einschränkungen

1. Statische Kompilierung wirkungslos: Wenn die Kernel-Konfiguration CONFIG_CRYPTO_USER_API_AEAD=y (statisch in den Kernel kompiliert) ist, ist die Moduldeaktivierung in der Regel wirkungslos; nur ein Kernel-Upgrade hilft.
2. Modul in Verwendung: Wenn algif_aead gerade verwendet wird, kann rmmod fehlschlagen. Es wird empfohlen, nach einem Neustart im Wartungsfenster zu validieren.
3. Container-Umgebung: Es wird empfohlen, eine seccomp-Konfiguration zu überlagern, um socket(AF_ALG)-Aufrufe zu blockieren.

Weitere Empfehlungen

1. Grundlegende Behebung: Upgrade auf eine offizielle Kernel-Version, die den Fix-Commit a664bf3d603d und spätere Patches enthält.
2. Ankündigungen verfolgen:
   • Ubuntu: https://ubuntu.com/security/CVE-2026-31431
   • RHEL: https://access.redhat.com/security/cve/CVE-2026-31431
   • SUSE: Sicherheitsankündigungen der jeweiligen Distribution beachten
3. Erneute Prüfung zur Bestätigung: Nach Upgrade oder Minderung das Erkennungsskript erneut ausführen, um zu bestätigen, dass die Bind-Validierung fehlschlägt.

Kompatibilität

Die Skripte wurden in den folgenden Umgebungen getestet:

• Bash 4.x / 5.x
• Abhängigkeiten: Standard-GNU-Werkzeuge (grep, sed, lsmod, modprobe, rmmod, depmod)
• Optionale Abhängigkeit: python3 oder python (für AF_ALG-Socket-Validierung)

Lizenz

MIT License

Haftungsausschluss

Die in diesem Projekt bereitgestellten Skripte dienen ausschließlich der Sicherheitserkennung und vorübergehenden Minderung und können ein offizielles Kernel-Patch-Upgrade nicht ersetzen. Verstehen Sie die Vorgänge (z. B. Deaktivierung von Kernel-Modulen) vollständig, bevor Sie dieses Skript verwenden, und validieren Sie es zunächst in einer Testumgebung. Der Autor übernimmt keine Haftung für direkte oder indirekte Verluste, die durch die Verwendung dieses Tools entstehen.