CVE-2026-31431 Mitigations-Playbook

Ein Ansible-Playbook zum Anwenden und Zurücksetzen der CVE-2026-31431 (AF_ALG)-Kernelmodul-Mitigation auf Debian/Ubuntu- und RHEL/Rocky/AlmaLinux-Systemen.

Übersicht

Dieses Playbook mitigiert CVE-2026-31431, indem es das verwundbare Kernelmodul algif_aead deaktiviert:

Debian/Ubuntu-Familie: Erstellt eine Modprobe-Blacklist-Datei und versucht, das Modul zu entladen
RHEL/Rocky/AlmaLinux-Familie (9 & 10): Verwendet grubby, um ein Kernel-Initcall-Blacklist-Argument hinzuzufügen

⚠️ Wichtig: Das Playbook startet Ihre Server NICHT automatisch neu. Es zeigt eine Erinnerungsmeldung an, wenn ein Neustart erforderlich ist, sodass Administratoren Neustarts innerhalb von Wartungsfenstern planen können.

Voraussetzungen

Ansible 2.14 oder höher
Zielsysteme: Ubuntu/Debian oder RHEL 9/10, Rocky Linux 9/10, AlmaLinux 9/10
SSH-Zugriff mit sudo-Berechtigungen

Schnellstart

1. Beispielkonfigurationsdateien kopieren

Beispielkonfigurationsdateien befinden sich im Verzeichnis examples/:

# Beispiel-Inventory kopieren
cp examples/inventory/hosts.ini inventory/hosts.ini

# Beispiel-Ansible-Konfiguration kopieren (optional)
cp examples/ansible.cfg ansible.cfg

Siehe examples/README.md für detaillierte Anpassungsanweisungen.

2. Inventory anpassen

Bearbeiten Sie inventory/hosts.ini mit Ihren Serverdetails:

[servers]
server1.example.com
server2.example.com ansible_host=192.168.1.50

[servers:vars]
ansible_user=admin
ansible_become=true

3. Konnektivität testen

ansible all -m ping

4. Playbook ausführen

ansible-playbook mitigation-playbook.yaml

Verwendung

Mitigation anwenden

Um die Mitigation auf alle Hosts in Ihrem Inventory anzuwenden:

ansible-playbook mitigation-playbook.yaml

Um sie auf bestimmte Hosts oder Gruppen anzuwenden:

ansible-playbook mitigation-playbook.yaml --limit webservers

Mitigation zurücksetzen

Um die Mitigation zurückzusetzen (zu entfernen):

ansible-playbook mitigation-playbook.yaml -e "rollback=true"

Oder verwenden Sie das rollback-Tag:

ansible-playbook mitigation-playbook.yaml --tags rollback -e "rollback=true"

Optional: Systemd-Bereinigung

Um veraltete Systemd-Drop-in-Dateien zu entfernen (falls Sie von einer älteren Version dieser Mitigation migrieren):

ansible-playbook mitigation-playbook.yaml -e "run_systemd_cleanup=true"

Beispielausgabe

Erfolgreiches Anwenden (kein Neustart erforderlich)

TASK [CVE-2026-31431 Summary (Debian)] ****************************************
ok: [server1] => {
    "msg": [
        "===== CVE-2026-31431 SUMMARY — server1 =====",
        "Action:               apply",
        "Module loaded (pre):  False",
        "Module loaded (post): False",
        "Reboot required:      False"
    ]
}

Erfolgreiches Anwenden (Neustart erforderlich)

TASK [Remind operator to reboot (RHEL)] ****************************************
ok: [server2] => {
    "msg": "REMINDER: Kernel args changed. Reboot required to activate mitigation."
}

TASK [CVE-2026-31431 Summary (Red Hat)] ****************************************
ok: [server2] => {
    "msg": [
        "===== CVE-2026-31431 SUMMARY — server2 =====",
        "Action:                   apply",
        "Kernel arg active (pre):  False",
        "Kernel arg active (post): False",
        "Reboot required:          True"
    ]
}

TASK [Remind to reboot if required (Red Hat)] **********************************
ok: [server2] => {
    "msg": "REMINDER: A reboot is required to activate/deactivate the mitigation on this Red Hat-based host."
}

Neustartverhalten

OS-Familie	Neustart erforderlich, wenn	Verhalten
Debian/Ubuntu	Modul war "in use" und konnte nicht entladen werden	Nur Erinnerung
RHEL/Rocky/Alma	Grubby Änderungen an Kernel-Argumenten vorgenommen	Nur Erinnerung

Das Playbook ist so konzipiert, dass es niemals automatisch neu startet, um Administratoren die volle Kontrolle über Wartungsfenster zu geben.

Playbook-Variablen

Variable	Standard	Beschreibung
`rollback`	`false`	Auf `true` setzen, um die Mitigation zurückzusetzen
`run_systemd_cleanup`	`false`	Auf `true` setzen, um veraltete Systemd-Drop-ins zu entfernen
`target_hosts`	`all`	Ausführung auf bestimmte Hosts oder Gruppen begrenzen
`mitigation_serial`	`25%`	Batchgröße für die rollierende Ausführung

Verifizierung

Nach der Ausführung des Playbooks (und einem Neustart, falls dazu aufgefordert), verifizieren Sie, dass die Mitigation aktiv ist:

Debian/Ubuntu

# Prüfen, ob das Modul auf der Blacklist steht
cat /etc/modprobe.d/disable-algif.conf

# Prüfen, ob das Modul geladen ist (sollte nichts zurückgeben)
lsmod | grep algif_aead

RHEL/Rocky/Alma

# Prüfen, ob das Kernel-Argument vorhanden ist
grep initcall_blacklist /proc/cmdline

# Sollte etwa Folgendes ausgeben:
# ... initcall_blacklist=algif_aead_init ...

Sicherheitshinweise

Das Playbook verändert das Ladeverhalten von Kernelmodulen
Überprüfen Sie das Playbook, bevor Sie es in der Produktion ausführen
Testen Sie es zuerst in einer Staging-Umgebung
Stellen Sie sicher, dass Sie Konsolen-/KVM-Zugriff haben, falls Startprobleme auftreten

Lizenz

MIT-Lizenz - Siehe LICENSE-Datei für Details

Mitwirken

Beiträge sind willkommen! Bitte reichen Sie Issues und Pull Requests ein.

Danksagungen

Dieses Playbook wurde unter Inspiration durch die folgenden Quellen erstellt:

m3nu's CVE-2026-31431 Mitigation Gist - Erster technischer Ansatz und Mitigationsstrategie
Morrolinux's Playbook di Mitigazione CVE-2026-31431 - Italienischer Wissensdatenbank-Artikel als Ausgangspunkt für die Playbook-Struktur

Haftungsausschluss

Dieses Playbook wird wie besehen bereitgestellt. Testen Sie es immer gründlich in Ihrer Umgebung, bevor Sie es auf Produktionssystemen anwenden. Die Autoren sind nicht verantwortlich für Systemschäden oder Ausfallzeiten, die durch die Verwendung dieses Playbooks verursacht werden.

copy-fail-CVE-2026-31431-mitigation-ansible-playbook

Beliebteste