⚠️ Wichtiger Haftungsausschluss: Risiken der strukturellen Härtung

Dieses Tool implementiert Structural Blocking zur Abschwächung von CVE-2026-31431, indem Kernel-Module physisch umbenannt und aus dem Speicher entfernt werden. Vor der Verwendung beachten Sie bitte die folgenden architektonischen Risiken:

• Volatilität bei Kernel-Updates: Die Härtungswirkung ist temporär. Ein Kernel-Update stellt frische, verwundbare Module unter einem neuen /lib/modules/-Verzeichnis bereit, wodurch die vorherige Blockade wirkungslos wird.
• Funktionale Nebenwirkungen: Das Deaktivieren von AF_ALG (Kernel-Krypto-API) kann bestimmte Anwendungen oder Dienste beeinträchtigen, die auf hardwarebeschleunigte Krypto-Funktionen auf Kernel-Ebene angewiesen sind (z. B. spezialisierte VPNs, Festplattenverschlüsselungs-Dienstprogramme oder benutzerdefinierte Sicherheitstools).[cite: 3]
• Abschwächung vs. Patchen: Dies ist ein Workaround, kein dauerhafter Patch. Er soll die Lücke überbrücken, bis ein von der Distribution bereitgestellter gepatchter Kernel verfügbar ist.

Nutzung auf eigene Gefahr. Überprüfen Sie nach der Ausführung von solution.sh immer die kritischen Funktionen Ihres Systems.[cite: 3]

SSIA - System Structural Integrity Audit

Ein Werkzeugkasten zum Erkennen, Diagnostizieren und Eindämmen von LPE-Vektoren (Local Privilege Escalation) über die Linux-Kernel-Krypto-API (AF_ALG).

⚠️ Wichtiger Haftungsausschluss: Risiken der strukturellen Härtung

Das Tool verwendet Structural Blocking, um CVE-2026-31431 zu adressieren, indem Kernel-Module umbenannt und aus dem Speicher entfernt werden. Zu den wichtigsten architektonischen Risiken gehören:

• Volatilität bei Kernel-Updates: Die Wirkung ist temporär. Ein Kernel-Update stellt frische, verwundbare Module unter einem neuen /lib/modules/-Verzeichnis bereit, wodurch die vorherige Blockade wirkungslos wird.
• Funktionale Nebenwirkungen: Das Deaktivieren von AF_ALG kann Dienste stören, die auf hardwarebeschleunigte Krypto-Funktionen auf Kernel-Ebene angewiesen sind, wie z. B. spezialisierte VPNs, Festplattenverschlüsselungs-Dienstprogramme oder benutzerdefinierte Sicherheitstools.
• Abschwächung vs. Patchen: Dies ist ein Workaround, kein dauerhafter Patch, der als Brücke dienen soll, bis ein gepatchter Kernel verfügbar ist.

Nutzung auf eigene Gefahr.

Überblick

Dieses Repository stellt zwei Skripte bereit, die einen Diagnose → Eindämmung → Verifizierung-Workflow gegen Privilege-Escalation-Angriffe über AF_ALG (socket(38, 5, 0)) bilden:

• check.sh — Mehrschichtige Sicherheits-Posture-Prüfung (läuft ohne Privilegien)
• solution.sh — Erzwingt das Entfernen von AF_ALG-Modulen aus dem Speicher + prüft auf physische Moduldateien (Root erforderlich)
• restore.sh — Lädt AF_ALG-Module neu und stellt den Zustand vor solution.sh wieder her (Root erforderlich)

Prüfungen

Verwendung

Prüfung (ohne Privilegien)

./check.sh

Eindämmung (Root erforderlich)

sudo ./solution.sh

Wiederherstellung (Root erforderlich)

sudo ./restore.sh

Wiederherstellung

restore.sh macht die Wirkung von solution.sh rückgängig, indem die AF_ALG-Kernel-Module (af_alg, algif_rng, algif_aead, algif_skcipher, algif_hash) neu geladen werden. Wenn die physische Moduldatei (af_alg.ko.xz) umbenannt oder entfernt wurde, warnt das Skript und fordert zur manuellen Wiederherstellung auf, bevor versucht wird, die Module zu laden.

⚠️ WARNUNG

Die Ausführung von solution.sh auf einem Live-System, das AF_ALG aktiv nutzt (z. B. ein System mit IPsec, dm-crypt/LUKS oder jeglichem Hardware-Krypto-Offload), wird sofort alle Kernel-Krypto-Operationen unterbrechen. Dies umfasst:

• IPsec-VPN-Verbindungen und WireGuard
• Festplattenverschlüsselung (LUKS/dm-crypt)
• TLS-Terminierung mit kernelgestützter Krypto
• Jeden Container oder jede Anwendung, die auf algif_*-Socket-Schnittstellen angewiesen ist

Das Skript erzwingt das Entladen der AF_ALG-Kernel-Module. Kernel-Krypto-Operationen schlagen bis zum Neustart fehl. Dieses Skript ist nur für luftabgeschirmte, nicht-produktive oder Wegwerfsysteme zu Test- und Analysezwecken gedacht. Führen Sie es nicht auf Produktions- oder kritischer Infrastruktur aus.

Anforderungen

• Linux (beliebige Distribution)
• check.sh benötigt keine Abhängigkeiten außer einer POSIX-Shell und /proc//sys
• solution.sh erfordert Root-Rechte
• restore.sh erfordert Root-Rechte
• af_alg_block.so erfordert Root-Rechte zur Installation über /etc/ld.so.preload

WSL2-Hinweise

Dieser POC wurde unter WSL2 getestet. Beachten Sie Folgendes:

• WSL2 setzt den gesamten Zustand beim Neustart zurück (wsl --shutdown). Dies umfasst Änderungen am Kernel-Modulzustand durch solution.sh, Dateiumbenennungen, check.sh-Ergebnisse und alle lokalen Dateiänderungen in diesem Repository.
• Für eine dauerhafte Härtung unter WSL2 sollten Sie die Konfiguration von .wslconfig, /etc/wsl.conf oder eines Autostart-Skripts (z. B. /etc/rc.local) separat in Betracht ziehen.
• WSL2 eignet sich für Test- und Validierungszwecke, nicht jedoch für den Produktionseinsatz oder dauerhafte Sicherheitsmaßnahmen.

Abschwächung

Um den AF_ALG-Angriffsvektor endgültig zu schließen:

1. Kernel-Modul auf die Blacklist setzen (am zuverlässigsten):

   root@kitploit:~

   echo "blacklist af_alg" | sudo tee /etc/modprobe.d/af_alg-blacklist.conf
   

   Oder die physische Datei umbenennen:

   root@kitploit:~

   sudo mv /lib/modules/$(uname -r)/kernel/crypto/af_alg.ko.xz \
           /lib/modules/$(uname -r)/kernel/crypto/af_alg.ko.xz.bak
   

2. AF_ALG über sysctl deaktivieren:

   root@kitploit:~

   sudo sysctl -w net.core.af_alg_disabled=1
   

3. Erstellung von AF_ALG-Sockets über SELinux-/AppArmor-Richtlinien blockieren

4. Nicht privilegierte User-Namespaces deaktivieren (Container-Umgebungen):

   root@kitploit:~

   sudo sysctl -w kernel.unprivileged_userns_clone=0
   

5. AF_ALG beim socket()-Syscall über LD_PRELOAD blockieren (WSL2-Workaround):

   root@kitploit:~

   # Systemweit installieren (Root erforderlich)
   echo /absoluter/pfad/zu/af_alg_block.so | sudo tee -a /etc/ld.so.preload
   

   Eine vorgefertigte Shared Library (af_alg_block.so) ist im Repository enthalten. Sie fängt ab und gibt zurück, wenn die Domain (38) ist. Alle anderen Socket-Aufrufe werden unverändert an die echte Implementierung durchgereicht.

Lizenz

MIT