Copy Fail Mitigation DaemonSets

DaemonSets zur Behebung der Schwachstellen der Copy-Fail-Familie auf allen Worker-Knoten der MKS-Cluster.

Inhaltsverzeichnis

• CVE-2026-31431 (Copy Fail)
• CVE-2026-43284, CVE-2026-43500, CopyFail2 (Dirty Flag)

---

CVE-2026-31431 (Copy Fail)

Beschreibung der Schwachstelle

CVE ID: CVE-2026-31431

CVE Link: https://nvd.nist.gov/vuln/detail/CVE-2026-31431

Angriffsvektor und Schweregrad gemäß CVSS v.3.1:

Score: 7.8 HIGH

Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Kurzbeschreibung:

Copy Fail (CVE-2026-31431) ist eine logische Schwachstelle in der kryptografischen API des Linux-Kernels, die es einem normalen Systembenutzer ermöglicht, Superuser-Rechte (root) zu erlangen. Der PoC funktioniert auf allen gängigen Linux-Distributionen, die seit 2017 bis zum Erscheinen des Patches veröffentlicht wurden.

Besonderheiten:

• Verwendbarkeit als Primitiv für einen Container-Ausbruch auf den Host, aufgrund des für den gesamten Host gemeinsamen Page Cache
• erfordert keinen Fernzugriff – die Ausnutzung ist nur möglich, wenn ein lokales, nicht privilegiertes Benutzerkonto vorhanden ist
• nutzt das Kernel-Krypto-API (AF_ALG), das in den Konfigurationen fast aller gängigen Distributionen standardmäßig aktiviert ist

Was dieses DaemonSet bewirkt

Das DaemonSet startet einen Container auf jedem Worker-Knoten des Clusters:

1. Testet die Verfügbarkeit der AF_ALG-AEAD-Schnittstelle
2. Erstellt die Konfiguration /etc/modprobe.d/disable-algif.conf
3. Führt rmmod algif_aead aus, wenn das Modul geladen ist
4. Überprüft, dass die Schwachstelle behoben ist, indem die Prüfung aus Schritt 1 erneut aufgerufen wird

Verwendung

1. DaemonSet herunterladen

wget https://raw.githubusercontent.com/selectel/mks-copy-fail-mitigation/refs/heads/main/copy-fail-mitigation-daemonset.yaml

Oder das Repository klonen:

git clone https://github.com/selectel/mks-copy-fail-mitigation.git
cd mks-copy-fail-mitigation

2. DaemonSet anwenden

kubectl apply -f copy-fail-mitigation-daemonset.yaml

3. Ausführungsstatus prüfen

# Проверить статус DaemonSet
kubectl get daemonset -n kube-system cve-2026-31431-mitigation

# Получить список подов
kubectl -n kube-system get pods -l app=cve-2026-31431-mitigation -o wide

4. Ausführungsprotokolle anzeigen

# Логи initContainer
kubectl -n kube-system logs -l app=cve-2026-31431-mitigation -c mitigation

5. DaemonSet entfernen

kubectl delete -f copy-fail-mitigation-daemonset.yaml

---

CVE-2026-43284, CVE-2026-43500, CopyFail2 (Dirty Flag)

CVE ID: CVE-2026-43284, CVE-2026-43500

CopyFail2: ohne eigene CVE-ID

CVE Links:

• https://nvd.nist.gov/vuln/detail/CVE-2026-43284
• https://nvd.nist.gov/vuln/detail/CVE-2026-43500

Kurzbeschreibung:

Dirty Flag / CopyFail2 – Schwachstellen im IPsec-Subsystem des Linux-Kernels (Module esp4, esp6 und rxrpc), die es einem lokalen, nicht privilegierten Benutzer ermöglichen, Superuser-Rechte (root) zu erlangen.

Besonderheiten:

• Verwendbarkeit als Primitiv für einen Container-Ausbruch auf den Host
• verwenden die Kernel-Module esp4 (IPsec IPv4), esp6 (IPsec IPv6) und rxrpc (RxRPC-Protokoll), die in den meisten Distributionen standardmäßig aktiviert sind

Was dieses DaemonSet bewirkt

Das DaemonSet startet einen Container auf jedem Worker-Knoten des Clusters:

1. Überprüft über lsmod, ob die Module esp4, esp6, rxrpc geladen sind
2. Erstellt die Konfiguration /etc/modprobe.d/disable-esp-rxrpc.conf mit den Regeln install esp4/esp6/rxrpc /bin/false
3. Führt rmmod für jedes Modul aus, sofern es geladen ist
4. Überprüft durch erneutes lsmod, dass die Module nicht mehr geladen sind

Verwendung

1. DaemonSet herunterladen

wget https://raw.githubusercontent.com/selectel/mks-copy-fail-mitigation/refs/heads/main/dirty-flag-copyfail2-mitigation-daemonset.yaml

Oder das Repository klonen:

git clone https://github.com/selectel/mks-copy-fail-mitigation.git
cd mks-copy-fail-mitigation

2. DaemonSet anwenden

kubectl apply -f dirty-flag-copyfail2-mitigation-daemonset.yaml

3. Ausführungsstatus prüfen

# Проверить статус DaemonSet
kubectl get daemonset -n kube-system dirty-flag-copyfail2-mitigation

# Получить список подов
kubectl -n kube-system get pods -l app=dirty-flag-copyfail2-mitigation -o wide

4. Ausführungsprotokolle anzeigen

# Логи initContainer
kubectl -n kube-system logs -l app=dirty-flag-copyfail2-mitigation -c mitigation

5. DaemonSet entfernen

kubectl delete -f dirty-flag-copyfail2-mitigation-daemonset.yaml