Schwachstellenübersicht

Eine 2017 eingeführte In-Place-AEAD-Optimierung (Commit 72548b093ee3, Kernel 4.14) ermöglicht es einem unprivilegierten lokalen Angreifer, eine kontrollierte Page-Cache-Schreibprimitive gegen jede lesbare Datei zu erlangen, was eine Privilegienerweiterung zu root ermöglicht. In Container-Umgebungen kann dieselbe Primitive einen Container-Escape ermöglichen.

Kernel vor 4.14 sind NICHT betroffen. Dies umfasst Ubuntus 3.13-Kernel (Trusty 14.04 GA) und 4.4-Kernel (Xenial 16.04 GA, Trusty HWE) – diese stammen aus der Zeit vor dem anfälligen Commit.

Commit-Referenzen

Distributionen portieren Patches mit eigenen Commit-Identifikatoren. Das Skript sucht nach der CVE-ID in Paket-Changelogs, was für zurückportierte Kernel zuverlässiger ist als die Upstream-Hashes.

Betroffene Ubuntu-Versionen

Das Ubuntu-Sicherheitsteam verteilt ein kmod-Paketupdate, das install algif_aead /bin/false in /etc/modprobe.d/disable-algif_aead.conf schreibt. Dieses Skript erstellt dieselbe Datei mit demselben Inhalt und ist vollständig kompatibel mit diesem Ansatz. Das Anwenden des offiziellen Paketupdates (sudo apt install --only-upgrade kmod) ist der empfohlene Weg unter Ubuntu; dieses Skript bietet eine gleichwertige Abdeckung für Nicht-Ubuntu-Systeme oder für die Triage vor dem Update.

Schnellstart

Lokal

Remote (direkt von GitHub ausführen, ohne Download)

Das Skript direkt von main streamen und ausführen. Die Form bash -s -- leitet Argumente nach -- an das Skript selbst weiter, sodass --mitigate das Skript und nicht bash erreicht.

wget-Äquivalente:

Sicherheitshinweis. Das Weiterleiten eines Remote-Skripts direkt in eine privilegierte Shell vertraut dem, was die URL zum Zeitpunkt der Ausführung bereitstellt. Für eine einmalige Triage ist das akzeptabel; für wiederholte oder produktive Nutzung an einen bestimmten Commit binden und das Skript zuerst prüfen:

root@kitploit:~

curl -fsSL https://raw.githubusercontent.com/Webhosting4U/Copy-Fail_Detect_and_mitigate_CVE-2026-31431/<commit-sha>/copyfail-check.sh -o copyfail-check.sh
less copyfail-check.sh
sudo bash copyfail-check.sh --mitigate

Was geprüft wird

1. Ausführung als root
2. Kernel-Versions-Vorprüfung – Kernel vor 4.14 beenden sofort mit NOT AFFECTED
3. Kernel-Patch-Nachweis, in dieser Reihenfolge – jedes positive Signal ist ausreichend:
   • Debian/Ubuntu-Kernel-Paket-Changelog (sucht nach allen drei Fix-Commit-Hashes und der CVE-ID)
   • RHEL/Fedora-Kernel-Paket-Changelog (gleiche Muster)
   • Geladene Kernel-Livepatches unter /sys/kernel/livepatch/, plus kpatch list und canonical-livepatch status
   • Distro-CVE-Tools: ubuntu-security-status --cves, dnf updateinfo list cves, zypper patch-check
4. Verfügbarkeit des algif_aead-Moduls (modinfo) und Ladestatus (lsmod)
5. Vorhandene modprobe-basierte Blockregeln unter /etc/modprobe.d/ – akzeptiert gleichwertige Neutralisierer (install … /bin/false|/bin/true|/sbin/nologin) und blacklist; identifiziert, ob der Block vom Ubuntu-kmod-Paket stammt
6. Ubuntu-kmod-Pakethinweis – wenn das Modul nicht blockiert ist und das System Ubuntu ist, wird gemeldet, ob das Minderungspaketupdate für das erkannte Release verfügbar ist
7. Aktive AF_ALG-Nutzung über die Referenzanzahl des Moduls in /proc/modules (Spalte 3); kennzeichnet außerdem eine OpenSSL-afalg-Engine-Referenz in /etc/ssl oder /etc/pki/tls
8. Endgültiges Risiko-Urteil

Bedeutung der Urteile

Was die Minderung bewirkt

Wenn --mitigate auf einem betroffenen System verwendet wird, führt das Skript Folgendes aus:

• Erstellt /etc/modprobe.d/disable-algif_aead.conf mit dem Inhalt install algif_aead /bin/false
• Versucht, algif_aead zu entladen, falls es derzeit geladen ist
• Hinterlässt einen dauerhaften Boot-Zeit-Block

Der Dateiname /etc/modprobe.d/disable-algif_aead.conf entspricht der Datei, die vom offiziellen Ubuntu-kmod-Paketupdate geschrieben wird, sodass beide Ansätze austauschbar und kompatibel sind.

Wichtige Hinweise

• Die Minderung ist eine temporäre Risikoreduzierung, kein Ersatz für das Patchen des Kernels.
• Das Deaktivieren von algif_aead ist für gängige Krypto-Pfade sicher: dm-crypt, LUKS, kTLS, IPsec, Standard-OpenSSL/GnuTLS-Nutzung, SSH und Kernel-Keyring-Krypto sind nicht betroffen.
• Anwendungen, die explizit die OpenSSL-afalg-Engine laden, verlieren die Hardwarebeschleunigung; sie sollten auf Software-Krypto zurückfallen, aber ein Neustart kann erforderlich sein, um den Fallback auszulösen.
• Container-Workloads: Die Schwachstelle kann einen Container-Escape ermöglichen, selbst ohne veröffentlichten PoC. Das Anwenden der Minderung oder des Kernel-Patches wird unabhängig vom Workload-Typ empfohlen.

Offenlegungszeitplan

Anforderungen

• Linux-Host
• Root-Rechte (sudo oder Root-Shell)
• Kernwerkzeuge (immer erforderlich): uname, modinfo, lsmod, awk, grep
• Optionale Werkzeuge (verwendet, wenn vorhanden, in Reihenfolge der Autorität):
  • dpkg – Debian/Ubuntu-Changelog-Scan und kmod-Versionsprüfung
  • lsb_release – Ubuntu-Release-Erkennung für den kmod-Hinweis
  • rpm – RHEL/Fedora-Changelog-Scan
  • kpatch / canonical-livepatch und /sys/kernel/livepatch/ – Live-Patch-Erkennung
  • ubuntu-security-status, dnf updateinfo, zypper patch-check – Distro-CVE-Tools

Repository-Struktur

Referenzen

• copy.fail – offizielle Schwachstellenseite
• Copy Fail across Linux distributions – Analyse der Distributionsabdeckung
• oss-security disclosure – vollständige technische Offenlegung
• Ubuntu Security Advisory – Ubuntu-spezifische Anleitung und behobene Paketversionen
• CVE Record – offizieller CVE-Eintrag