CVE-2026-31431 aka Copy.Fail eBPF-Workaround

Warum das wichtig ist

Diese CVE ermöglicht es autorisierten Benutzern, die Cache-Kopie einer beliebigen lesbaren Datei zu ändern, was zu lokaler Privilegienausweitung (auch bekannt als lokaler Root-Exploit), Sandbox-/Container-Escape und anderen Problemen führt. Sie funktioniert durch die Erstellung eines AF_ALG-Sockets, der von den algif*-Kernelmodulen bereitgestellt wird.

Der derzeit bekannte Workaround empfiehlt, das Modul algif_aead zu deaktivieren, was jedoch nicht möglich ist, wenn das Modul fest eingebaut ist, wie bei Fedora Linux, Oracle Linux und anderen RHEL-basierten Systemen. Außerdem fehlt der Patch in einigen Upstreams noch. Das bedeutet, dass Ihre Systeme verwundbar bleiben, bis Sie Ihren Kernel patchen.

Lösung

Dieses Paket stellt Ihnen zwei eBPF-Programme bereit:

• ebpf-alg-socket-filter, das die Erstellung von AF_ALG-Sockets über den eBPF/LSM-Kernelmechanismus filtert
• ebpf-alg-socket-killer, das jedes Programm beendet, das einen AF_ALG-Socket erstellt

Ich empfehle, das erste zu verwenden, WENN Sie das eBPF-LSM-Modul in Ihrem Kernel aktiviert haben. Sie können dies überprüfen, indem Sie

cat /sys/kernel/security/lsm

aufrufen und prüfen, ob bpf dort enthalten ist.

Wenn Sie das eBPF-LSM-Modul nicht haben, verwenden Sie das zweite Programm, es ist etwas derber, schützt aber ebenso.

Erstellung

• Installieren Sie clang, kernel-headers, libbpf-devel und bpftool
• Kopieren Sie vmlinux.h aus Ihren Kernel-Headern
• Führen Sie build.sh build aus

Ausführung

• Führen Sie apply.sh load aus, um zu laden
• Führen Sie apply.sh unload aus, um zu entladen
• Führen Sie apply.sh status aus, um den Status zu prüfen