copy-fail-fix

Scripts de mitigación por distribución para CVE-2026-31431 ("Copy Fail") — una escalada de privilegios local del kernel Linux algif_aead que afecta prácticamente a todas las distribuciones publicadas desde 2017.

Cada script instala un kernel parcheado desde los repositorios de tu distribución (cuando está disponible) o, si no, bloquea el módulo vulnerable algif_aead del kernel para que la vía de explotación quede cerrada hasta que puedas reiniciar con un kernel corregido.

TL;DR

Elige el script para tu distribución, revísalo y ejecútalo como root.

# Ubuntu
sudo bash scripts/ubuntu.sh

# Debian
sudo bash scripts/debian.sh

# RHEL / Rocky / AlmaLinux / CentOS Stream
sudo bash scripts/rhel.sh

# Fedora
sudo bash scripts/fedora.sh

# Arch
sudo bash scripts/arch.sh

# openSUSE Leap / Tumbleweed
sudo bash scripts/opensuse.sh

# Alpine
sudo bash scripts/alpine.sh

# Cualquier otra (Gentoo, NixOS, distribuciones inmutables, ...)
sudo bash scripts/universal.sh

Usa --check primero si quieres una vista previa que no cambia nada.

Qué hace cada script

Los scripts por distribución ejecutan este algoritmo; universal.sh omite los pasos 4–5.

1. Elevar privilegios. Se re-ejecuta bajo sudo si aún no eres root.
2. Confirmar la distribución. Se niega a ejecutarse en un host que no coincida salvo con --force.
3. Leer uname -r.
4. ¿Ya parcheado? Si PATCHED_KERNEL_VERSION está registrado para tu distribución y tu kernel en ejecución es igual o superior, el script elimina cualquier archivo de mitigación sobrante y termina.
5. ¿Parche disponible? Consulta a tu gestor de paquetes. Si hay un kernel candidato ≥ la versión parcheada, te solicita confirmación (--yes para omitirla) para instalarlo. Tras la instalación, reinicias manualmente.
6. Mitigar. Si aún no hay un kernel parcheado disponible (o lo rechazaste), escribe /etc/modprobe.d/cve-2026-31431.conf con blacklist algif_aead e install algif_aead /bin/true, y luego verifica mediante una sonda de enlace de socket AF_ALG que la vía de explotación está cerrada.

Estado del parche

PATCHED_KERNEL_VERSION = PENDING significa que los mantenedores aún no han registrado una versión de kernel corregida para esa distribución. Cada fila se actualiza mediante un PR de una línea.

Banderas

Verificación manual de la mitigación

Los scripts ejecutan esta sonda automáticamente. Para comprobarlo tú mismo:

python3 - <<'PY'
import socket, errno
try:
    s = socket.socket(socket.AF_ALG, socket.SOCK_SEQPACKET, 0)
    s.bind(("aead", "authencesn(hmac(sha1),cbc(aes))"))
    print("BAD: bind succeeded — host is NOT mitigated")
    s.close()
except OSError as e:
    print(f"OK: bind blocked, errno={e.errno} ({e.strerror})" if e.errno == errno.ENOENT
          else f"INCONCLUSIVE: errno={e.errno}")
PY

Un host mitigado o parcheado muestra OK: bind blocked, errno=2 ....

Deshacer

Después de que tu distribución publique un kernel corregido y reinicies con él, elimina el bloqueo de modprobe para que las aplicaciones que usan legítimamente AF_ALG aead puedan funcionar de nuevo:

sudo bash scripts/<tu-distribucion>.sh --undo

Contribuciones

Cuando tu distribución publique un kernel corregido:

1. Edita una línea en scripts/<distro>.sh — establece PATCHED_KERNEL_VERSION a la versión del paquete corregido (en el formato que devuelve dpkg-query -W / rpm -q VERSION-RELEASE / pacman -Q).
2. Actualiza la fila correspondiente en la tabla de estado del parche de este README.
3. Abre un PR titulado <distro>: fix shipped in <version>.

Aviso legal

Herramienta de mitigación de seguridad. Audita cualquier script que encuentres en internet antes de pasarlo a sudo bash. Los mantenedores no aceptan ninguna responsabilidad bajo la licencia MIT.

Licencia

MIT.