¿Por qué no simplemente ejecutar un exploit?

Algunas comprobaciones de vulnerabilidades se reducen a "ejecutar el exploit y ver si funciona". Eso no es algo recomendable en hosts de producción. copyfail-guard adopta un enfoque sin exploit. No intenta desencadenar el error, modificar binarios setuid ni demostrar la explotabilidad. En su lugar, inspecciona el estado del host (versión del kernel, estado de carga del módulo, configuración de modprobe) e informa si la máquina parece expuesta.

Qué hace esta herramienta

fix es intencionalmente mínimo — no llama a tu gestor de paquetes. La remediación permanente requiere actualizar el kernel mediante el mecanismo de actualización normal de tu distribución.

Instalación

O ejecutar directamente desde un checkout sin instalar:

Uso

detect (predeterminado)

fix

Siempre previsualiza con --dry-run antes de aplicar:

Si el módulo está actualmente en uso, el paso de descarga puede fallar. En ese caso, la regla persistente de modprobe aún puede instalarse correctamente, y copyfail-guard informará del fallo de descarga como un registro de acción de tipo advertencia en lugar de fingir que el módulo fue eliminado.

Salida JSON

--json emite un documento estructurado en stdout, adecuado para pipelines de jq, Ansible o SOAR:

Códigos de salida

Veredictos

Eliminación de la mitigación

Después de actualizar a un kernel parcheado, usa el subcomando reset para eliminar la regla de modprobe instalada por fix:

reset es idempotente — si el archivo ya está ausente, sale con 0 y un mensaje de "nada que hacer". Luego reinicia.

Notas

Contenedores. fix se niega a ejecutarse dentro de un contenedor porque /proc/modules refleja el kernel del host pero el contenedor no tiene autoridad para cargar o descargar módulos. Ejecuta copyfail-guard directamente en el host.

algif_aead integrado. Algunos kernels compilan algif_aead directamente en la imagen (CONFIG_CRYPTO_USER_API_AEAD=y). La mitigación de modprobe no tiene efecto en esta configuración; la única remediación es una actualización del kernel. detect informa unmitigable_builtin en este caso. Ejecutar fix aún instalará la regla de modprobe (que evita que cualquier copia cargable coexistente se cargue) pero la instancia integrada no se ve afectada — la actualización del kernel y el reinicio son el único remedio real.

blacklist vs install … /bin/false. Ambas directivas bloquean la carga automática ordinaria, pero install algif_aead /bin/false es más fuerte porque también bloquea las invocaciones explícitas ordinarias de modprobe algif_aead. Un administrador con privilegios suficientes aún puede eludir la política de modprobe, por ejemplo usando herramientas de carga de módulos de bajo nivel o banderas especiales de modprobe. copyfail-guard siempre instala la forma más fuerte. Si tu sistema ya tiene una directiva blacklist simple, la herramienta informa mitigated pero emite una nota recomendando la actualización.

SELinux/AppArmor. Las escrituras en /etc/modprobe.d/ en RHEL normalmente heredan system_u:object_r:modules_conf_t:s0 del directorio padre, por lo que normalmente no se necesita un reetiquetado manual para el archivo que escribe copyfail-guard.

initramfs. algif_aead normalmente no se incluye en la imagen de arranque en las principales distribuciones, por lo que copyfail-guard no ejecuta update-initramfs -u ni dracut -f después de instalar la regla de modprobe. Si tu distribución o compilación local incluye algif_aead en initramfs, sigue las pautas de kernel/módulos de tu distribución.

Licencia

Apache 2.0 — consulta LICENSE.