copyfail-guard

Herramienta de detección y mitigación automatizada para la vulnerabilidad CVE-2026-31431 ("Copy Fail"), una escalada de privilegios local (LPE) en el módulo algif_aead (interfaz AF_ALG) del kernel Linux.

⚠️ Alcance: este proyecto es puramente defensivo. No contiene, no genera y no referencia código de explotación. El objetivo es permitir que equipos de seguridad y administradores de sistema (1) identifiquen hosts expuestos y (2) apliquen la mitigación recomendada (bloqueo del módulo algif_aead) hasta que el kernel corregido esté instalado.

Qué hace la herramienta

1. Detección (--check)

   • Lee la versión del kernel en ejecución (uname -r)
   • Verifica si el módulo algif_aead está cargado o disponible para carga
   • Consulta el changelog del paquete de kernel instalado (apt/dpkg, rpm, zypper) en busca de referencia al parche/CVE
   • Identifica la distribución mediante /etc/os-release
   • Devuelve un veredicto: VULNERABLE, MITIGADO (módulo bloqueado), CORREGIDO (el kernel ya contiene el parche) o INDETERMINADO

2. Mitigación (--mitigate, requiere root)

   • Crea /etc/modprobe.d/disable-algif-aead-cve-2026-31431.conf con install algif_aead /bin/false y blacklist algif_aead
   • Elimina el módulo de la memoria si ya está cargado (rmmod)
   • Vuelve a ejecutar la comprobación de detección para confirmar que la mitigación ha tenido efecto
   • Operación idempotente: puede ejecutarse tantas veces como sea necesario sin efectos secundarios

3. Informe (--report json|text)

   • Salida legible para humanos o JSON estructurado, lista para alimentar SIEM, pipelines de auditoría de activos o paneles

Uso rápido

# Solo diagnosticar (no requiere root)
sudo ./bin/copyfail-guard --check

# Diagnosticar y aplicar mitigación temporal
sudo ./bin/copyfail-guard --mitigate

# Salida JSON para integración con otras herramientas
sudo ./bin/copyfail-guard --check --report json

Requisitos: Python 3.8+, Bash, acceso root solo para --mitigate (la comprobación funciona sin privilegios elevados, con información limitada).

Aviso importante

• La mitigación (bloqueo de algif_aead) es temporal. Reduce la superficie de ataque pero no sustituye la actualización del kernel. En cuanto el paquete de kernel corregido (que contenga el commit a664bf3d603d o un backport equivalente) esté disponible para su distribución, debe aplicarse y reiniciarse el sistema.
• Los entornos que dependen de algif_aead (uso directo de AF_ALG para AEAD desde userspace) pueden ver afectada su funcionalidad por la mitigación. dm-crypt/LUKS, kTLS, IPsec, SSH y las compilaciones estándar de OpenSSL/GnuTLS normalmente no dependen de AF_ALG y no se ven afectados.

Estructura del repositorio

copyfail-guard/
├── bin/
│   └── copyfail-guard        # entrypoint (bash) -> llama al módulo Python
├── copyfail_guard/
│   ├── __init__.py
│   ├── detect.py              # lógica de detección
│   ├── mitigate.py            # lógica de mitigación
│   └── report.py              # formato de salida (texto/JSON)
├── tests/
│   └── test_detect.py
├── LICENSE
└── README.md

Referencias

• copy.fail
• NVD — CVE-2026-31431
• Red Hat RHSB-2026-002
• Ubuntu Security Notices (discourse.ubuntu.com)
• Sysdig / Unit 42 / Tenable / Microsoft Security Blog (análisis técnicos)

Licencia

MIT — ver LICENSE.