cve-2026-31431-mitigation — Mitigación basada en Seccomp para CVE-2026-31431, un LPE del kernel de Linux. Bloquea el socket AF_ALG mediante un módulo PAM y un envoltorio independiente, con detección automática de kernels parcheados. | Kitploit

Apertura de sesión PAM (su, ssh, login, etc.)
  |
  v
pam_block_afalg.so (pam_sm_open_session)
  |
  +-- Verificar: ¿es vulnerable el kernel? (probar socket(AF_ALG))
  |     |
  |     +-- No  --> devolver PAM_SUCCESS (no-op)
  |     |
  |     +-- Sí --> prctl(PR_SET_SECCOMP, filtro BPF)
  |                   |
  |                   +-- filtro seccomp activo en el proceso hijo de sshd
  |                   +-- heredado por la shell del usuario y TODOS los procesos hijos
  |                   +-- socket(AF_ALG, ...) devuelve EACCES
  v
La shell / comando del usuario se ejecuta con protección seccomp
  |
  +-- su, sudo y todas las demás llamadas al sistema funcionan normalmente
  +-- Solo se bloquea el socket AF_ALG

Archivo	Propósito
`pam_block_afalg.c`	Código fuente del módulo PAM. Aplica el filtro seccomp en la apertura de sesión.
`pam_minimal.h`	Definiciones mínimas de tipos PAM (compila sin pam-devel).
`block_afalg.c`	Binario independiente de envoltura seccomp. Para uso sin PAM.
`deploy.sh`	Script de despliegue. Compila, instala y gestiona el módulo PAM.

# 1. Compilar el módulo PAM
gcc -Wall -O2 -fPIC -shared -o pam_block_afalg.so pam_block_afalg.c \
    /usr/lib64/libpam.so.0

# 2. Instalar (añade automáticamente configuraciones PAM a su, sshd, login)
sudo ./deploy.sh install

# 3. Verificar (debe ser una sesión NUEVA)
cat /proc/self/status | grep Seccomp
# Debe mostrar: Seccomp: 2

python3 -c "
import socket
try:
    s = socket.socket(38,2,0); s.close()
    print('VULNERABLE')
except OSError:
    print('BLOQUEADO')
"
# Debe mostrar: BLOQUEADO

# 4. Desinstalar
sudo ./deploy.sh remove

Comando	Descripción
`deploy.sh install`	Compilar el módulo PAM, instalar en `/lib64/security/`, añadir configuraciones PAM automáticamente
`deploy.sh remove`	Desinstalación completa: eliminar módulo, limpiar configuraciones PAM, borrar archivos
`deploy.sh status`	Mostrar estado de instalación, configuraciones PAM, estado del kernel

python3 -c "
import socket
try:
    s = socket.socket(38, socket.SOCK_SEQPACKET, 0)
    s.close()
    print('VULNERABLE: socket AF_ALG disponible')
except:
    print('SEGURO: socket AF_ALG bloqueado o no disponible')
"

# Verificar estado de seccomp
cat /proc/self/status | grep Seccomp
# Seccomp: 0 = no protegido
# Seccomp: 2 = protegido

# Probar socket AF_ALG
python3 -c "
import socket
try:
    s = socket.socket(38,2,0)
    s.close()
    print('AF_ALG disponible - NO protegido')
except OSError:
    print('AF_ALG bloqueado - PROTEGIDO')
"

# Verificar registros PAM
grep pam_block_afalg /var/log/secure
# Debe mostrar: filtro seccomp aplicado, AF_ALG bloqueado

cve-2026-31431-mitigation

Más Populares

Cómo funciona esta mitigación

Arquitectura

Archivos

Requisitos

Inicio rápido

Referencia de comandos

Uso independiente

Verificación

Verificar si el kernel es vulnerable

Verificar que el módulo PAM está activo

Limitaciones

Cuándo eliminar

Licencia