copyfailscan

Ayudante de Bash: descubre hosts (opcionalmente CIDR mediante nmap), luego realiza comprobaciones SSH de solo lectura para CVE-2026-31431 (Copy Fail / algif_aead), CVE-2026-31677 / CVE-2026-43077 (heurísticas AF_ALG RX), CVE-2026-23111 (nftables + espacios de usuario), CVE-2026-23102 (arm64 SVE/SME). Solo heurísticas — no es un exploit; confirme con su distribuidor.

Tratar como sensible: archivo de contraseñas en disco; la salida lista hosts y estado del kernel.

Requisitos

Credenciales

1. sudo cp copyfail-creds.example /etc/copyfail-creds && sudo nano /etc/copyfail-creds
2. Una línea por usuario:contraseña (solo el primer : separa usuario de contraseña).
3. Modo 600 requerido: sudo chmod 600 /etc/copyfail-creds
   Si es propiedad de root, ejecute el script con sudo (o chown a su usuario, aún 600).

Uso

CREDS_FILE=/path/to/creds ./copyfail_scan.sh [TARGET]

TARGET: CIDR, IP única/nombre de host, o ruta a una lista de hosts (# comentarios válidos). Si se omite, usa el valor por defecto del script (ver TARGET= en copyfail_scan.sh).

chmod +x copyfail_scan.sh
sudo CREDS_FILE=/etc/copyfail-creds ./copyfail_scan.sh
sudo CREDS_FILE=/etc/copyfail-creds ./copyfail_scan.sh 192.168.1.0/24
CREDS_FILE=~/creds ./copyfail_scan.sh ./hosts.txt

Salida: solo stdout (sin archivo de informe). Use tee para guardar. Después de las líneas por host: === Summary report === (a menos que COPYFAIL_SUMMARY=0) — Confirmado bueno vs Requiere revisión; los hosts que comparten la misma línea de resumen se fusionan (etiquetas separadas por comas).

Variables de entorno

# Ejemplo: sin nmap por host, secuencial
COPYFAIL_PREAUTH_NMAP=0 COPYFAIL_PARALLEL=1 sudo ./copyfail_scan.sh 192.168.54.93

Interpretación de resultados

• Etiquetas como 31431 PATCHED, 31431 VULN - MITIGATED, 31431 NO algif_aead - VERIFY, [SKIP] / [SKIP - PRE-AUTH] son heurísticas del script; 23111= / 23102= campos finales resumen sondas nftables/user-ns y arm64 SVE.
• Núcleos *-pve / de proveedor: uname -r puede no coincidir con los tuplas NVD ascendentes — use avisos de seguridad de la distribución/Proxmox y paquetes de kernel instalados, no solo este script.
• Pista de mitigación (sistemas basados en módulos):
  echo 'install algif_aead /bin/false' | sudo tee /etc/modprobe.d/disable-algif.conf && sudo rmmod algif_aead 2>/dev/null
  Las rutas de API criptográficas integradas difieren — siga la documentación del proveedor (por ejemplo, lista negra de línea de comandos del kernel).

Referencias

• copy.fail — verifique con su proveedor de SO y NVD.

Licencia

MIT — vea LICENSE.