DaemonSets de mitigación de Copy Fail

DaemonSets para corregir las vulnerabilidades de la familia Copy Fail en todos los nodos worker de los clústeres MKS.

Contenido

• CVE-2026-31431 (Copy Fail)
• CVE-2026-43284, CVE-2026-43500, CopyFail2 (Dirty Flag)

---

CVE-2026-31431 (Copy Fail)

Descripción de la vulnerabilidad

ID de CVE: CVE-2026-31431

Enlace CVE: https://nvd.nist.gov/vuln/detail/CVE-2026-31431

Vector de ataque y nivel de peligrosidad según CVSS v.3.1:

Score: 7.8 HIGH

Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Descripción breve:

Copy Fail (CVE-2026-31431) es una vulnerabilidad lógica en el subsistema de API criptográfica del kernel de Linux que permite a un usuario normal del sistema obtener privilegios de superusuario (root). El PoC funciona en todas las principales distribuciones de Linux publicadas desde 2017 hasta la publicación del parche.

Características:

• posibilidad de utilizarse como primitiva de escape del contenedor al host, debido al uso del page cache compartido en todo el host
• no requiere acceso remoto: solo puede explotarse si existe una cuenta local sin privilegios
• utiliza la crypto-API del kernel (AF_ALG), que está habilitada por defecto en las configuraciones de casi todas las distribuciones populares

Qué hace este DaemonSet

El DaemonSet ejecuta un contenedor en cada worker node del clúster:

1. Comprueba la disponibilidad de la interfaz AF_ALG AEAD
2. Crea la configuración /etc/modprobe.d/disable-algif.conf
3. Ejecuta rmmod algif_aead si el módulo está cargado
4. Verifica que la vulnerabilidad ha sido mitigada repitiendo la comprobación del punto 1

Uso

1. Descargar el DaemonSet

wget https://raw.githubusercontent.com/selectel/mks-copy-fail-mitigation/refs/heads/main/copy-fail-mitigation-daemonset.yaml

O clonar el repositorio:

git clone https://github.com/selectel/mks-copy-fail-mitigation.git
cd mks-copy-fail-mitigation

2. Aplicar el DaemonSet

kubectl apply -f copy-fail-mitigation-daemonset.yaml

3. Verificar el estado de ejecución

# Проверить статус DaemonSet
kubectl get daemonset -n kube-system cve-2026-31431-mitigation

# Получить список подов
kubectl -n kube-system get pods -l app=cve-2026-31431-mitigation -o wide

4. Ver los registros de ejecución

# Логи initContainer
kubectl -n kube-system logs -l app=cve-2026-31431-mitigation -c mitigation

5. Para eliminar el DaemonSet

kubectl delete -f copy-fail-mitigation-daemonset.yaml

---

CVE-2026-43284, CVE-2026-43500, CopyFail2 (Dirty Flag)

ID de CVE: CVE-2026-43284, CVE-2026-43500

CopyFail2: sin un ID de CVE separado

Enlaces CVE:

• https://nvd.nist.gov/vuln/detail/CVE-2026-43284
• https://nvd.nist.gov/vuln/detail/CVE-2026-43500

Descripción breve:

Dirty Flag / CopyFail2 son vulnerabilidades en el subsistema IPsec del kernel de Linux (módulos esp4, esp6 y rxrpc) que permiten a un usuario local sin privilegios obtener privilegios de superusuario (root).

Características:

• posibilidad de utilizarse como primitiva de escape del contenedor al host
• utilizan los módulos del kernel esp4 (IPsec IPv4), esp6 (IPsec IPv6) y rxrpc (protocolo RxRPC), que están habilitados por defecto en la mayoría de las distribuciones

Qué hace este DaemonSet

El DaemonSet ejecuta un contenedor en cada worker node del clúster:

1. Comprueba mediante lsmod si los módulos esp4, esp6, rxrpc están cargados
2. Crea la configuración /etc/modprobe.d/disable-esp-rxrpc.conf con las reglas install esp4/esp6/rxrpc /bin/false
3. Ejecuta rmmod para cada módulo si está cargado
4. Verifica que los módulos ya no están cargados mediante un lsmod repetido

Uso

1. Descargar el DaemonSet

wget https://raw.githubusercontent.com/selectel/mks-copy-fail-mitigation/refs/heads/main/dirty-flag-copyfail2-mitigation-daemonset.yaml

O clonar el repositorio:

git clone https://github.com/selectel/mks-copy-fail-mitigation.git
cd mks-copy-fail-mitigation

2. Aplicar el DaemonSet

kubectl apply -f dirty-flag-copyfail2-mitigation-daemonset.yaml

3. Verificar el estado de ejecución

# Проверить статус DaemonSet
kubectl get daemonset -n kube-system dirty-flag-copyfail2-mitigation

# Получить список подов
kubectl -n kube-system get pods -l app=dirty-flag-copyfail2-mitigation -o wide

4. Ver los registros de ejecución

# Логи initContainer
kubectl -n kube-system logs -l app=dirty-flag-copyfail2-mitigation -c mitigation

5. Para eliminar el DaemonSet

kubectl delete -f dirty-flag-copyfail2-mitigation-daemonset.yaml