CVE-2026-31431 (Copy Fail) – Herramienta de mitigación técnica

1. Descripción general

Este paquete proporciona una solución automatizada para detectar y mitigar la vulnerabilidad CVE-2026-31431 (conocida como Copy Fail) en sistemas Linux con kernel afectado (versiones 4.14 a 6.12.84, 6.13 a 6.18.21, etc.).

La herramienta consta de:

• Un script unificado (mitigate_copyfail.sh) que:
  • Ejecuta Phalanx-CCS (comprobación activa de la superficie de ataque) y Silent4Labs (análisis de riesgo).
  • Detecta la configuración del kernel (CONFIG_CRYPTO_USER_API_AEAD=m|y).
  • Aplica la mitigación adecuada:
    • Módulo cargable (=m): crea /etc/modprobe.d/disable-algif-aead.conf con install algif_aead /bin/false y descarga el módulo (rmmod).
    • Módulo integrado (=y): añade el parámetro de arranque initcall_blacklist=algif_aead_init (requiere reinicio).
  • Verifica el estado final y extrae la puntuación y nivel de riesgo de Silent4Labs.
• Un playbook de Ansible (mitigation.yml) que:
  • Copia los scripts a los servidores remotos.
  • Ejecuta el script de mitigación y captura su salida.
  • Limpia los códigos de color ANSI.
  • Parsea el estado final de Phalanx y los valores de Silent4Labs.
  • Muestra un resumen legible y guarda un registro detallado en la máquina de control.

Nota importante: La mitigación es temporal. La solución definitiva es actualizar el kernel a una versión que incluya el parche a664bf3d603d (≥6.18.22, ≥6.19.12 o ≥7.0).

---

2. Requisitos

2.1. Máquina de control (donde se ejecuta Ansible)

• Ansible 2.9 o superior
• Python 3.6 o superior
• Acceso SSH a los servidores objetivo (con become: yes)

2.2. Servidores remotos

• Bash 4+
• Python 3 (para Phalanx-CCS)
• Permisos sudo (para aplicar la mitigación)
• Kernel afectado (opcional; si el kernel ya está parcheado, el script no hará cambios)

Los scripts de detección (Phalanx-CCS y Silent4Labs) son seguros y no explotan la vulnerabilidad; solo verifican la superficie de ataque.

---

3. Estructura del repositorio

cve-2026-31431-mitigation/
├── README.md
├── scripts/
│   ├── mitigate_copyfail.sh      # Script unificado (detección + mitigación)
│   ├── check_copyfail.py         # Phalanx-CCS (reachability checker)
│   └── check-copyfail.sh         # Silent4Labs (risk assessment)
├── ansible/
│   ├── ansible.cfg               # (opcional) Configuración de Ansible
│   ├── inventory.ini             # Inventario de servidores
│   └── mitigation.yml            # Playbook principal
└── resultados_cve/               # Carpeta generada automáticamente con los logs

---

4. Instalación y configuración

4.1. Clonar el repositorio

git clone https://github.com/tu-usuario/cve-2026-31431-mitigation.git
cd cve-2026-31431-mitigation/ansible

4.2. Preparar el inventario (inventory.ini)

Ejemplo para un servidor remoto:

[servidores]
server1 ansible_host=192.168.1.10 ansible_user=root

[localhost]
localhost ansible_connection=local

[all:vars]
ansible_become=yes
# ansible_become_password=mi_clave  # si no se usa sudo sin contraseña

4.3. Verificar rutas de los scripts

En mitigation.yml, la tarea Copiar scripts al remoto utiliza src: "../scripts/{{ item }}". Asegúrate de que la ruta relativa es correcta o modifícala según tu estructura.

---

5. Ejecución

Desde el directorio ansible/:

ansible-playbook -i inventory.ini mitigation.yml -k -K

• -k solicita la contraseña SSH.
• -K solicita la contraseña de become (sudo).

Si se usa localhost con ansible_connection=local, no se necesita SSH.

5.1. Salida esperada

El playbook muestra un resumen en texto plano similar a:

==========================================
RESULTADOS POST-MITIGACIÓN
==========================================
Host: server1
------------------------------------------
  - Estado: SISTEMA SEGURO
  - Código: (no aplica)
------------------------------------------
  - Puntuación final: 40 / 100
  - Nivel de riesgo: MEDIUM
==========================================

Además, se genera un archivo de log en resultados_cve/<hostname>_mitigation.log con la salida completa del script (fecha, versión del kernel, mensajes de detección, etc.).

---

6. Modo depuración

Si los valores extraídos aparecen como ? o No detectado, activa las tareas de depuración en mitigation.yml:

• Cambia when: true en las tres tareas de DEPURACIÓN (o pon when: true para ver clean_stdout y la salida de los regex).
• Vuelve a ejecutar el playbook y observa la salida para ajustar los patrones de búsqueda si es necesario.

---

7. Personalización

7.1. Cambiar el directorio de logs

Edita las tareas Crear directorio local para resultados y Guardar salida completa en archivo local:

path: /ruta/absoluta/resultados_cve
dest: "/ruta/absoluta/resultados_cve/{{ inventory_hostname }}_mitigation.log"

7.2. Deshabilitar la copia de scripts (si ya están presentes)

Comenta las tareas de copiado y ajusta la ruta en Ejecutar script de mitigación para que apunte a la ubicación existente.

7.3. Limpiar scripts remotos automáticamente

Cambia when: false por when: true en la última tarea (Limpiar scripts remotos).

---

8. Limitaciones y advertencias

• La mitigación mediante parámetro de arranque (initcall_blacklist) requiere un reinicio para ser efectiva. El playbook no reinicia automáticamente; se debe planificar una ventana de mantenimiento.
• En sistemas con CONFIG_CRYPTO_USER_API_AEAD=y (kernel built‑in), el módulo no puede descargarse con rmmod; la única vía es el parámetro de arranque.
• La puntuación de Silent4Labs es orientativa; un valor medio (p.ej., 40/100) no significa que el sistema sea explotable si la mitigación está activa.
• Los scripts de detección pueden requerir privilegios para leer /proc/crypto y /boot/config-*; se ejecutan con become: yes.

---

9. Referencias

• CVE-2026-31431 en NVD
• Análisis técnico y versiones afectadas
• Phalanx-CCS (herramienta de detección)
• Silent4Labs (risk assessment)

---

10. Licencia

Este proyecto se distribuye bajo licencia MIT. Los scripts de terceros (Phalanx-CCS, Silent4Labs) conservan sus respectivas licencias.

---

Apoya al proyecto

Si esta herramienta te ha sido útil, ¡dale una estrella en GitHub!

---