cve-2026-31431-mitigation — Mitigation basée sur Seccomp pour CVE-2026-31431, une LPE du noyau Linux. Bloque la socket AF_ALG via un module PAM et un wrapper autonome, avec détection automatique des noyaux corrigés. | Kitploit

Ouverture de session PAM (su, ssh, login, etc.)
  |
  v
pam_block_afalg.so (pam_sm_open_session)
  |
  +-- Vérification : le noyau est-il vulnérable ? (essayer socket(AF_ALG))
  |     |
  |     +-- Non  --> retourner PAM_SUCCESS (sans effet)
  |     |
  |     +-- Oui --> prctl(PR_SET_SECCOMP, filtre BPF)
  |                   |
  |                   +-- filtre seccomp actif sur le processus enfant sshd
  |                   +-- hérité par le shell de l'utilisateur et TOUS les processus enfants
  |                   +-- socket(AF_ALG, ...) retourne EACCES
  v
Le shell / la commande de l'utilisateur s'exécute avec la protection seccomp
  |
  +-- su, sudo et tous les autres appels système fonctionnent normalement
  +-- Seul le socket AF_ALG est bloqué

Fichier	Objectif
`pam_block_afalg.c`	Source du module PAM. Applique le filtre seccomp à l'ouverture de session.
`pam_minimal.h`	Définitions minimales des types PAM (compilation sans pam-devel).
`block_afalg.c`	Binaire autonome d'encapsulation seccomp. Pour une utilisation non-PAM.
`deploy.sh`	Script de déploiement. Compile, installe et gère le module PAM.

# 1. Compiler le module PAM
gcc -Wall -O2 -fPIC -shared -o pam_block_afalg.so pam_block_afalg.c \
    /usr/lib64/libpam.so.0

# 2. Installer (ajoute automatiquement les configurations PAM à su, sshd, login)
sudo ./deploy.sh install

# 3. Vérifier (doit être une NOUVELLE session)
cat /proc/self/status | grep Seccomp
# Devrait afficher : Seccomp: 2

python3 -c "
import socket
try:
    s = socket.socket(38,2,0); s.close()
    print('VULNERABLE')
except OSError:
    print('BLOQUÉ')
"
# Devrait afficher : BLOQUÉ

# 4. Désinstaller
sudo ./deploy.sh remove

Commande	Description
`deploy.sh install`	Compiler le module PAM, l'installer dans `/lib64/security/`, ajouter automatiquement les configurations PAM
`deploy.sh remove`	Désinstallation complète : supprimer le module, nettoyer les configurations PAM, supprimer les fichiers
`deploy.sh status`	Afficher l'état de l'installation, les configurations PAM, l'état du noyau

python3 -c "
import socket
try:
    s = socket.socket(38, socket.SOCK_SEQPACKET, 0)
    s.close()
    print('VULNÉRABLE : socket AF_ALG disponible')
except:
    print('SÛR : socket AF_ALG bloqué ou indisponible')
"

# Vérifier l'état seccomp
cat /proc/self/status | grep Seccomp
# Seccomp: 0 = non protégé
# Seccomp: 2 = protégé

# Tester le socket AF_ALG
python3 -c "
import socket
try:
    s = socket.socket(38,2,0)
    s.close()
    print('AF_ALG disponible - NON protégé')
except OSError:
    print('AF_ALG bloqué - PROTÉGÉ')
"

# Vérifier les journaux PAM
grep pam_block_afalg /var/log/secure
# Devrait afficher : filtre seccomp appliqué, AF_ALG bloqué

cve-2026-31431-mitigation

Populaires

Comment fonctionne cette atténuation

Architecture

Fichiers

Prérequis

Démarrage rapide

Référence des commandes

Utilisation autonome

Vérification

Vérifier si le noyau est vulnérable

Vérifier que le module PAM est actif

Limitations

Quand supprimer

Licence