copyfailscan

Assistant Bash : découvrir des hôtes (optionnel CIDR via nmap), puis des vérifications SSH en lecture seule pour CVE-2026-31431 (Copy Fail / algif_aead), CVE-2026-31677 / CVE-2026-43077 (heuristiques AF_ALG RX), CVE-2026-23111 (nftables + espaces de noms utilisateur), CVE-2026-23102 (arm64 SVE/SME). Heuristiques uniquement — pas un exploit ; confirmez auprès de votre distributeur.

Traiter comme sensible : fichier de mots de passe sur le disque ; la sortie liste les hôtes et la posture du noyau.

Prérequis

Identifiants

1. sudo cp copyfail-creds.example /etc/copyfail-creds && sudo nano /etc/copyfail-creds
2. Un user:password par ligne (seul le premier : sépare l'utilisateur du mot de passe).
3. Mode 600 requis : sudo chmod 600 /etc/copyfail-creds
   Si appartient à root, exécutez le script avec sudo (ou chown à votre utilisateur, toujours 600).

Utilisation

CREDS_FILE=/path/to/creds ./copyfail_scan.sh [TARGET]

TARGET : CIDR, IP/hôte unique, ou chemin vers une liste d'hôtes (commentaires # acceptés). Cible omise utilise la valeur par défaut du script (voir TARGET= dans copyfail_scan.sh).

chmod +x copyfail_scan.sh
sudo CREDS_FILE=/etc/copyfail-creds ./copyfail_scan.sh
sudo CREDS_FILE=/etc/copyfail-creds ./copyfail_scan.sh 192.168.1.0/24
CREDS_FILE=~/creds ./copyfail_scan.sh ./hosts.txt

Sortie : stdout uniquement (pas de fichier de rapport). Utilisez tee pour sauvegarder. Après les lignes par hôte : === Rapport de synthèse === (sauf si COPYFAIL_SUMMARY=0) — Confirmé bon vs À vérifier ; les hôtes partageant la même ligne de synthèse sont fusionnés (étiquettes séparées par des virgules).

Environnement

# Exemple : pas de nmap par hôte, séquentiel
COPYFAIL_PREAUTH_NMAP=0 COPYFAIL_PARALLEL=1 sudo ./copyfail_scan.sh 192.168.54.93

Lecture des résultats

• Les étiquettes comme 31431 PATCHED, 31431 VULN - MITIGATED, 31431 NO algif_aead - VERIFY, [SKIP] / [SKIP - PRE-AUTH] sont des heuristiques du script ; les champs de fin 23111= / 23102= résument les sondes nftables/user-ns et arm64 SVE.
• Noyaux *-pve / fournisseur : uname -r peut ne pas correspondre aux tuples NVD en amont — utilisez les avis de sécurité de la distribution/Proxmox et les paquets noyau installés, pas ce script seul.
• Indice d'atténuation (systèmes modulaires) :
  echo 'install algif_aead /bin/false' | sudo tee /etc/modprobe.d/disable-algif.conf && sudo rmmod algif_aead 2>/dev/null
  Les chemins de l'API crypto intégrée diffèrent — suivez la documentation du fournisseur (par ex., liste noire des paramètres du noyau).

Références

• copy.fail — vérifiez auprès de votre fournisseur de système d'exploitation et de NVD.

Licence

MIT — voir LICENSE.