Résumé de la vulnérabilité

Une optimisation AEAD en place de 2017 (commit 72548b093ee3, noyau 4.14) permet à un attaquant local non privilégié d'obtenir une primitive d'écriture de cache de pages contrôlée contre tout fichier lisible, permettant une élévation de privilèges vers root. Dans les environnements de conteneurs, la même primitive peut faciliter l'évasion de conteneur.

Les noyaux antérieurs à 4.14 ne sont PAS affectés. Cela inclut le noyau 3.13 d'Ubuntu (Trusty 14.04 GA) et le noyau 4.4 (Xenial 16.04 GA, Trusty HWE) — ceux-ci sont antérieurs au commit vulnérable.

Références de commits

Les distributions rétroportent les correctifs avec leurs propres identifiants de commit. Le script recherche l'ID CVE dans les journaux de modifications des paquets, ce qui est plus fiable que les hachages en amont pour les noyaux rétroportés.

Versions Ubuntu affectées

L'équipe de sécurité Ubuntu distribue une mise à jour du paquet kmod qui écrit install algif_aead /bin/false dans /etc/modprobe.d/disable-algif_aead.conf. Ce script crée le même fichier avec le même contenu et est entièrement compatible avec cette approche. L'application de la mise à jour officielle du paquet (sudo apt install --only-upgrade kmod) est la voie recommandée sur Ubuntu ; ce script fournit une couverture équivalente pour les systèmes non-Ubuntu ou pour un triage avant mise à jour.

Démarrage rapide

Local

À distance (exécution directe depuis GitHub, sans téléchargement)

Diffusez le script directement depuis main et exécutez-le. La forme bash -s -- transmet les arguments après -- au script lui-même, donc --mitigate atteint le script et non bash.

Équivalents wget :

Note de sécurité. Envoyer un script distant directement dans un shell privilégié fait confiance à ce que l'URL sert au moment de l'exécution. Pour un triage ponctuel, c'est acceptable ; pour une utilisation répétée ou en production, épinglez un commit spécifique et inspectez le script d'abord :

root@kitploit:~

curl -fsSL https://raw.githubusercontent.com/Webhosting4U/Copy-Fail_Detect_and_mitigate_CVE-2026-31431/<commit-sha>/copyfail-check.sh -o copyfail-check.sh
less copyfail-check.sh
sudo bash copyfail-check.sh --mitigate

Ce qui est vérifié

1. Exécution en tant que root
2. Pré-vérification de la version du noyau — les noyaux antérieurs à 4.14 sortent immédiatement avec NOT AFFECTED
3. Preuve du correctif du noyau, dans cet ordre — tout signal positif est suffisant :
   • Journal de modifications du paquet noyau Debian/Ubuntu (recherche des trois hachages de commits de correctif et de l'ID CVE)
   • Journal de modifications du paquet noyau RHEL/Fedora (mêmes motifs)
   • Livepatches du noyau chargés sous /sys/kernel/livepatch/, plus kpatch list et canonical-livepatch status
   • Outils CVE de la distribution : ubuntu-security-status --cves, dnf updateinfo list cves, zypper patch-check
4. Disponibilité du module algif_aead (modinfo) et état de chargement (lsmod)
5. Règles de blocage existantes basées sur modprobe sous /etc/modprobe.d/ — accepte les neutralisateurs équivalents (install … /bin/false|/bin/true|/sbin/nologin) et blacklist ; identifie si le blocage provient du paquet kmod Ubuntu
6. Indice du paquet kmod Ubuntu — si le module n'est pas bloqué et que le système est Ubuntu, signale si la mise à jour du paquet d'atténuation est disponible pour la version détectée
7. Utilisation active d'AF_ALG via le compteur de références du module dans /proc/modules (colonne 3) ; signale également une référence au moteur OpenSSL afalg dans /etc/ssl ou /etc/pki/tls
8. Verdict final de risque

Signification des verdicts

Ce que fait l'atténuation

Lorsque --mitigate est utilisé sur un système affecté, le script :

• Crée /etc/modprobe.d/disable-algif_aead.conf contenant install algif_aead /bin/false
• Tente de décharger algif_aead s'il est actuellement chargé
• Laisse un blocage persistant au démarrage

Le nom de fichier /etc/modprobe.d/disable-algif_aead.conf correspond au fichier écrit par la mise à jour officielle du paquet Ubuntu kmod, donc les deux approches sont interchangeables et compatibles.

Notes importantes

• L'atténuation est une réduction temporaire du risque, pas un remplacement du correctif du noyau.
• La désactivation d'algif_aead est sûre pour les chemins crypto courants : dm-crypt, LUKS, kTLS, IPsec, l'utilisation par défaut d'OpenSSL/GnuTLS, SSH et la crypto du trousseau du noyau ne sont pas affectés.
• Les applications qui chargent explicitement le moteur OpenSSL afalg perdront l'accélération matérielle ; elles devraient revenir à la crypto logicielle, mais un redémarrage peut être nécessaire pour déclencher le repli.
• Charges de travail en conteneurs : la vulnérabilité peut permettre l'évasion de conteneur même sans PoC publié. L'application de l'atténuation ou du correctif du noyau est recommandée quel que soit le type de charge de travail.

Chronologie de divulgation

Prérequis

• Hôte Linux
• Privilèges root (sudo ou shell root)
• Outils de base (toujours requis) : uname, modinfo, lsmod, awk, grep
• Outils optionnels (utilisés s'ils sont présents, par ordre d'autorité) :
  • dpkg — analyse du journal de modifications Debian/Ubuntu et vérification de la version kmod
  • lsb_release — détection de la version Ubuntu pour l'indice kmod
  • rpm — analyse du journal de modifications RHEL/Fedora
  • kpatch / canonical-livepatch et /sys/kernel/livepatch/ — détection de live-patch
  • ubuntu-security-status, dnf updateinfo, zypper patch-check — outils CVE de la distribution

Structure du dépôt

Références

• copy.fail — page officielle de la vulnérabilité
• Copy Fail across Linux distributions — analyse de la couverture des distributions
• Divulgation oss-security — divulgation technique complète
• Avis de sécurité Ubuntu — recommandations spécifiques à Ubuntu et versions corrigées des paquets
• Enregistrement CVE — entrée CVE officielle