CVE-2026-31431 "Copy Fail" — भेद्यता पहचान स्क्रिप्ट

शेल-आधारित स्कैनर CVE-2026-31431 "Copy Fail" के लिए, लिनक्स कर्नेल के क्रिप्टोग्राफिक सबसिस्टम (algif_aead / AF_ALG इंटरफ़ेस) में एक स्थानीय विशेषाधिकार वृद्धि भेद्यता। एक अनाधिकृत स्थानीय उपयोगकर्ता एक setuid बाइनरी (जैसे /usr/bin/su) के मेमोरी पेज कैश में 4 बाइट्स लिख सकता है और रूट शेल प्राप्त कर सकता है — बिना डिस्क पर फ़ाइल को छुए।

• CVSS: 7.8 (उच्च)
• कर्नेल में मौजूद: 2017 (4.14) से
• अपस्ट्रीम फिक्स कमिट: a664bf3d603d
• CISA KEV: 1 मई 2026 को जोड़ा गया
• अधिक जानकारी: copy.fail

समर्थित वितरण

उपरोक्त रिलीज़ पर आधारित Ubuntu डेरिवेटिव (Pop!_OS, Linux Mint, Elementary OS, आदि) भी /etc/os-release में ID_LIKE के माध्यम से पहचाने जाते हैं।

यह क्या जांचता है

उपयोग

# Basic scan
bash cve-2026-31431-detect.sh

# No colour output (log files, CI)
bash cve-2026-31431-detect.sh --no-colour

# JSON output (machine-readable, for pipelines)
bash cve-2026-31431-detect.sh --json

# Quiet mode — only print the summary
bash cve-2026-31431-detect.sh --quiet

# Combine flags
bash cve-2026-31431-detect.sh --json --quiet

रूट की आवश्यकता नहीं है। एक मानक शेल (bash ≥ 4.3) और वैकल्पिक रूप से लाइव AF_ALG सॉकेट परीक्षण के लिए python3 के अलावा कोई पैकेज स्थापित करने की आवश्यकता नहीं है।

निकास कोड

DevSecOps पाइपलाइनों में उपयोग के लिए डिज़ाइन किया गया — JSON आउटपुट को अपने SIEM, टिकटिंग सिस्टम, या अनुपालन डैशबोर्ड पर पाइप करें।

आउटपुट

स्क्रिप्ट दो भाषाओं में परिणाम प्रिंट करती है:

• अंग्रेज़ी — स्थिति, जोखिम विवरण, और चरण-दर-चरण उपचार के साथ पूर्ण विस्तृत सारांश
• हंगेरियन (Magyar) — हंगेरियन में समान सामग्री

दोनों अनुभाग प्रति-जाँच परिणामों के बाद stdout पर मुद्रित होते हैं।

उदाहरण (स्वच्छ प्रणाली)

=== कर्नेल संस्करण ===
  [INFO] डिस्ट्रो प्रकार : ubuntu (id=ubuntu, codename=jammy, version=22.04)
  [INFO] कर्नेल रिलीज़ : 5.15.0-135-generic
  [OK] कर्नेल संस्करण
       कारण : Ubuntu jammy: kernel 5.15.0-135.145 >= पैच किया गया संस्करण 5.15.0-135.145

...

  ✅ संरक्षित — प्रणाली संवेदनशील नहीं है

उदाहरण (संवेदनशील प्रणाली)

  ❌ संवेदनशील — तत्काल कार्रवाई आवश्यक

  ✗ कर्नेल संस्करण
  ✗ पैच उपस्थिति
  ✗ algif_aead मॉड्यूल
  ✗ AF_ALG सॉकेट
  ✗ Setuid बायनरी

उपचार

Debian

sudo apt update && sudo apt full-upgrade && sudo reboot
# After reboot: uname -v  →  must show >= 6.1.170-1 (Bookworm)

Ubuntu

sudo apt update && sudo apt full-upgrade && sudo reboot
# After reboot: cat /proc/version_signature

अस्थायी शमन (यदि कर्नेल अपडेट तुरंत संभव न हो)

केवल तब प्रभावी जब CONFIG_CRYPTO_USER_API_AEAD=m (मॉड्यूल के रूप में निर्मित)। कोई प्रभाव नहीं यदि विकल्प (=y) में संकलित किया गया हो।

echo 'install algif_aead /bin/false' | sudo tee /etc/modprobe.d/disable-algif-aead.conf
sudo rmmod algif_aead 2>/dev/null || true

यह SSH, dm-crypt/LUKS, OpenSSL, GnuTLS, NSS, वेब सर्वर, या डिस्क एन्क्रिप्शन को प्रभावित नहीं करता है।

महत्वपूर्ण नोट्स

• यह स्क्रिप्ट कोई शोषण कोड निष्पादित नहीं करती — केवल कॉन्फ़िगरेशन और संस्करण जाँच।
• Copy Fail केवल स्थानीय विशेषाधिकार वृद्धि है — इंटरनेट के माध्यम से दूरस्थ शोषण संभव नहीं है।
• भेद्यता मेमोरी पेज कैश को संशोधित करती है; डिस्क पर फ़ाइलों को कभी नहीं छुआ जाता, इसलिए फ़ाइल-अखंडता उपकरण (AIDE, Tripwire, आदि) एक सक्रिय हमले का पता नहीं लगाएंगे।
• रीबूट पेज कैश को साफ़ करता है लेकिन भेद्यता बनी रहती है — पैचिंग ही एकमात्र स्थायी समाधान है।
• स्क्रिप्ट को रूट के रूप में चलाने पर AF_ALG सॉकेट जाँच में गलत नकारात्मक परिणाम आ सकते हैं (रूट हमेशा AF_ALG सॉकेट खोल सकता है)।

संदर्भ

• Debian सुरक्षा ट्रैकर: https://security-tracker.debian.org/tracker/CVE-2026-31431
• Ubuntu सुरक्षा: https://ubuntu.com/security/CVE-2026-31431
• Ubuntu USN-7523-1: https://ubuntu.com/security/notices/USN-7523-1
• अपस्ट्रीम फिक्स: https://github.com/torvalds/linux/commit/a664bf3d603dc3bdcf9ae47cc21e0daec706d7a5
• शोषण विवरण: https://copy.fail
• मूल पहचान स्क्रिप्ट: https://github.com/liamromanis101/CVE-2026-31431-Copy-Fail---Vulnerability-Detection-Script

लाइसेंस

MIT