⚠️ महत्वपूर्ण अस्वीकरण: संरचनात्मक हार्डनिंग जोखिम

यह टूल कर्नेल मॉड्यूल को भौतिक रूप से नाम बदलकर और उन्हें मेमोरी से हटाकर CVE-2026-31431 को कम करने के लिए स्ट्रक्चरल ब्लॉकिंग लागू करता है। उपयोग से पहले, कृपया निम्नलिखित आर्किटेक्चरल जोखिमों से अवगत रहें:

• कर्नेल अपडेट अस्थिरता: हार्डनिंग प्रभाव अस्थायी होते हैं। एक कर्नेल अपडेट नए /lib/modules/ निर्देशिका के अंतर्गत नए, कमजोर मॉड्यूल तैनात करेगा, जिससे पिछला अवरोध अप्रभावी हो जाएगा।
• कार्यात्मक दुष्प्रभाव: AF_ALG (कर्नेल क्रिप्टो API) को अक्षम करने से कुछ विशिष्ट एप्लिकेशन या सेवाएं टूट सकती हैं जो कर्नेल-स्तरीय हार्डवेयर त्वरण पर निर्भर करती हैं (जैसे, विशेष VPN, डिस्क एन्क्रिप्शन उपयोगिताएँ, या कस्टम सुरक्षा उपकरण)।
• शमन बनाम पैचिंग: यह एक वर्कअराउंड है, स्थायी पैच नहीं। इसका उद्देश्य तब तक अंतर को पाटना है जब तक कि वितरण-प्रदत्त पैच किया हुआ कर्नेल उपलब्ध न हो जाए।

अपने जोखिम पर उपयोग करें। solution.sh चलाने के बाद हमेशा अपने सिस्टम के महत्वपूर्ण कार्यों को सत्यापित करें।

SSIA - सिस्टम स्ट्रक्चरल इंटीग्रिटी ऑडिट

लिनक्स कर्नेल क्रिप्टो API (AF_ALG) के माध्यम से LPE (लोकल प्रिविलेज एस्केलेशन) वैक्टर की खोज, निदान और रोकथाम के लिए एक टूल किट।

⚠️ महत्वपूर्ण अस्वीकरण: संरचनात्मक हार्डनिंग जोखिम

यह टूल कर्नेल मॉड्यूल का नाम बदलकर और उन्हें मेमोरी से हटाकर CVE-2026-31431 को संबोधित करने के लिए स्ट्रक्चरल ब्लॉकिंग का उपयोग करता है। मुख्य आर्किटेक्चरल जोखिमों में शामिल हैं:

• कर्नेल अपडेट अस्थिरता: प्रभाव अस्थायी होते हैं। एक कर्नेल अपडेट नई /lib/modules/ निर्देशिका के अंतर्गत नए कमजोर मॉड्यूल तैनात करता है, जिससे पिछला अवरोध अप्रभावी हो जाता है।
• कार्यात्मक दुष्प्रभाव: AF_ALG को अक्षम करने से कर्नेल-स्तरीय हार्डवेयर त्वरण पर निर्भर सेवाएं बाधित हो सकती हैं, जैसे विशेष VPN, डिस्क एन्क्रिप्शन उपयोगिताएँ, या कस्टम सुरक्षा उपकरण।
• शमन बनाम पैचिंग: यह एक वर्कअराउंड है, स्थायी पैच नहीं जो पैच किए गए कर्नेल उपलब्ध होने तक एक पुल के रूप में कार्य करने के लिए है।

अपने जोखिम पर उपयोग करें।

अवलोकन

यह रिपॉजिटरी दो स्क्रिप्ट प्रदान करती है जो AF_ALG (socket(38, 5, 0)) के माध्यम से विशेषाधिकार एस्केलेशन हमलों के खिलाफ निदान → रोकथाम → सत्यापन वर्कफ़्लो बनाती हैं:

• check.sh — बहु-परत सुरक्षा स्थिति ऑडिट (बिना विशेषाधिकार के चलता है)
• solution.sh — मेमोरी से AF_ALG मॉड्यूल को बलपूर्वक हटाता है + भौतिक मॉड्यूल फ़ाइलों की जाँच करता है (रूट आवश्यक)
• restore.sh — AF_ALG मॉड्यूल को पुनः लोड करता है और सिस्टम को solution.sh से पहले की स्थिति में पुनर्स्थापित करता है (रूट आवश्यक)

जाँच

उपयोग

ऑडिट (बिना विशेषाधिकार के)

./check.sh

रोकथाम (रूट आवश्यक)

sudo ./solution.sh

पुनर्स्थापना (रूट आवश्यक)

sudo ./restore.sh

पुनर्स्थापना

restore.sh AF_ALG कर्नेल मॉड्यूल (af_alg, algif_rng, algif_aead, algif_skcipher, algif_hash) को पुनः लोड करके solution.sh के प्रभावों को उलट देता है। यदि भौतिक मॉड्यूल फ़ाइल (af_alg.ko.xz) का नाम बदला गया था या हटा दिया गया था, तो स्क्रिप्ट आपको चेतावनी देगी और मॉड्यूल लोड करने का प्रयास करने से पहले मैन्युअल पुनर्स्थापना के लिए संकेत देगी।

⚠️ चेतावनी

एक लाइव सिस्टम पर solution.sh चलाना जो सक्रिय रूप से AF_ALG का उपयोग करता है (जैसे, IPsec, dm-crypt/LUKS, या किसी भी हार्डवेयर क्रिप्टो ऑफलोड वाला सिस्टम) तुरंत सभी कर्नेल क्रिप्टो संचालन को तोड़ देगा। इसमें शामिल है:

• IPsec VPN कनेक्शन और WireGuard
• डिस्क एन्क्रिप्शन (LUKS/dm-crypt)
• कर्नेल-समर्थित क्रिप्टो का उपयोग करने वाला TLS समापन
• algif_* सॉकेट इंटरफेस पर निर्भर कोई भी कंटेनर या एप्लिकेशन

स्क्रिप्ट AF_ALG कर्नेल मॉड्यूल को बलपूर्वक अनलोड करती है। रीबूट होने तक कर्नेल क्रिप्टो संचालन विफल रहेंगे। यह स्क्रिप्ट केवल एयर-गैप्ड, गैर-उत्पादन, या डिस्पोजेबल सिस्टम के लिए परीक्षण और विश्लेषण उद्देश्यों के लिए है। इसे उत्पादन या महत्वपूर्ण बुनियादी ढांचे पर न चलाएं।

आवश्यकताएँ

• Linux (कोई भी वितरण)
• check.sh को POSIX शेल और /proc//sys के अलावा कोई निर्भरता की आवश्यकता नहीं है
• solution.sh को रूट विशेषाधिकारों की आवश्यकता है
• restore.sh को रूट विशेषाधिकारों की आवश्यकता है
• af_alg_block.so को /etc/ld.so.preload के माध्यम से स्थापित करने के लिए रूट विशेषाधिकारों की आवश्यकता है

WSL2 नोट्स

इस POC का परीक्षण WSL2 पर किया गया है। निम्नलिखित से अवगत रहें:

• WSL2 रीबूट पर सभी स्थिति रीसेट करता है (wsl --shutdown)। इसमें solution.sh से कर्नेल मॉड्यूल स्थिति परिवर्तन, फ़ाइल नाम परिवर्तन, check.sh परिणाम, और इस रिपॉजिटरी में कोई भी स्थानीय फ़ाइल संशोधन शामिल है।
• WSL2 पर स्थायी हार्डनिंग के लिए, .wslconfig, /etc/wsl.conf, या एक ऑटो-स्टार्ट स्क्रिप्ट (जैसे, /etc/rc.local) को अलग से कॉन्फ़िगर करने पर विचार करें।
• WSL2 परीक्षण और सत्यापन उद्देश्यों के लिए उपयुक्त है लेकिन उत्पादन उपयोग या स्थायी सुरक्षा शमन के लिए नहीं।

शमन

AF_ALG हमले वेक्टर को निश्चित रूप से बंद करने के लिए:

1. कर्नेल मॉड्यूल को ब्लैकलिस्ट करें (सबसे विश्वसनीय):

   root@kitploit:~

   echo "blacklist af_alg" | sudo tee /etc/modprobe.d/af_alg-blacklist.conf
   

   या भौतिक फ़ाइल का नाम बदलें:

   root@kitploit:~

   sudo mv /lib/modules/$(uname -r)/kernel/crypto/af_alg.ko.xz \
           /lib/modules/$(uname -r)/kernel/crypto/af_alg.ko.xz.bak
   

2. sysctl के माध्यम से AF_ALG अक्षम करें:

   root@kitploit:~

   sudo sysctl -w net.core.af_alg_disabled=1
   

3. SELinux / AppArmor नीति के माध्यम से AF_ALG सॉकेट निर्माण को ब्लॉक करें

4. अविशेषाधिकार प्राप्त उपयोगकर्ता नेमस्पेस अक्षम करें (कंटेनर वातावरण):

   root@kitploit:~

   sudo sysctl -w kernel.unprivileged_userns_clone=0
   

5. LD_PRELOAD के माध्यम से socket() syscall पर AF_ALG ब्लॉक करें (WSL2 वर्कअराउंड):

   root@kitploit:~

   # सिस्टम-व्यापी स्थापित करें (रूट आवश्यक)
   echo /absolute/path/to/af_alg_block.so | sudo tee -a /etc/ld.so.preload
   

   रिपॉजिटरी में एक पूर्व-निर्मित साझा लाइब्रेरी (af_alg_block.so) शामिल है। यह को इंटरसेप्ट करता है और जब डोमेन (38) होता है तो लौटाता है। अन्य सभी सॉकेट कॉल वास्तविक कार्यान्वयन में अपरिवर्तित पास होते हैं।

लाइसेंस

MIT