CVE-2026-31431 - सत्यापन और शमन स्क्रिप्ट

यह रिपॉजिटरी एक Bash स्क्रिप्ट का दस्तावेजीकरण करती है जिसका उपयोग Linux होस्टों पर CVE-2026-31431 के प्रति जोखिम का आकलन करने के लिए किया जाता है, जिसमें Ubuntu पर विशेष ध्यान दिया गया है, और algif_aead मॉड्यूल को ब्लॉक करके एक सरल शमन लागू करने के लिए किया जाता है।

भाषा संस्करण:

• अंग्रेज़ी: README.md
• पुर्तगाली: README.pt-BR.md

स्क्रिप्ट तीन मोड का समर्थन करती है:

• --check: होस्ट जानकारी एकत्र करें और वर्तमान स्थिति को वर्गीकृत करें।
• --mitigate: कमजोर मॉड्यूल को ब्लॉक करने के लिए एक modprobe नियम बनाएं और इसे अनलोड करने का प्रयास करें।
• --update: apt के माध्यम से कर्नेल पैकेज अपग्रेड चलाएं।

कमजोरी के बारे में

CVE-2026-31431, जिसे सार्वजनिक रूप से Copy Fail के रूप में संदर्भित किया जाता है, Linux कर्नेल में एक स्थानीय विशेषाधिकार वृद्धि कमजोरी है जो algif_aead मॉड्यूल से जुड़ी है, जो AF_ALG के माध्यम से कर्नेल यूज़रस्पेस क्रिप्टो API के AEAD इंटरफ़ेस को लागू करता है।

व्यावहारिक रूप से, यह समस्या एक कम-विशेषाधिकार वाले स्थानीय उपयोगकर्ता को इस सबसिस्टम के मेमोरी-हैंडलिंग पथ में एक तर्क दोष का दुरुपयोग करने और प्रभाव को पूर्ण सिस्टम अखंडता समझौते तक बढ़ाने की अनुमति देती है। kernel.org द्वारा प्रकाशित और NVD में परिलक्षित स्कोर CVSS 7.8 है, जिसमें वेक्टर AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H है, जिसका अर्थ है कि हमले के लिए स्थानीय निष्पादन की आवश्यकता होती है लेकिन गोपनीयता, अखंडता और उपलब्धता पर उच्च प्रभाव पड़ता है।

इसे कब पेश और प्रकट किया गया

• शोषण योग्य मूल कारण को कर्नेल में 2017 में पेश किया गया था, जब algif_aead में एक इन-प्लेस ऑप्टिमाइज़ेशन जोड़ा गया था।
• CVE को NVD में 22 अप्रैल, 2026 को प्रकाशित किया गया था।
• Copy Fail नाम से और एक सार्वजनिक प्रूफ ऑफ कॉन्सेप्ट के साथ समस्या का व्यापक सार्वजनिक प्रकटीकरण 29 अप्रैल, 2026 को हुआ।
• मुख्य अपस्ट्रीम फिक्स 1 अप्रैल, 2026 को प्रतिबद्ध किया गया था, व्यापक अंतिम-उपयोगकर्ता प्रकटीकरण से पहले।

यह किसका शोषण करता है

प्रकाशित तकनीकी सलाहों के अनुसार, यह दोष निम्नलिखित के संयोजन पर निर्भर करता है:

• कर्नेल AF_ALG इंटरफ़ेस
• algif_aead मॉड्यूल
• 2017 में पेश किया गया एक इन-प्लेस ऑपरेशन ऑप्टिमाइज़ेशन
• इस इंटरफ़ेस को splice() के साथ जोड़ना

व्यावहारिक परिणाम एक स्थानीय प्रक्रिया की क्षमता है जो पठनीय फ़ाइलों के पेज-कैश-समर्थित पेजों में एक छोटा नियंत्रित लेखन कर सकती है। अनुकूल परिस्थितियों में, यह एक सीमित स्थानीय पैर जमाने को root विशेषाधिकार वृद्धि में बदलने के लिए पर्याप्त है।

यह कंपनी को कैसे प्रभावित करता है

वास्तविक जोखिम केवल "कमजोर Linux कर्नेल चलाना" नहीं है, बल्कि कम-विश्वास वाले स्थानीय कोड को इस कर्नेल पथ तक पहुंचने देना है। एंटरप्राइज़ वातावरण में, इसका आमतौर पर निम्नलिखित पर अधिक जोखिम होता है:

• मल्टी-यूज़र सर्वर
• जंप होस्ट और बैस्टियन
• CI/CD रनर
• अविश्वसनीय कोड चलाने वाले कंटेनरीकृत वर्कलोड
• Kubernetes क्लस्टर
• ऑटोमेशन, एजेंट, प्लगइन्स या तृतीय-पक्ष जॉब होस्ट करने वाले VM

यदि किसी हमलावर के पास पहले से ही किसी प्रकार का स्थानीय निष्पादन है, यहां तक कि root के बिना भी, यह CVE होस्ट समझौते की दिशा में अगला कदम बन सकता है। व्यवहार में, यह निम्नलिखित के जोखिम का विस्तार करता है:

• पूर्ण सर्वर अधिग्रहण
• स्थानीय बाइनरी या आर्टिफैक्ट का संशोधन
• क्रेडेंशियल, टोकन और निवासी रहस्यों की चोरी
• अन्य संपत्तियों तक पार्श्व गति
• पाइपलाइनों और बिल्ड चेन की तोड़फोड़

algif_aead मॉड्यूल किस लिए उपयोग किया जाता है

algif_aead कर्नेल यूज़रस्पेस क्रिप्टो इंटरफ़ेस (AF_ALG) का हिस्सा है। यह एप्लिकेशन को सॉकेट पर कर्नेल क्रिप्टोग्राफ़िक प्रिमिटिव का उपयोग करने की अनुमति देता है, विशेष रूप से AEAD ऑपरेशन (एसोसिएटेड डेटा के साथ प्रमाणित एन्क्रिप्शन)।

यह मॉड्यूल आमतौर पर अधिकांश मानक सर्वर वर्कलोड के लिए आवश्यक नहीं है। CERT-EU द्वारा प्रकाशित शमन मार्गदर्शन के अनुसार, अस्थायी शमन के रूप में algif_aead को अक्षम करना:

• dm-crypt या LUKS को प्रभावित नहीं करना चाहिए
• kTLS को प्रभावित नहीं करना चाहिए
• IPsec/XFRM को प्रभावित नहीं करना चाहिए
• मानक उपयोग में OpenSSL, GnuTLS, NSS, या SSH को प्रभावित नहीं करना चाहिए

दूसरी ओर, इसे अक्षम करना निम्नलिखित को प्रभावित कर सकता है:

• स्पष्ट रूप से afalg इंजन का उपयोग करने के लिए कॉन्फ़िगर किए गए एप्लिकेशन
• सॉफ़्टवेयर जो सीधे AF_ALG सॉकेट खोलता है
• कस्टम इंटीग्रेशन जो कर्नेल क्रिप्टो API के माध्यम से aead, skcipher, या hash का उपयोग करते हैं

दूसरे शब्दों में, अधिकांश कॉर्पोरेट होस्टों के लिए, मॉड्यूल को ब्लॉक करने का प्रभाव कम होता है। उपकरणों, कस्टम क्रिप्टोग्राफ़िक स्टैक, या अत्यधिक अनुकूलित सॉफ़्टवेयर पथों में, रोलआउट से पहले प्रभाव को मान्य किया जाना चाहिए।

मॉड्यूल को अक्षम करने का परिचालन प्रभाव

मॉड्यूल को ब्लॉक करने से जोखिम तुरंत कम हो जाता है, लेकिन इसके साथ कुछ समझौते भी आते हैं:

• AF_ALG पर निर्भर एप्लिकेशन शुरू होने में विफल हो सकते हैं या कर्नेल-समर्थित क्रिप्टो त्वरण खो सकते हैं
• कस्टम वर्कलोड केवल रनटाइम पर विफल हो सकते हैं, बूट पर नहीं
• यदि मॉड्यूल पहले से लोड है, तो शमन केवल सफल अनलोड या रीबूट के बाद ही पूरा होता है

उत्पादन वातावरण के लिए, सुरक्षित दृष्टिकोण एक नियंत्रित रखरखाव विंडो में शमन लागू करना और बाद में महत्वपूर्ण एप्लिकेशन को मान्य करना है।

अनुशंसित स्थायी फिक्स

मॉड्यूल को ब्लैकलिस्ट करना केवल एक अस्थायी शमन है। स्थायी फिक्स है:

1. वितरण विक्रेता द्वारा प्रदान किया गया पैच किया हुआ कर्नेल स्थापित करें
2. होस्ट को रीबूट करें ताकि नया कर्नेल वास्तव में लोड हो
3. सत्यापित करें कि होस्ट अब प्रभावित के रूप में रिपोर्ट नहीं किया गया है
4. उसके बाद ही तय करें कि मॉड्यूल ब्लैकलिस्ट को बनाए रखा जाना चाहिए या नहीं

अतिरिक्त अनुशंसित उपाय:

• स्थानीय उपयोगकर्ताओं, कंटेनरों या अविश्वसनीय कोड निष्पादन वाले होस्टों पर पैचिंग को प्राथमिकता दें
• जहां लागू हो, कंटेनरों और पाइपलाइनों में seccomp के साथ AF_ALG सॉकेट निर्माण को प्रतिबंधित करें
• समीक्षा करें कि afalg या कर्नेल क्रिप्टो API स्पष्ट रूप से कहां उपयोग किया जाता है
• कर्नेल संस्करणों और लंबित रीबूट की सूची बनाए रखें
• CI/CD रनर और Kubernetes नोड्स को उच्च प्राथमिकता के रूप में मानें

स्क्रिप्ट क्या जांचती है

स्क्रिप्ट निम्नलिखित का निरीक्षण करती है:

• होस्ट होस्टनेम
• चल रहा कर्नेल संस्करण
• /etc/os-release के माध्यम से ऑपरेटिंग सिस्टम
• algif_aead मॉड्यूल की उपस्थिति
• क्या मॉड्यूल वर्तमान में लोड है
• क्या मॉड्यूल modprobe नियम द्वारा ब्लॉक किया गया है
• क्या होस्ट को रीबूट की आवश्यकता है (/var/run/reboot-required)
• Ubuntu Pro द्वारा pro fix CVE-2026-31431 --dry-run के माध्यम से रिपोर्ट की गई स्थिति, जब उपलब्ध हो

इसके आधार पर, यह निम्नलिखित वर्गीकरणों में से एक लौटाता है:

• PATCHED_OR_NOT_AFFECTED
• LIKELY_NOT_VULNERABLE
• MITIGATED
• VULNERABLE_MODULE_LOADED
• POTENTIALLY_VULNERABLE
• UNKNOWN

वर्गीकरण तर्क

संक्षेप में:

• यदि Ubuntu टूलिंग इंगित करता है कि होस्ट प्रभावित नहीं है या पहले से ठीक है, तो स्थिति PATCHED_OR_NOT_AFFECTED बन जाती है।
• यदि algif_aead मॉड्यूल वर्तमान कर्नेल में मौजूद नहीं है, तो स्थिति LIKELY_NOT_VULNERABLE होती है।
• यदि मॉड्यूल मौजूद है लेकिन ब्लॉक किया गया है और लोड नहीं है, तो स्थिति MITIGATED बन जाती है।
• यदि Ubuntu इंगित करता है कि होस्ट प्रभावित है और मॉड्यूल लोड है, तो स्थिति VULNERABLE_MODULE_LOADED बन जाती है।
• यदि मॉड्यूल मौजूद है और लोड करने योग्य है लेकिन पैच स्थिति की पुष्टि नहीं की जा सकती है, तो स्थिति POTENTIALLY_VULNERABLE बन जाती है।

आवश्यकताएँ

• Bash
• modinfo
• modprobe
• lsmod
• awk
• grep
• hostname
• uname
• --update के लिए apt-get
• गैर-root उपयोगकर्ता के रूप में चलाते समय sudo
• Ubuntu पर विश्लेषण को समृद्ध करने के लिए वैकल्पिक रूप से pro

उपयोग

यदि स्क्रिप्ट फ़ाइल का नाम check_cve_2026_31431.sh है:

chmod +x check_cve_2026_31431.sh
./check_cve_2026_31431.sh --check

डिफ़ॉल्ट जांच

./check_cve_2026_31431.sh --check

उदाहरण आउटपुट:

Host: srv-app-01
OS: Ubuntu 24.04 LTS
Kernel: 6.8.0-58-generic
CVE: CVE-2026-31431
Module exists: 1
Module loaded: 0
Module blocked: 1
Ubuntu affected: yes
Fix available: yes
Reboot required: 0

Status: MITIGATED
Reason: algif_aead exists but is blocked and not loaded

JSON आउटपुट

./check_cve_2026_31431.sh --check --json

उदाहरण: