Copy Fail शमन DaemonSets

DaemonSet सभी MKS क्लस्टर की worker नोड्स पर Copy Fail परिवार की कमजोरियों को ठीक करने के लिए हैं।

सामग्री

• CVE-2026-31431 (Copy Fail)
• CVE-2026-43284, CVE-2026-43500, CopyFail2 (Dirty Flag)

CVE-2026-31431 (Copy Fail)

कमजोरी का विवरण

CVE ID: CVE-2026-31431

CVE Link: https://nvd.nist.gov/vuln/detail/CVE-2026-31431

CVSS v.3.1 के अनुसार हमला वेक्टर और खतरे का स्तर:

Score: 7.8 HIGH

Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

संक्षिप्त विवरण:

Copy Fail (CVE-2026-31431) Linux कर्नेल के क्रिप्टोग्राफिक API सबसिस्टम में एक तार्किक कमजोरी है, जो सिस्टम के सामान्य उपयोगकर्ता को सुपरयूज़र (root) अधिकार प्राप्त करने की अनुमति देती है। PoC 2017 से पैच रिलीज़ होने तक जारी सभी प्रमुख Linux वितरणों पर काम करता है।

विशेषताएं:

• होस्ट से कंटेनर से बचने के प्रिमिटिव के रूप में उपयोग की संभावना, पूरे होस्ट के सामान्य page cache के उपयोग के कारण
• रिमोट एक्सेस की आवश्यकता नहीं है — उपयोग केवल स्थानीय अनप्रिविलेज्ड खाते की उपस्थिति में संभव है
• कर्नेल के क्रिप्टो-API (AF_ALG) का उपयोग करता है, जो लगभग सभी लोकप्रिय वितरणों के कॉन्फिगरेशन में डिफ़ॉल्ट रूप से सक्षम है

यह DaemonSet क्या करता है

DaemonSet क्लस्टर की प्रत्येक worker नोड पर एक कंटेनर चलाता है:

1. AF_ALG AEAD इंटरफ़ेस की उपलब्धता का परीक्षण करता है
2. कॉन्फ़िगरेशन /etc/modprobe.d/disable-algif.conf बनाता है
3. यदि मॉड्यूल लोड है तो rmmod algif_aead निष्पादित करता है
4. बिंदु 1 से पुनः जाँच करके सत्यापित करता है कि कमजोरी समाप्त हो गई है

उपयोग

1. DaemonSet डाउनलोड करें

wget https://raw.githubusercontent.com/selectel/mks-copy-fail-mitigation/refs/heads/main/copy-fail-mitigation-daemonset.yaml

या रिपॉजिटरी क्लोन करें:

git clone https://github.com/selectel/mks-copy-fail-mitigation.git
cd mks-copy-fail-mitigation

2. DaemonSet लागू करें

kubectl apply -f copy-fail-mitigation-daemonset.yaml

3. निष्पादन स्थिति जांचें

# Проверить статус DaemonSet
kubectl get daemonset -n kube-system cve-2026-31431-mitigation

# Получить список подов
kubectl -n kube-system get pods -l app=cve-2026-31431-mitigation -o wide

4. निष्पादन लॉग देखें

# Логи initContainer
kubectl -n kube-system logs -l app=cve-2026-31431-mitigation -c mitigation

5. DaemonSet हटाने के लिए

kubectl delete -f copy-fail-mitigation-daemonset.yaml

CVE-2026-43284, CVE-2026-43500, CopyFail2 (Dirty Flag)

CVE ID: CVE-2026-43284, CVE-2026-43500

CopyFail2: बिना अलग CVE ID के

CVE Links:

• https://nvd.nist.gov/vuln/detail/CVE-2026-43284
• https://nvd.nist.gov/vuln/detail/CVE-2026-43500

संक्षिप्त विवरण:

Dirty Flag / CopyFail2 — Linux कर्नेल के IPsec सबसिस्टम (esp4, esp6 और rxrpc मॉड्यूल) में कमजोरियाँ हैं, जो स्थानीय अनप्रिविलेज्ड उपयोगकर्ता को सुपरयूज़र (root) अधिकार प्राप्त करने की अनुमति देती हैं।

विशेषताएं:

• होस्ट पर कंटेनर से बचने के प्रिमिटिव के रूप में उपयोग की संभावना
• कर्नेल मॉड्यूल esp4 (IPsec IPv4), esp6 (IPsec IPv6) और rxrpc (प्रोटोकॉल RxRPC) का उपयोग करते हैं, जो अधिकांश वितरणों में डिफ़ॉल्ट रूप से सक्षम हैं

यह DaemonSet क्या करता है

DaemonSet क्लस्टर की प्रत्येक worker नोड पर एक कंटेनर चलाता है:

1. lsmod के माध्यम से जाँचता है कि क्या मॉड्यूल esp4, esp6, rxrpc लोड हैं
2. नियमों के साथ कॉन्फ़िगरेशन /etc/modprobe.d/disable-esp-rxrpc.conf बनाता है install esp4/esp6/rxrpc /bin/false
3. यदि मॉड्यूल लोड है तो प्रत्येक मॉड्यूल के लिए rmmod निष्पादित करता है
4. पुनः lsmod के माध्यम से जाँचता है कि मॉड्यूल अब लोड नहीं हैं

उपयोग

1. DaemonSet डाउनलोड करें

wget https://raw.githubusercontent.com/selectel/mks-copy-fail-mitigation/refs/heads/main/dirty-flag-copyfail2-mitigation-daemonset.yaml

या रिपॉजिटरी क्लोन करें:

git clone https://github.com/selectel/mks-copy-fail-mitigation.git
cd mks-copy-fail-mitigation

2. DaemonSet लागू करें

kubectl apply -f dirty-flag-copyfail2-mitigation-daemonset.yaml

3. निष्पादन स्थिति जांचें

# Проверить статус DaemonSet
kubectl get daemonset -n kube-system dirty-flag-copyfail2-mitigation

# Получить список подов
kubectl -n kube-system get pods -l app=dirty-flag-copyfail2-mitigation -o wide

4. निष्पादन लॉग देखें

# Логи initContainer
kubectl -n kube-system logs -l app=dirty-flag-copyfail2-mitigation -c mitigation

5. DaemonSet हटाने के लिए

kubectl delete -f dirty-flag-copyfail2-mitigation-daemonset.yaml