deny-af-alg-bpf

विवरण

BPF LSM प्रोग्राम जो AF_ALG (Linux कर्नेल क्रिप्टो API) सॉकेट निर्माण को ब्लॉक करता है और सभी प्रयासों को रिंग बफर के माध्यम से यूज़रस्पेस में लॉग करता है।

यह क्या करता है

• lsm/socket_create हुक से जुड़ता है
• किसी भी socket(AF_ALG, ...) कॉल को -EPERM के साथ अस्वीकार करता है
• संरचित इवेंट (pid, comm) को BPF रिंग बफर में उत्सर्जित करता है
• यूज़रस्पेस डेमन रिंग बफर को पढ़ता है और stderr पर लॉग करता है (systemd जर्नल द्वारा उपभोग किया जाता है)

घटक

प्रोग्राम

• deny_af_alg.bpf.c - मुख्य ब्लॉक लॉजिक, bpf में कार्य (कर्नेल स्पेस)
• deny_af_alg.user.c - यूज़रस्पेस प्रोग्राम
  • bpf प्रोग्राम लोड करता है
  • एक्सपोज़्ड रिंग बफर से जुड़ता है
  • अस्वीकृत एक्सेस के बारे में जानकारी प्राप्त करता है और stdout पर लॉग करता है

Systemd

• deny-af-alg.service - मुख्य सेवा, इसमें यूज़रस्पेस ऐप और bpf प्रोग्राम शामिल है
• deny-af-alg-bpf.service - लीगेसी सेवा, bpftool के माध्यम से कार्य करती है, इसमें लॉगिंग शामिल नहीं है

CVE फिक्स जानकारी

यह eBPF प्रोग्राम CVE-2026-31431 को संबोधित करता है। यह क्रिप्टो सॉकेट तक प्रतिबंधित पहुंच द्वारा कमजोरी का समाधान करता है

आवश्यकताएँ

lsm में bpf की आवश्यकता है

#cat /sys/kernel/security/lsm
lockdown,capability,yama,selinux,bpf

बिल्ड

vmlinux.h पर नोट: vmlinux.h बिल्ड मशीन पर जनरेट किया गया है।

यदि आप किसी भिन्न कर्नेल को लक्षित कर रहे हैं, तो बिल्ड करने से पहले इसे लक्षित मशीन पर पुनः जनरेट करें:

root@kitploit:~

bpftool btf dump file /sys/kernel/btf/vmlinux format c > vmlinux.h

makefile के माध्यम से बिल्ड करें

make

बिल्ड आर्टिफैक्ट प्रोजेक्ट रूट में रखे जाते हैं:

कमांड लाइन के माध्यम से चलाएँ

sudo ./deny_af_alg

आउटपुट

Listening for AF_ALG socket create attempts... (Ctrl-C to stop)
BLOCKED pid=12345  comm=python3

systemd के माध्यम से चलाएँ

deny-af-alg.service फ़ाइल और बाइनरी को लक्षित मशीन पर कॉपी करें।

systemd के माध्यम से चलाएँ

systemctl start deny-af-alg.service

केवल bpf प्रोग्राम को bpftool के माध्यम से मैन्युअल रूप से चलाएँ

bpftool prog loadall deny_af_alg.bpf.o /sys/fs/bpf/deny_af_alg autoattach

अतिरिक्त कमांड

तैयारी

dnf install -y bpftool libbpf-devel clang llvm kernel-devel

संकलन

bpftool btf dump file /sys/kernel/btf/vmlinux format c > vmlinux.h
clang -O2 -g -target bpf -D__TARGET_ARCH_x86 -I/usr/include/bpf -c deny_af_alg.bpf.c -o deny_af_alg.bpf.o

जाँच

bpftool prog list | grep deny_af_alg
sudo cat /sys/kernel/debug/tracing/trace_pipe