कॉपी फेल - CVE-2026-31431 डिटेक्टर और मिटिगेटर

CVE-2026-31431 (कॉपी फेल) के प्रति संवेदनशीलता का पता लगाएं और वैकल्पिक रूप से संवेदनशील सिस्टम पर algif_aead कर्नेल मॉड्यूल को अक्षम करके होस्ट-स्तरीय मिटिगेशन लागू करें।

इस रिपॉजिटरी में क्या है

• copyfail-check.sh — कर्नेल पैच स्थिति, रनटाइम मॉड्यूल एक्सपोज़र और मिटिगेशन स्थिति की जाँच करता है।
• --mitigate के माध्यम से वैकल्पिक स्वचालित मिटिगेशन।
• मानव-पठनीय निर्णय आउटपुट: NOT AFFECTED, PATCHED, NOT EXPLOITABLE, MITIGATED, MITIGATED (REBOOT PENDING), या AFFECTED।

भेद्यता सारांश

2017 का इन-प्लेस AEAD अनुकूलन (कमिट 72548b093ee3, कर्नेल 4.14) एक अनप्रिविलेज्ड स्थानीय हमलावर को किसी भी पठनीय फ़ाइल के विरुद्ध नियंत्रित पेज-कैश राइट प्रिमिटिव प्राप्त करने की अनुमति देता है, जिससे रूट तक विशेषाधिकार वृद्धि संभव होती है। कंटेनर वातावरण में, वही प्रिमिटिव कंटेनर एस्केप की सुविधा दे सकता है।

4.14 से पहले के कर्नेल प्रभावित नहीं हैं। इसमें Ubuntu का 3.13 कर्नेल (Trusty 14.04 GA) और 4.4 कर्नेल (Xenial 16.04 GA, Trusty HWE) शामिल हैं — ये संवेदनशील कमिट से पहले के हैं।

कमिट संदर्भ

डिस्ट्रोज़ अपने स्वयं के कमिट पहचानकर्ताओं के साथ पैच बैकपोर्ट करते हैं। स्क्रिप्ट पैकेज चेंजलॉग में CVE ID खोजती है, जो बैकपोर्टेड कर्नेल के लिए अपस्ट्रीम हैश से अधिक विश्वसनीय है।

प्रभावित Ubuntu रिलीज़

Ubuntu सुरक्षा टीम एक kmod पैकेज अपडेट वितरित करती है जो /etc/modprobe.d/disable-algif_aead.conf में install algif_aead /bin/false लिखता है। यह स्क्रिप्ट समान सामग्री के साथ समान फ़ाइल बनाती है और उस दृष्टिकोण के साथ पूरी तरह से संगत है। आधिकारिक पैकेज अपडेट लागू करना (sudo apt install --only-upgrade kmod) Ubuntu पर अनुशंसित मार्ग है; यह स्क्रिप्ट गैर-Ubuntu सिस्टम या अपडेट-पूर्व ट्राइएज के लिए समकक्ष कवरेज प्रदान करती है।

त्वरित प्रारंभ

स्थानीय

chmod +x copyfail-check.sh
sudo ./copyfail-check.sh                # केवल पहचान
sudo ./copyfail-check.sh --mitigate     # पहचान + प्रभावित होने पर मिटिगेशन लागू करें

रिमोट (GitHub से सीधे चलाएं, डाउनलोड की आवश्यकता नहीं)

स्क्रिप्ट को सीधे main से स्ट्रीम करें और निष्पादित करें। bash -s -- फॉर्म -- के बाद के तर्कों को स्क्रिप्ट में अग्रेषित करता है, इसलिए --mitigate स्क्रिप्ट तक पहुंचता है, bash तक नहीं।

# केवल पहचान
curl -fsSL https://raw.githubusercontent.com/Webhosting4U/Copy-Fail_Detect_and_mitigate_CVE-2026-31431/main/copyfail-check.sh | sudo bash

# पहचान + मिटिगेशन
curl -fsSL https://raw.githubusercontent.com/Webhosting4U/Copy-Fail_Detect_and_mitigate_CVE-2026-31431/main/copyfail-check.sh | sudo bash -s -- --mitigate

wget समकक्ष:

wget -qO- https://raw.githubusercontent.com/Webhosting4U/Copy-Fail_Detect_and_mitigate_CVE-2026-31431/main/copyfail-check.sh | sudo bash
wget -qO- https://raw.githubusercontent.com/Webhosting4U/Copy-Fail_Detect_and_mitigate_CVE-2026-31431/main/copyfail-check.sh | sudo bash -s -- --mitigate

सुरक्षा नोट। रिमोट स्क्रिप्ट को सीधे विशेषाधिकार प्राप्त शेल में पाइप करना उस पर भरोसा करता है जो URL निष्पादन के समय प्रदान करता है। एक बार के ट्राइएज के लिए यह स्वीकार्य है; बार-बार या उत्पादन उपयोग के लिए, एक विशिष्ट कमिट पर पिन करें और पहले स्क्रिप्ट का निरीक्षण करें:

root@kitploit:~

curl -fsSL https://raw.githubusercontent.com/Webhosting4U/Copy-Fail_Detect_and_mitigate_CVE-2026-31431/<commit-sha>/copyfail-check.sh -o copyfail-check.sh
less copyfail-check.sh
sudo bash copyfail-check.sh --mitigate

क्या जाँचा जाता है

1. रूट के रूप में चल रहा है
2. कर्नेल संस्करण पूर्व-जाँच — 4.14 से पहले के कर्नेल तुरंत NOT AFFECTED के रूप में बाहर निकलते हैं
3. कर्नेल पैच साक्ष्य, इस क्रम में — कोई भी सकारात्मक संकेत पर्याप्त है:
   • Debian/Ubuntu कर्नेल-पैकेज चेंजलॉग (तीनों फिक्स कमिट हैश और CVE ID खोजता है)
   • RHEL/Fedora कर्नेल-पैकेज चेंजलॉग (समान पैटर्न)
   • /sys/kernel/livepatch/ के अंतर्गत लोडेड कर्नेल लाइवपैच, साथ ही kpatch list और canonical-livepatch status
   • डिस्ट्रो CVE टूलिंग: ubuntu-security-status --cves, dnf updateinfo list cves, zypper patch-check
4. algif_aead मॉड्यूल उपलब्धता (modinfo) और लोड स्थिति (lsmod)
5. /etc/modprobe.d/ के अंतर्गत मौजूदा modprobe-आधारित ब्लॉक नियम — समकक्ष न्यूट्रलाइज़र (install … /bin/false|/bin/true|/sbin/nologin) और स्वीकार करता है; पहचानता है कि ब्लॉक Ubuntu kmod पैकेज से आया है या नहीं

निर्णय के अर्थ

मिटिगेशन क्या करता है

जब --mitigate का उपयोग प्रभावित सिस्टम पर किया जाता है, तो स्क्रिप्ट:

• /etc/modprobe.d/disable-algif_aead.conf बनाती है जिसमें install algif_aead /bin/false होता है
• यदि वर्तमान में लोड है तो algif_aead को अनलोड करने का प्रयास करती है
• स्थायी बूट-समय ब्लॉक छोड़ती है

फ़ाइल नाम /etc/modprobe.d/disable-algif_aead.conf आधिकारिक Ubuntu kmod पैकेज अपडेट द्वारा लिखी गई फ़ाइल से मेल खाता है, इसलिए दोनों दृष्टिकोण विनिमेय और संगत हैं।

महत्वपूर्ण नोट

• मिटिगेशन एक अस्थायी जोखिम कमी है, कर्नेल पैचिंग का विकल्प नहीं।
• algif_aead को अक्षम करना सामान्य क्रिप्टो पथों के लिए सुरक्षित है: dm-crypt, LUKS, kTLS, IPsec, डिफ़ॉल्ट OpenSSL/GnuTLS उपयोग, SSH और कर्नेल कीरिंग क्रिप्टो प्रभावित नहीं होते हैं।
• जो एप्लिकेशन स्पष्ट रूप से OpenSSL afalg इंजन लोड करते हैं, वे हार्डवेयर त्वरण खो देंगे; उन्हें सॉफ़्टवेयर क्रिप्टो पर वापस गिरना चाहिए, लेकिन फ़ॉलबैक ट्रिगर करने के लिए रिबूट की आवश्यकता हो सकती है।
• कंटेनर वर्कलोड: भेद्यता प्रकाशित PoC के बिना भी कंटेनर एस्केप सक्षम कर सकती है। वर्कलोड प्रकार की परवाह किए बिना मिटिगेशन या कर्नेल पैच लागू करने की अनुशंसा की जाती है।

खुलासा समयरेखा

आवश्यकताएँ

• Linux होस्ट
• रूट विशेषाधिकार (sudo या रूट शेल)
• मुख्य उपकरण (हमेशा आवश्यक): uname, modinfo, lsmod, awk, grep
• वैकल्पिक उपकरण (मौजूद होने पर उपयोग किए जाते हैं, अधिकार के क्रम में):
  • dpkg — Debian/Ubuntu चेंजलॉग स्कैन और kmod संस्करण जाँच
  • lsb_release — kmod संकेत के लिए Ubuntu रिलीज़ पहचान
  • rpm — RHEL/Fedora चेंजलॉग स्कैन
  • kpatch / canonical-livepatch और /sys/kernel/livepatch/ — लाइव-पैच पहचान
  • ubuntu-security-status, dnf updateinfo, — डिस्ट्रो CVE टूलिंग

रिपॉजिटरी संरचना

.
├── copyfail-check.sh
└── README.md

संदर्भ

• copy.fail — आधिकारिक भेद्यता पृष्ठ
• Copy Fail across Linux distributions — वितरण कवरेज विश्लेषण
• oss-security disclosure — पूर्ण तकनीकी खुलासा
• Ubuntu Security Advisory — Ubuntu-विशिष्ट मार्गदर्शन और फिक्स्ड पैकेज संस्करण
• CVE Record — आधिकारिक CVE प्रविष्टि