Politica SCA di Wazuh: Copy Fail (CVE-2026-31431)

Questo file di policy:

• copy-fail-cve-2026-31431-policy.yml

è progettato per rilevare la probabile esposizione e lo stato di mitigazione per Copy Fail / CVE-2026-31431.

Cosa controlla questa policy

1. algif_aead è disabilitato tramite la policy modprobe.
2. algif_aead non è attualmente caricato.
3. Il file di mitigazione esiste (/etc/modprobe.d/disable-algif.conf).
4. Le euristiche di riavvio dopo aggiornamento del kernel sono pulite.
5. Il controllo seccomp best-effort include AF_ALG (host container).

Perché è orientato alla mitigazione

Per questa CVE, i backport delle distribuzioni rendono inaffidabile il match esatto della versione con semplici controlli regex. Quindi questa policy SCA si concentra su:

• riduzione del percorso di exploit runtime,
• igiene operativa delle patch,
• e segnali di hardening dei container.

Distribuzione sull'agente

Copia la policy in:

• /var/ossec/ruleset/sca/copy-fail-cve-2026-31431-policy.yml

Abilita SCA in /var/ossec/etc/ossec.conf se necessario:

  <sca>
    <enabled>yes</enabled>
    <scan_on_start>yes</scan_on_start>
    <interval>14h</interval>
    <policies>
      <policy>/var/ossec/etc/shared/copy-fail-cve-2026-31431-policy.yml</policy>
    </policies>
  </sca>

Riavvia il manager o l'agente:

sudo systemctl restart wazuh-agent

Comandi di mitigazione temporanea (dalla guida pubblica)

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf
sudo rmmod algif_aead 2>/dev/null || true

Quindi riavvia dopo l'aggiornamento del kernel con patch.

Note

• Il check 110005 potrebbe essere Non applicabile su host non container.
• Se il tuo ambiente memorizza i profili seccomp in un altro percorso, duplica/adatta quel check.
• Se desideri controlli rigorosi dei pacchetti kernel del fornitore (specifici per Ubuntu/RHEL/SUSE), aggiungi controlli scoped per distribuzione in base all'output del gestore pacchetti.