Perché non eseguire semplicemente un exploit?

Alcuni controlli di vulnerabilità si riducono a "esegui l'exploit e vedi se funziona". Non è una buona pratica da adottare su host di produzione. copyfail-guard adotta un approccio senza exploit. Non tenta di innescare il bug, modificare binari setuid o dimostrare l'exploitabilità. Invece, ispeziona lo stato dell'host (versione del kernel, stato di caricamento dei moduli, configurazione di modprobe) e segnala se la macchina risulta esposta.

Cosa fa questo strumento

fix è volutamente minimale — non chiama nessun gestore di pacchetti. La correzione permanente richiede l'aggiornamento del kernel tramite il normale meccanismo di aggiornamento della tua distribuzione.

Installazione

Oppure esegui direttamente da un checkout senza installare:

Utilizzo

detect (predefinito)

fix

Anteprima sempre con --dry-run prima di applicare:

Se il modulo è attualmente in uso, il passaggio di scaricamento potrebbe fallire. In tal caso la regola modprobe persistente può comunque essere installata con successo, e copyfail-guard segnalerà il fallimento dello scaricamento come record di azione di tipo avviso piuttosto che fingere che il modulo sia stato rimosso.

Output JSON

--json emette un documento strutturato su stdout, adatto per pipeline jq, Ansible o SOAR:

Codici di uscita

Verdetti

Rimozione della mitigazione

Dopo l'aggiornamento a un kernel patchato, usa il sottocomando reset per rimuovere la regola modprobe installata da fix:

reset è idempotente — se il file è già assente esce con 0 e un messaggio "niente da fare". Quindi riavvia.

Note

Contenitori. fix rifiuta di essere eseguito all'interno di un contenitore perché /proc/modules riflette il kernel dell'host ma il contenitore non ha autorità per caricare o scaricare moduli. Esegui copyfail-guard direttamente sull'host.

algif_aead integrato. Alcuni kernel compilano algif_aead direttamente nell'immagine (CONFIG_CRYPTO_USER_API_AEAD=y). La mitigazione modprobe non ha effetto in questa configurazione; l'unica correzione è l'aggiornamento del kernel. detect segnala unmitigable_builtin in questo caso. Eseguire fix installerà comunque la regola modprobe (che impedisce il caricamento di qualsiasi copia caricabile coesistente) ma l'istanza integrata non è influenzata — l'aggiornamento del kernel e il riavvio sono l'unico vero rimedio.

blacklist vs install … /bin/false. Entrambe le direttive bloccano il normale auto-caricamento, ma install algif_aead /bin/false è più forte perché blocca anche le normali invocazioni esplicite di modprobe algif_aead. Un amministratore con privilegi sufficienti può comunque bypassare la policy modprobe, ad esempio usando strumenti di caricamento moduli di basso livello o flag speciali di modprobe. copyfail-guard installa sempre la forma più forte. Se il tuo sistema ha già una direttiva blacklist semplice, lo strumento segnala mitigated ma emette una nota che consiglia l'aggiornamento.

SELinux/AppArmor. Le scritture in /etc/modprobe.d/ su RHEL normalmente ereditano system_u:object_r:modules_conf_t:s0 dalla directory padre, quindi di solito non è necessario alcun relabel manuale per il file scritto da copyfail-guard.

initramfs. algif_aead normalmente non è incluso nell'immagine di avvio sulle principali distribuzioni, quindi copyfail-guard non esegue update-initramfs -u o dracut -f dopo l'installazione della regola modprobe. Se la tua distribuzione o build locale include algif_aead in initramfs, segui le linee guida su kernel/moduli della tua distribuzione.

Licenza

Apache 2.0 — vedi LICENSE.