CVE-2026-31431 "Copy Fail" — Script di rilevamento vulnerabilità

Scanner basato su shell per CVE-2026-31431 "Copy Fail", una vulnerabilità di escalation dei privilegi locale nel sottosistema crittografico del kernel Linux (algif_aead / interfaccia AF_ALG). Un utente locale non privilegiato può scrivere 4 byte nella page cache in memoria di un binario setuid (ad es. /usr/bin/su) e ottenere una shell di root — senza toccare il file su disco.

• CVSS: 7.8 (ALTO)
• Presente nel kernel dal: 2017 (4.14)
• Commit di fix upstream: a664bf3d603d
• CISA KEV: aggiunto il 1 maggio 2026
• Maggiori informazioni: copy.fail

Distribuzioni supportate

Anche i derivati di Ubuntu basati sulle release sopra indicate (Pop!_OS, Linux Mint, Elementary OS, ecc.) vengono rilevati tramite ID_LIKE in /etc/os-release.

Cosa controlla

Utilizzo

# Scansione di base
bash cve-2026-31431-detect.sh

# Output senza colori (file di log, CI)
bash cve-2026-31431-detect.sh --no-colour

# Output JSON (machine-readable, per pipeline)
bash cve-2026-31431-detect.sh --json

# Modalità silenziosa — stampa solo il riepilogo
bash cve-2026-31431-detect.sh --quiet

# Combina i flag
bash cve-2026-31431-detect.sh --json --quiet

Non richiede root. Nessun pacchetto da installare oltre a una shell standard (bash ≥ 4.3) e opzionalmente python3 per il test live del socket AF_ALG.

Codici di uscita

Progettato per l'uso in pipeline DevSecOps — invia l'output JSON al tuo SIEM, sistema di ticketing o dashboard di conformità.

Output

Lo script stampa i risultati in due lingue:

• Inglese — riepilogo dettagliato completo con stato, ripartizione del rischio e remediation passo-passo
• Ungherese (Magyar) — contenuto identico in ungherese

Entrambe le sezioni vengono stampate su stdout dopo i risultati dei singoli controlli.

Esempio (sistema pulito)

=== Kernel Version ===
  [INFO] Distro flavour : ubuntu (id=ubuntu, codename=jammy, version=22.04)
  [INFO] Kernel release : 5.15.0-135-generic
  [OK] Kernel version
       Reason : Ubuntu jammy: kernel 5.15.0-135.145 >= patched version 5.15.0-135.145

...

  ✅ PROTECTED — SYSTEM IS NOT VULNERABLE

Esempio (sistema vulnerabile)

  ❌ VULNERABLE — IMMEDIATE ACTION REQUIRED

  ✗ Kernel version
  ✗ Patch presence
  ✗ algif_aead module
  ✗ AF_ALG socket
  ✗ Setuid binaries

Remediation

Debian

sudo apt update && sudo apt full-upgrade && sudo reboot
# After reboot: uname -v  →  must show >= 6.1.170-1 (Bookworm)

Ubuntu

sudo apt update && sudo apt full-upgrade && sudo reboot
# After reboot: cat /proc/version_signature

Mitigazione temporanea (se l'aggiornamento del kernel non è immediatamente possibile)

Efficace solo quando CONFIG_CRYPTO_USER_API_AEAD=m (compilato come modulo). Non ha effetto se l'opzione è compilata nel kernel (=y).

echo 'install algif_aead /bin/false' | sudo tee /etc/modprobe.d/disable-algif-aead.conf
sudo rmmod algif_aead 2>/dev/null || true

Questo non influisce su SSH, dm-crypt/LUKS, OpenSSL, GnuTLS, NSS, server web o crittografia del disco.

Note importanti

• Questo script non esegue alcun codice di exploit — solo controlli di configurazione e versione.
• Copy Fail è solo escalation dei privilegi locale — lo sfruttamento remoto via internet non è possibile.
• La vulnerabilità modifica la page cache in memoria; i file su disco non vengono mai toccati, quindi gli strumenti di integrità dei file (AIDE, Tripwire, ecc.) non rileveranno un attacco attivo.
• Un riavvio pulisce la page cache ma la vulnerabilità rimane — la patch è l'unica soluzione permanente.
• Eseguire lo script come root può produrre falsi negativi sul controllo del socket AF_ALG (root può sempre aprire socket AF_ALG).

Riferimenti

• Debian Security Tracker: https://security-tracker.debian.org/tracker/CVE-2026-31431
• Ubuntu Security: https://ubuntu.com/security/CVE-2026-31431
• Ubuntu USN-7523-1: https://ubuntu.com/security/notices/USN-7523-1
• Fix upstream: https://github.com/torvalds/linux/commit/a664bf3d603dc3bdcf9ae47cc21e0daec706d7a5
• Dettagli dell'exploit: https://copy.fail
• Script di rilevamento originale: https://github.com/liamromanis101/CVE-2026-31431-Copy-Fail---Vulnerability-Detection-Script

Licenza

MIT