copyfail-guard

Ferramenta di rilevamento e mitigazione automatizzati per la vulnerabilità CVE-2026-31431 ("Copy Fail"), un'escalation di privilegi locale (LPE) nel modulo algif_aead (interfaccia AF_ALG) del kernel Linux.

⚠️ Ambito: questo progetto è puramente difensivo. Non contiene, non genera e non fa riferimento a codice di exploit. L'obiettivo è consentire ai team di sicurezza e agli amministratori di sistema di (1) identificare gli host esposti e (2) applicare la mitigazione raccomandata (blocco del modulo algif_aead) fino all'installazione del kernel corretto.

Cosa fa lo strumento

1. Rilevamento (--check)

   • Legge la versione del kernel in esecuzione (uname -r)
   • Verifica se il modulo algif_aead è caricato o disponibile per il caricamento
   • Consulta il changelog del pacchetto kernel installato (apt/dpkg, rpm, zypper) alla ricerca di riferimenti alla patch/CVE
   • Identifica la distribuzione tramite /etc/os-release
   • Restituisce un verdetto: VULNERABILE, MITIGATO (modulo bloccato), CORRETTO (il kernel contiene già la patch) o INDETERMINATO

2. Mitigazione (--mitigate, richiede root)

   • Crea /etc/modprobe.d/disable-algif-aead-cve-2026-31431.conf con install algif_aead /bin/false e blacklist algif_aead
   • Rimuove il modulo dalla memoria se già caricato (rmmod)
   • Riesegue il controllo di rilevamento per confermare che la mitigazione abbia avuto effetto
   • Operazione idempotente: può essere eseguita quante volte si vuole senza effetti collaterali

3. Report (--report json|text)

   • Output leggibile per gli esseri umani o JSON strutturato, pronto per alimentare SIEM, pipeline di audit degli asset o dashboard

Utilizzo rapido

# Solo diagnostica (non richiede root)
sudo ./bin/copyfail-guard --check

# Diagnostica e applica la mitigazione temporanea
sudo ./bin/copyfail-guard --mitigate

# Output in JSON per l'integrazione con altri strumenti
sudo ./bin/copyfail-guard --check --report json

Requisiti: Python 3.8+, Bash, accesso root solo per --mitigate (il controllo funziona senza privilegi elevati, con informazioni limitate).

Avviso importante

• La mitigazione (blocco di algif_aead) è temporanea. Riduce la superficie di attacco ma non sostituisce l'aggiornamento del kernel. Non appena il pacchetto kernel corretto (contenente il commit a664bf3d603d o un backport equivalente) sarà disponibile per la tua distribuzione, dovrà essere applicato e il sistema riavviato.
• Gli ambienti che dipendono da algif_aead (uso diretto di AF_ALG per AEAD da userspace) potrebbero subire impatti funzionali dalla mitigazione. dm-crypt/LUKS, kTLS, IPsec, SSH e le build standard di OpenSSL/GnuTLS normalmente non dipendono da AF_ALG e non sono influenzati.

Struttura del repository

copyfail-guard/
├── bin/
│   └── copyfail-guard        # entrypoint (bash) -> chiama il modulo Python
├── copyfail_guard/
│   ├── __init__.py
│   ├── detect.py              # logica di rilevamento
│   ├── mitigate.py            # logica di mitigazione
│   └── report.py              # formattazione dell'output (testo/JSON)
├── tests/
│   └── test_detect.py
├── LICENSE
└── README.md

Riferimenti

• copy.fail
• NVD — CVE-2026-31431
• Red Hat RHSB-2026-002
• Ubuntu Security Notices (discourse.ubuntu.com)
• Sysdig / Unit 42 / Tenable / Microsoft Security Blog (analisi tecniche)

Licenza

MIT — vedi LICENSE.