cve-2026-31431-mitigation — Mitigazione basata su Seccomp per CVE-2026-31431, una LPE del kernel Linux. Blocca il socket AF_ALG tramite modulo PAM e wrapper autonomo, con rilevamento automatico dei kernel patchati. | Kitploit

Apertura sessione PAM (su, ssh, login, ecc.)
  |
  v
pam_block_afalg.so (pam_sm_open_session)
  |
  +-- Controllo: il kernel è vulnerabile? (prova socket(AF_ALG))
  |     |
  |     +-- No  --> restituisci PAM_SUCCESS (no-op)
  |     |
  |     +-- Sì --> prctl(PR_SET_SECCOMP, filtro BPF)
  |                   |
  |                   +-- filtro seccomp attivo sul processo figlio di sshd
  |                   +-- ereditato dalla shell dell'utente e da TUTTI i processi figli
  |                   +-- socket(AF_ALG, ...) restituisce EACCES
  v
La shell / il comando dell'utente viene eseguito con protezione seccomp
  |
  +-- su, sudo e tutte le altre syscall funzionano normalmente
  +-- Solo il socket AF_ALG è bloccato

File	Scopo
`pam_block_afalg.c`	Sorgente del modulo PAM. Applica il filtro seccomp all'apertura della sessione.
`pam_minimal.h`	Definizioni minime dei tipi PAM (compila senza pam-devel).
`block_afalg.c`	Binario wrapper seccomp standalone. Per uso non-PAM.
`deploy.sh`	Script di distribuzione. Compila, installa e gestisce il modulo PAM.

# 1. Compila il modulo PAM
gcc -Wall -O2 -fPIC -shared -o pam_block_afalg.so pam_block_afalg.c \
    /usr/lib64/libpam.so.0

# 2. Installa (aggiunge automaticamente le configurazioni PAM a su, sshd, login)
sudo ./deploy.sh install

# 3. Verifica (deve essere una NUOVA sessione)
cat /proc/self/status | grep Seccomp
# Dovrebbe mostrare: Seccomp: 2

python3 -c "
import socket
try:
    s = socket.socket(38,2,0); s.close()
    print('VULNERABILE')
except OSError:
    print('BLOCCATO')
"
# Dovrebbe mostrare: BLOCCATO

# 4. Disinstalla
sudo ./deploy.sh remove

Comando	Descrizione
`deploy.sh install`	Compila il modulo PAM, lo installa in `/lib64/security/`, aggiunge automaticamente le configurazioni PAM
`deploy.sh remove`	Disinstallazione completa: rimuove il modulo, pulisce le configurazioni PAM, elimina i file
`deploy.sh status`	Mostra lo stato dell'installazione, le configurazioni PAM, lo stato del kernel

python3 -c "
import socket
try:
    s = socket.socket(38, socket.SOCK_SEQPACKET, 0)
    s.close()
    print('VULNERABILE: socket AF_ALG disponibile')
except:
    print('SICURO: socket AF_ALG bloccato o non disponibile')
"

# Controlla lo stato seccomp
cat /proc/self/status | grep Seccomp
# Seccomp: 0 = non protetto
# Seccomp: 2 = protetto

# Test del socket AF_ALG
python3 -c "
import socket
try:
    s = socket.socket(38,2,0)
    s.close()
    print('AF_ALG disponibile - NON protetto')
except OSError:
    print('AF_ALG bloccato - PROTETTO')
"

# Controlla i log PAM
grep pam_block_afalg /var/log/secure
# Dovrebbe mostrare: filtro seccomp applicato, AF_ALG bloccato

cve-2026-31431-mitigation

Più Popolari

Come Funziona Questa Mitigazione

Architettura

File

Requisiti

Avvio Rapido

Riferimento Comandi

Utilizzo Standalone

Verifica

Controlla se il kernel è vulnerabile

Verifica che il modulo PAM sia attivo

Limitazioni

Quando Rimuovere

Licenza