copyfailscan

Helper Bash: rileva gli host (opzionale CIDR via nmap), quindi esegue controlli SSH di sola lettura per CVE-2026-31431 (Copy Fail / algif_aead), CVE-2026-31677 / CVE-2026-43077 (euristiche AF_ALG RX), CVE-2026-23111 (nftables + namespace utente), CVE-2026-23102 (arm64 SVE/SME). Solo euristiche — non è un exploit; conferma con il tuo distributore.

Da trattare come sensibile: file delle password su disco; l'output elenca host e postura del kernel.

Requirements

Credentials

1. sudo cp copyfail-creds.example /etc/copyfail-creds && sudo nano /etc/copyfail-creds
2. Un user:password per riga (solo il primo : separa l'utente dalla password).
3. Modalità 600 richiesta: sudo chmod 600 /etc/copyfail-creds
   Se di proprietà di root, esegui lo script con sudo (o chown al tuo utente, sempre 600).

Usage

CREDS_FILE=/path/to/creds ./copyfail_scan.sh [TARGET]

TARGET: CIDR, singolo IP/hostname o percorso di un file di host (i commenti # sono ammessi). Se omesso, viene usato il target predefinito dello script (vedi TARGET= in copyfail_scan.sh).

chmod +x copyfail_scan.sh
sudo CREDS_FILE=/etc/copyfail-creds ./copyfail_scan.sh
sudo CREDS_FILE=/etc/copyfail-creds ./copyfail_scan.sh 192.168.1.0/24
CREDS_FILE=~/creds ./copyfail_scan.sh ./hosts.txt

Output: solo stdout (nessun file di report). Usa tee per salvare. Dopo le righe per host: === Summary report === (a meno di COPYFAIL_SUMMARY=0) — Confermati buoni vs Da controllare; gli host che condividono la stessa riga di riepilogo vengono uniti (etichette separate da virgola).

Environment

# Esempio: nessun nmap per host, sequenziale
COPYFAIL_PREAUTH_NMAP=0 COPYFAIL_PARALLEL=1 sudo ./copyfail_scan.sh 192.168.54.93

Reading results

• I tag come 31431 PATCHED, 31431 VULN - MITIGATED, 31431 NO algif_aead - VERIFY, [SKIP] / [SKIP - PRE-AUTH] sono euristiche dello script; i campi finali 23111= / 23102= riassumono le sonde nftables/user-ns e arm64 SVE.
• *-pve / kernel del vendor: uname -r potrebbe non corrispondere alle tuple NVD upstream — usa gli avvisi di sicurezza distro/Proxmox e i pacchetti del kernel installati, non solo questo script.
• Suggerimento di mitigazione (sistemi basati su moduli):
  echo 'install algif_aead /bin/false' | sudo tee /etc/modprobe.d/disable-algif.conf && sudo rmmod algif_aead 2>/dev/null
  I percorsi dell'API crypto integrata differiscono — segui la documentazione del vendor (es. blacklist da riga di comando del kernel).

References

• copy.fail — verifica con il vendor del tuo sistema operativo e con NVD.

License

MIT — vedi LICENSE.