DaemonSet per mitigazione Copy Fail

DaemonSet per correggere le vulnerabilità della famiglia Copy Fail su tutti i worker node dei cluster MKS.

Contenuto

• CVE-2026-31431 (Copy Fail)
• CVE-2026-43284, CVE-2026-43500, CopyFail2 (Dirty Flag)

CVE-2026-31431 (Copy Fail)

Descrizione della vulnerabilità

ID CVE: CVE-2026-31431

Link CVE: https://nvd.nist.gov/vuln/detail/CVE-2026-31431

Vettore di attacco e livello di pericolosità secondo CVSS v.3.1:

Punteggio: 7.8 HIGH

Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Breve descrizione:

Copy Fail (CVE-2026-31431) è una vulnerabilità logica nel sottosistema dell'API crittografica del kernel Linux, che consente a un utente normale del sistema di ottenere privilegi di superutente (root). Il PoC funziona su tutte le principali distribuzioni Linux rilasciate dal 2017 fino al momento del rilascio della patch.

Caratteristiche:

• possibilità di utilizzo come primitiva di fuga dal container all'host, a causa dell'uso della cache di pagina (page cache) condivisa sull'intero host
• non richiede accesso remoto — l'utilizzo è possibile solo in presenza di un account locale non privilegiato
• utilizza l'API crittografica del kernel (AF_ALG), che è abilitata per impostazione predefinita nelle configurazioni di quasi tutte le distribuzioni popolari

Cosa fa questo DaemonSet

Il DaemonSet avvia un container su ogni worker node del cluster:

1. Verifica la disponibilità dell'interfaccia AF_ALG AEAD
2. Crea la configurazione /etc/modprobe.d/disable-algif.conf
3. Esegue rmmod algif_aead se il modulo è caricato
4. Verifica che la vulnerabilità sia stata mitigata, richiamando nuovamente il controllo dal punto 1

Utilizzo

1. Scaricare il DaemonSet

wget https://raw.githubusercontent.com/selectel/mks-copy-fail-mitigation/refs/heads/main/copy-fail-mitigation-daemonset.yaml

Oppure clonare il repository:

git clone https://github.com/selectel/mks-copy-fail-mitigation.git
cd mks-copy-fail-mitigation

2. Applicare il DaemonSet

kubectl apply -f copy-fail-mitigation-daemonset.yaml

3. Verificare lo stato di esecuzione

# Проверить статус DaemonSet
kubectl get daemonset -n kube-system cve-2026-31431-mitigation

# Получить список подов
kubectl -n kube-system get pods -l app=cve-2026-31431-mitigation -o wide

4. Visualizzare i log di esecuzione

# Логи initContainer
kubectl -n kube-system logs -l app=cve-2026-31431-mitigation -c mitigation

5. Per eliminare il DaemonSet

kubectl delete -f copy-fail-mitigation-daemonset.yaml

CVE-2026-43284, CVE-2026-43500, CopyFail2 (Dirty Flag)

ID CVE: CVE-2026-43284, CVE-2026-43500

CopyFail2: senza un ID CVE separato

Link CVE:

• https://nvd.nist.gov/vuln/detail/CVE-2026-43284
• https://nvd.nist.gov/vuln/detail/CVE-2026-43500

Breve descrizione:

Dirty Flag / CopyFail2 sono vulnerabilità nel sottosistema IPsec del kernel Linux (moduli esp4, esp6 e rxrpc), che consentono a un utente locale non privilegiato di ottenere privilegi di superutente (root).

Caratteristiche:

• possibilità di utilizzo come primitiva di fuga dal container all'host
• utilizzano i moduli del kernel esp4 (IPsec IPv4), esp6 (IPsec IPv6) e rxrpc (protocollo RxRPC), che sono abilitati per impostazione predefinita nella maggior parte delle distribuzioni

Cosa fa questo DaemonSet

Il DaemonSet avvia un container su ogni worker node del cluster:

1. Verifica tramite lsmod se i moduli esp4, esp6, rxrpc sono caricati
2. Crea la configurazione /etc/modprobe.d/disable-esp-rxrpc.conf con le regole install esp4/esp6/rxrpc /bin/false
3. Esegue rmmod per ogni modulo se è caricato
4. Verifica che i moduli non siano più caricati tramite un nuovo lsmod

Utilizzo

1. Scaricare il DaemonSet

wget https://raw.githubusercontent.com/selectel/mks-copy-fail-mitigation/refs/heads/main/dirty-flag-copyfail2-mitigation-daemonset.yaml

Oppure clonare il repository:

git clone https://github.com/selectel/mks-copy-fail-mitigation.git
cd mks-copy-fail-mitigation

2. Applicare il DaemonSet

kubectl apply -f dirty-flag-copyfail2-mitigation-daemonset.yaml

3. Verificare lo stato di esecuzione

# Проверить статус DaemonSet
kubectl get daemonset -n kube-system dirty-flag-copyfail2-mitigation

# Получить список подов
kubectl -n kube-system get pods -l app=dirty-flag-copyfail2-mitigation -o wide

4. Visualizzare i log di esecuzione

# Логи initContainer
kubectl -n kube-system logs -l app=dirty-flag-copyfail2-mitigation -c mitigation

5. Per eliminare il DaemonSet

kubectl delete -f dirty-flag-copyfail2-mitigation-daemonset.yaml