deny-af-alg-bpf

Descrizione

Programma BPF LSM che blocca la creazione di socket AF_ALG (API crittografica del kernel Linux) e registra tutti i tentativi tramite un ring buffer verso lo spazio utente.

Cosa fa

• Si aggancia all'hook lsm/socket_create
• Nega qualsiasi chiamata socket(AF_ALG, ...) con -EPERM
• Emette eventi strutturati (pid, comm) su un ring buffer BPF
• Il demone in spazio utente legge il ring buffer e registra su stderr (consumato dal journal di systemd)

Componenti

Programmi

• deny_af_alg.bpf.c - logica principale di blocco, funziona in bpf (spazio kernel)
• deny_af_alg.user.c - programma in spazio utente
  • carica il programma bpf
  • si connette al ring buffer esposto
  • ottiene informazioni sugli accessi negati e le registra su stdout

Systemd

• deny-af-alg.service - servizio principale, contiene l'app in spazio utente e il programma bpf
• deny-af-alg-bpf.service - servizio legacy, funziona tramite bpftool, non include la registrazione

Informazioni sul Fix CVE

Questo programma eBPF affronta la CVE-2026-31431. Risolve la vulnerabilità limitando l'accesso al socket crittografico

Requisiti

Serve bpf in lsm

#cat /sys/kernel/security/lsm
lockdown,capability,yama,selinux,bpf

Build

Nota su vmlinux.h: vmlinux.h generato sulla macchina di build.

Se si punta a un kernel diverso, rigenerarlo sulla macchina di destinazione prima della build:

root@kitploit:~

bpftool btf dump file /sys/kernel/btf/vmlinux format c > vmlinux.h

Build tramite makefile

make

Gli artefatti della build vengono collocati nella radice del progetto:

Esecuzione tramite riga di comando

sudo ./deny_af_alg

output

Listening for AF_ALG socket create attempts... (Ctrl-C to stop)
BLOCKED pid=12345  comm=python3

Esecuzione tramite systemd

Copiare il file deny-af-alg.service e il binario sulla macchina di destinazione.

Esecuzione tramite systemd

systemctl start deny-af-alg.service

Esecuzione manuale del solo programma bpf tramite bpftool

bpftool prog loadall deny_af_alg.bpf.o /sys/fs/bpf/deny_af_alg autoattach

Comandi aggiuntivi

Preparazione

dnf install -y bpftool libbpf-devel clang llvm kernel-devel

Compilazione

bpftool btf dump file /sys/kernel/btf/vmlinux format c > vmlinux.h
clang -O2 -g -target bpf -D__TARGET_ARCH_x86 -I/usr/include/bpf -c deny_af_alg.bpf.c -o deny_af_alg.bpf.o

Verifica

bpftool prog list | grep deny_af_alg
sudo cat /sys/kernel/debug/tracing/trace_pipe