CVE-2026-31431 (Copy Fail) – Strumenti di Mitigazione Tecnica

1. Panoramica

Questo pacchetto fornisce una soluzione automatizzata per rilevare e mitigare la vulnerabilità CVE-2026-31431 (nota come Copy Fail) su sistemi Linux con kernel interessati (versioni da 4.14 a 6.12.84, da 6.13 a 6.18.21, ecc.).

La strumentazione consiste in:

Uno script Bash unificato (mitigate_copyfail.sh) che:
- Esegue Phalanx-CCS (controllo della superficie d'attacco attiva) e Silent4Labs (valutazione del rischio).
- Rileva la configurazione del kernel (CONFIG_CRYPTO_USER_API_AEAD=m|y).
- Applica la mitigazione appropriata:
  - Modulo caricabile (=m): crea /etc/modprobe.d/disable-algif-aead.conf con install algif_aead /bin/false e scarica il modulo (rmmod).
  - Modulo integrato (=y): aggiunge il parametro di boot del kernel initcall_blacklist=algif_aead_init (richiede riavvio).
- Verifica lo stato finale ed estrae il punteggio Silent4Labs e il livello di rischio.
Un playbook Ansible (mitigation.yml) che:
- Copia gli script sui server remoti.
- Esegue lo script di mitigazione e cattura il suo output.
- Rimuove i codici colore ANSI.
- Analizza lo stato finale Phalanx e i valori Silent4Labs.
- Mostra un riepilogo leggibile e salva un log dettagliato sulla macchina di controllo.

Nota importante: La mitigazione è temporanea. La soluzione permanente è aggiornare il kernel a una versione che includa la patch a664bf3d603d (≥6.18.22, ≥6.19.12 o ≥7.0).

2. Requisiti

2.1. Macchina di controllo (dove viene eseguito Ansible)

Ansible 2.9 o superiore
Python 3.6 o superiore
Accesso SSH ai server di destinazione (con become: yes)

2.2. Server remoti

Bash 4+
Python 3 (per Phalanx-CCS)
Privilegi sudo (per applicare la mitigazione)
Kernel interessato (opzionale; se il kernel è già corretto, lo script non apporterà modifiche)

Gli script di rilevamento (Phalanx-CCS e Silent4Labs) sono sicuri e non sfruttano la vulnerabilità; verificano solo la superficie d'attacco.

3. Struttura del repository

cve-2026-31431-mitigation/
├── README.md
├── scripts/
│   ├── mitigate_copyfail.sh      # Script unificato (rilevamento + mitigazione)
│   ├── check_copyfail.py         # Phalanx-CCS (controllo raggiungibilità)
│   └── check-copyfail.sh         # Silent4Labs (valutazione del rischio)
├── ansible/
│   ├── ansible.cfg               # (opzionale) Configurazione Ansible
│   ├── inventory.ini             # Inventario dei server
│   └── mitigation.yml            # Playbook principale
└── resultados_cve/               # Cartella generata automaticamente per i log

4. Installazione e configurazione

4.1. Clonare il repository

git clone https://github.com/your-username/cve-2026-31431-mitigation.git
cd cve-2026-31431-mitigation/ansible

4.2. Preparare l'inventory (`inventory.ini`)

Esempio per un server remoto:

[servers]
server1 ansible_host=192.168.1.10 ansible_user=root

[localhost]
localhost ansible_connection=local

[all:vars]
ansible_become=yes
# ansible_become_password=my_password  # se si utilizza una password per sudo

4.3. Verificare i percorsi degli script

In mitigation.yml, il task Copy scripts to remote utilizza src: "../scripts/{{ item }}". Assicurati che il percorso relativo sia corretto, o modificalo in base alla tua struttura.

5. Esecuzione

Dalla directory ansible/:

ansible-playbook -i inventory.ini mitigation.yml -k -K

-k richiede la password SSH.
-K richiede la password become (sudo).

Quando si utilizza localhost con ansible_connection=local, non è necessario SSH.

5.1. Output previsto

Il playbook mostra un riepilogo in testo semplice simile a:

==========================================
MITIGATION RESULTS
==========================================
Host: server1
------------------------------------------
  - Status: SYSTEM SECURE
  - Code: (not applicable)
------------------------------------------
  - Final score: 40 / 100
  - Risk level: MEDIUM
==========================================

Inoltre, un file di log viene salvato in resultados_cve/<hostname>_mitigation.log contenente l'output completo dello script (data, versione del kernel, messaggi di rilevamento, ecc.).

6. Modalità di debug

Se i valori estratti mostrano ? o Not detected, abilita i task di debug in mitigation.yml:

Cambia when: false in when: true nei tre task DEBUG (o imposta when: true per visualizzare clean_stdout e gli output delle regex).
Esegui di nuovo il playbook e osserva l'output per regolare i pattern di ricerca se necessario.

7. Personalizzazione

7.1. Cambiare la directory dei log

Modifica i task Create local results directory e Save full output to local file:

path: /absolute/path/resultados_cve
dest: "/absolute/path/resultados_cve/{{ inventory_hostname }}_mitigation.log"

7.2. Disabilitare la copia degli script (se già presenti)

Commenta i task di copia e regola il percorso nel task Run mitigation script per puntare alla posizione esistente.

7.3. Pulire automaticamente gli script remoti

Cambia when: false in when: true nell'ultimo task (Clean up remote scripts).

8. Limitazioni e avvertenze

La mitigazione tramite parametro di boot (initcall_blacklist) richiede un riavvio per avere effetto. Il playbook non riavvia automaticamente; è necessario pianificare una finestra di manutenzione.
Su sistemi con CONFIG_CRYPTO_USER_API_AEAD=y (kernel integrato), il modulo non può essere scaricato con rmmod; l'unico modo è il parametro di boot.
Il punteggio Silent4Labs è indicativo; un valore medio (es. 40/100) non significa che il sistema sia sfruttabile se la mitigazione è attiva.
Gli script di rilevamento potrebbero aver bisogno di privilegi per leggere /proc/crypto e /boot/config-*; vengono eseguiti con become: yes.

9. Riferimenti

10. Licenza

Questo progetto è distribuito sotto licenza MIT. Gli script di terze parti (Phalanx-CCS, Silent4Labs) mantengono le rispettive licenze.

Supporta il progetto

Se trovi utile questo strumento, considera di lasciare una stella su GitHub!

cve-2026-31431-mitigation

Più Popolari