copyfailscan

Bashヘルパー：ホストを発見し（オプションでnmapによるCIDR）、その後SSH読み取り専用でCVE-2026-31431（Copy Fail / algif_aead）、CVE-2026-31677 / CVE-2026-43077（AF_ALG RXヒューリスティック）、CVE-2026-23111（nftables + ユーザ名前空間）、CVE-2026-23102（arm64 SVE/SME）をチェックします。ヒューリスティックのみ — エクスプロイトではありません。配布元で確認してください。

機密として扱ってください: パスワードファイルがディスク上に保存されます。出力にはホストとカーネルの状態がリストされます。

必要条件

認証情報

1. sudo cp copyfail-creds.example /etc/copyfail-creds && sudo nano /etc/copyfail-creds
2. 1行に1つのuser:password（最初の:のみがユーザーとパスワードを区切ります）。
3. モード 600 が必要：sudo chmod 600 /etc/copyfail-creds
   ルートが所有している場合、スクリプトを**sudo**で実行します（または自分のユーザーにchownし、引き続き600にします）。

使用方法

CREDS_FILE=/path/to/creds ./copyfail_scan.sh [TARGET]

TARGET: CIDR、単一IP/ホスト名、またはホストリストへのパス（#コメント可）。ターゲットを省略するとスクリプトのデフォルトを使用します（copyfail_scan.sh内のTARGET=を参照）。

chmod +x copyfail_scan.sh
sudo CREDS_FILE=/etc/copyfail-creds ./copyfail_scan.sh
sudo CREDS_FILE=/etc/copyfail-creds ./copyfail_scan.sh 192.168.1.0/24
CREDS_FILE=~/creds ./copyfail_scan.sh ./hosts.txt

出力: stdoutのみ（レポートファイルなし）。保存するにはteeを使用してください。ホストごとの行の後に：=== Summary report ===（COPYFAIL_SUMMARY=0の場合を除く）— 確認済み（良好） vs 要確認。同じサマリー行を共有するホストはマージされます（カンマ区切りのラベル）。

環境変数

# 例：ホストごとのnmapなし、逐次実行
COPYFAIL_PREAUTH_NMAP=0 COPYFAIL_PARALLEL=1 sudo ./copyfail_scan.sh 192.168.54.93

結果の読み方

• 31431 PATCHED、31431 VULN - MITIGATED、31431 NO algif_aead - VERIFY、[SKIP] / [SKIP - PRE-AUTH] のようなタグはスクリプトのヒューリスティックです。末尾の 23111= / 23102= フィールドはnftables/ユーザ名前空間とarm64 SVEプローブを要約します。
• *-pve / ベンダーカーネル: uname -r は上流のNVDタプルと一致しない場合があります — このスクリプトだけに頼らず、ディストリビューション/Proxmoxのセキュリティ通知とインストール済みカーネルパッケージを使用してください。
• 緩和策のヒント（モジュールベースのシステム）:
  echo 'install algif_aead /bin/false' | sudo tee /etc/modprobe.d/disable-algif.conf && sudo rmmod algif_aead 2>/dev/null
  組み込みcrypto APIパスは異なります — ベンダーのドキュメントに従ってください（例：カーネルコマンドラインブラックリスト）。

参考資料

• copy.fail — お使いのOSベンダーおよびNVDと相互確認してください。

ライセンス

MIT — LICENSE を参照。