Copy Fail Mitigation DaemonSets

MKSクラスターのすべてのワーカーノードでCopy Failファミリーの脆弱性を修正するためのDaemonSet。

目次

• CVE-2026-31431 (Copy Fail)
• CVE-2026-43284, CVE-2026-43500, CopyFail2 (Dirty Flag)

CVE-2026-31431 (Copy Fail)

脆弱性の説明

CVE ID: CVE-2026-31431

CVE Link: https://nvd.nist.gov/vuln/detail/CVE-2026-31431

CVSS v.3.1に基づく攻撃ベクトルと危険度:

Score: 7.8 HIGH

Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

概要:

Copy Fail（CVE-2026-31431）は、Linuxカーネルの暗号APIサブシステムにおける論理的な脆弱性であり、システムの一般ユーザーがスーパーユーザー（root）権限を取得できるようにします。PoCは、2017年からパッチ公開までの間にリリースされた主要なLinuxディストリビューションすべてで動作します。

特徴:

• ホスト全体で共有されるページキャッシュを使用するため、コンテナからホストへのエスケーププリミティブとして使用可能
• リモートアクセスは不要 — ローカルの非特権アカウントが存在する場合にのみ悪用可能
• ほぼすべての主要ディストリビューションの設定でデフォルトで有効になっているカーネルのcrypto API（AF_ALG）を使用

このDaemonSetの機能

DaemonSetは、クラスターの各ワーカーノードでコンテナを起動します。

1. AF_ALG AEADインターフェースの可用性をテストします
2. /etc/modprobe.d/disable-algif.conf構成ファイルを作成します
3. モジュールがロードされている場合はrmmod algif_aeadを実行します
4. 項目1のチェックを再実行して、脆弱性が解消されたことを確認します

使用方法

1. DaemonSetをダウンロード

wget https://raw.githubusercontent.com/selectel/mks-copy-fail-mitigation/refs/heads/main/copy-fail-mitigation-daemonset.yaml

またはリポジトリをクローン:

git clone https://github.com/selectel/mks-copy-fail-mitigation.git
cd mks-copy-fail-mitigation

2. DaemonSetを適用

kubectl apply -f copy-fail-mitigation-daemonset.yaml

3. 実行ステータスを確認

# Проверить статус DaemonSet
kubectl get daemonset -n kube-system cve-2026-31431-mitigation

# Получить список подов
kubectl -n kube-system get pods -l app=cve-2026-31431-mitigation -o wide

4. 実行ログを表示

# Логи initContainer
kubectl -n kube-system logs -l app=cve-2026-31431-mitigation -c mitigation

5. DaemonSetを削除

kubectl delete -f copy-fail-mitigation-daemonset.yaml

CVE-2026-43284, CVE-2026-43500, CopyFail2 (Dirty Flag)

CVE ID: CVE-2026-43284, CVE-2026-43500

CopyFail2: 個別のCVE IDなし

CVE Links:

• https://nvd.nist.gov/vuln/detail/CVE-2026-43284
• https://nvd.nist.gov/vuln/detail/CVE-2026-43500

概要:

Dirty Flag / CopyFail2は、LinuxカーネルのIPsecサブシステム（esp4、esp6、rxrpcモジュール）における脆弱性であり、ローカルの非特権ユーザーがスーパーユーザー（root）権限を取得できるようにします。

特徴:

• コンテナからホストへのエスケーププリミティブとして使用可能
• ほとんどのディストリビューションでデフォルトで有効になっているカーネルモジュールesp4（IPsec IPv4）、esp6（IPsec IPv6）、rxrpc（RxRPCプロトコル）を使用

このDaemonSetの機能

DaemonSetは、クラスターの各ワーカーノードでコンテナを起動します。

1. lsmodを使用して、esp4、esp6、rxrpcモジュールがロードされているか確認します
2. install esp4/esp6/rxrpc /bin/falseルールを含む/etc/modprobe.d/disable-esp-rxrpc.conf構成ファイルを作成します
3. 各モジュールがロードされている場合はrmmodを実行します
4. 再びlsmodを実行して、モジュールがロードされていないことを確認します

使用方法

1. DaemonSetをダウンロード

wget https://raw.githubusercontent.com/selectel/mks-copy-fail-mitigation/refs/heads/main/dirty-flag-copyfail2-mitigation-daemonset.yaml

またはリポジトリをクローン:

git clone https://github.com/selectel/mks-copy-fail-mitigation.git
cd mks-copy-fail-mitigation

2. DaemonSetを適用

kubectl apply -f dirty-flag-copyfail2-mitigation-daemonset.yaml

3. 実行ステータスを確認

# Проверить статус DaemonSet
kubectl get daemonset -n kube-system dirty-flag-copyfail2-mitigation

# Получить список подов
kubectl -n kube-system get pods -l app=dirty-flag-copyfail2-mitigation -o wide

4. 実行ログを表示

# Логи initContainer
kubectl -n kube-system logs -l app=dirty-flag-copyfail2-mitigation -c mitigation

5. DaemonSetを削除

kubectl delete -f dirty-flag-copyfail2-mitigation-daemonset.yaml