CVE-2026-31431 (Copy Fail) – 技術的緩和ツール

1. 概要

このパッケージは、影響を受けるカーネル（バージョン 4.14 から 6.12.84、6.13 から 6.18.21 など）を実行している Linux システム上で、CVE-2026-31431 脆弱性（別名 Copy Fail）を検出し、緩和するための自動ソリューションを提供します。

ツールは以下で構成されています：

統合 Bash スクリプト (mitigate_copyfail.sh)：
- Phalanx-CCS（アクティブな攻撃面チェック）と Silent4Labs（リスク評価）を実行します。
- カーネル設定（CONFIG_CRYPTO_USER_API_AEAD=m|y）を検出します。
- 適切な緩和策を適用します：
  - ロード可能モジュール (=m)：install algif_aead /bin/false を含む /etc/modprobe.d/disable-algif-aead.conf を作成し、モジュールをアンロードします（rmmod）。
  - 組み込みモジュール (=y)：カーネルブートパラメータ initcall_blacklist=algif_aead_init を追加します（再起動が必要）。
- 最終状態を確認し、Silent4Labs のスコアとリスクレベルを抽出します。
Ansible プレイブック (mitigation.yml)：
- スクリプトをリモートサーバーにコピーします。
- 緩和スクリプトを実行し、その出力をキャプチャします。
- ANSI カラーコードを除去します。
- 最終的な Phalanx ステータスと Silent4Labs の値を解析します。
- 人間が読める形式のサマリーを表示し、コントロールマシンに詳細なログを保存します。

重要な注意点: 緩和策は一時的です。恒久的な修正は、パッチ a664bf3d603d を含むカーネルバージョン（≥6.18.22、≥6.19.12 または ≥7.0）にアップグレードすることです。

2. 要件

2.1. コントロールマシン（Ansible を実行する場所）

Ansible 2.9 以上
Python 3.6 以上
ターゲットサーバーへの SSH アクセス（become: yes を使用）

2.2. リモートサーバー

Bash 4+
Python 3 （Phalanx-CCS 用）
sudo 権限（緩和策を適用するため）
影響を受けるカーネル（オプション。カーネルがすでにパッチされている場合、スクリプトは変更を行いません）

検出スクリプト（Phalanx-CCS および Silent4Labs）は安全であり、脆弱性を悪用するものではありません。攻撃面を確認するだけです。

3. リポジトリ構造

cve-2026-31431-mitigation/
├── README.md
├── scripts/
│   ├── mitigate_copyfail.sh      # 統一スクリプト（検出 + 緩和）
│   ├── check_copyfail.py         # Phalanx-CCS（到達可能性チェッカー）
│   └── check-copyfail.sh         # Silent4Labs（リスク評価）
├── ansible/
│   ├── ansible.cfg               # （オプション）Ansible 設定
│   ├── inventory.ini             # サーバーインベントリ
│   └── mitigation.yml            # メインプレイブック
└── resultados_cve/               # ログ用の自動生成フォルダ

4. インストールと設定

4.1. リポジトリのクローン

git clone https://github.com/your-username/cve-2026-31431-mitigation.git
cd cve-2026-31431-mitigation/ansible

4.2. インベントリの準備 (`inventory.ini`)

リモートサーバーの例：

[servers]
server1 ansible_host=192.168.1.10 ansible_user=root

[localhost]
localhost ansible_connection=local

[all:vars]
ansible_become=yes
# ansible_become_password=my_password  # sudo にパスワードを使用する場合

4.3. スクリプトパスの確認

mitigation.yml 内のタスク Copy scripts to remote では、src: "../scripts/{{ item }}" を使用しています。相対パスが正しいことを確認するか、レイアウトに応じて変更してください。

5. 実行方法

ansible/ ディレクトリから以下を実行します：

ansible-playbook -i inventory.ini mitigation.yml -k -K

-k は SSH パスワードを要求します。
-K は become（sudo）パスワードを要求します。

ansible_connection=local で localhost を使用する場合、SSH は不要です。

5.1. 期待される出力

プレイブックは以下のようなプレーンテキストのサマリーを表示します：

==========================================
MITIGATION RESULTS
==========================================
Host: server1
------------------------------------------
  - Status: SYSTEM SECURE
  - Code: (not applicable)
------------------------------------------
  - Final score: 40 / 100
  - Risk level: MEDIUM
==========================================

さらに、完全なスクリプト出力（日付、カーネルバージョン、検出メッセージなど）を含むログファイルが resultados_cve/<hostname>_mitigation.log に保存されます。

6. デバッグモード

抽出された値に ? または Not detected が表示される場合は、mitigation.yml のデバッグタスクを有効にします：

3 つの DEBUG タスクで when: false を when: true に変更するか（または when: true に設定して clean_stdout と正規表現の出力を表示）、
必要に応じて検索パターンを調整するために、プレイブックを再実行して出力を確認します。

7. カスタマイズ

7.1. ログディレクトリの変更

タスク Create local results directory と Save full output to local file を編集します：

path: /absolute/path/resultados_cve
dest: "/absolute/path/resultados_cve/{{ inventory_hostname }}_mitigation.log"

7.2. スクリプトのコピーを無効にする（既に存在する場合）

コピータスクをコメントアウトし、Run mitigation script タスク内のパスを既存の場所に変更します。

7.3. リモートスクリプトの自動クリーンアップ

最後のタスク（Clean up remote scripts）で when: false を when: true に変更します。

8. 制限事項と警告

ブートパラメータ (initcall_blacklist) による緩和策の有効化には再起動が必要です。プレイブックは自動的に再起動しません。メンテナンスウィンドウを計画する必要があります。
CONFIG_CRYPTO_USER_API_AEAD=y（組み込みカーネル）のシステムでは、rmmod でモジュールをアンロードできません。唯一の方法はブートパラメータです。
Silent4Labs のスコアは参考値です。緩和策が有効な場合、中程度の値（例：40/100）であってもシステムが悪用可能であることを意味するわけではありません。
検出スクリプトは /proc/crypto および /boot/config-* を読み取るために権限が必要な場合があります。これらは become: yes で実行されます。

9. 参考資料

10. ライセンス

このプロジェクトは MIT ライセンスの下で配布されています。サードパーティのスクリプト（Phalanx-CCS、Silent4Labs）はそれぞれのライセンスを保持します。

プロジェクトを支援する

このツールが役立つと思われましたら、GitHub でスターをいただけると幸いです！

cve-2026-31431-mitigation

人気