Wazuh SCA policy: Copy Fail (CVE-2026-31431)

이 정책 파일은:

copy-fail-cve-2026-31431-policy.yml

Copy Fail / CVE-2026-31431에 대한 잠재적 노출 및 완화 상태를 탐지하도록 설계되었습니다.

이 정책이 확인하는 항목

algif_aead가 modprobe 정책을 통해 비활성화되어 있습니다.
algif_aead가 현재 로드되어 있지 않습니다.
완화 파일이 존재합니다 (/etc/modprobe.d/disable-algif.conf).
커널 업데이트 후 재부팅 휴리스틱이 깨끗합니다.
최선 노력 seccomp 제어에 AF_ALG가 포함되어 있습니다 (컨테이너 호스트).

완화 우선 방식인 이유

이 CVE의 경우 배포판 백포트로 인해 간단한 정규식 검사로 정확한 버전 일치를 신뢰하기 어렵습니다. 따라서 이 SCA 정책은 다음에 중점을 둡니다:

런타임 익스플로잇 경로 감소,
운영 패치 위생,
및 컨테이너 강화 신호.

에이전트에 배포

정책을 다음 위치에 복사하세요:

/var/ossec/ruleset/sca/copy-fail-cve-2026-31431-policy.yml

필요한 경우 /var/ossec/etc/ossec.conf에서 SCA를 활성화하세요:

  <sca>
    <enabled>yes</enabled>
    <scan_on_start>yes</scan_on_start>
    <interval>14h</interval>
    <policies>
      <policy>/var/ossec/etc/shared/copy-fail-cve-2026-31431-policy.yml</policy>
    </policies>
  </sca>

매니저 또는 에이전트를 재시작하세요:

sudo systemctl restart wazuh-agent

임시 완화 명령 (공개 지침에서)

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf
sudo rmmod algif_aead 2>/dev/null || true

그런 다음 패치된 커널 업데이트 후 재부팅하세요.

참고 사항

110005 검사는 비컨테이너 호스트에서 **해당 없음(Not applicable)**일 수 있습니다.
환경이 seccomp 프로필을 다른 경로에 저장하는 경우 해당 검사를 복제하거나 조정하세요.
벤더 커널 패키지에 대한 엄격한 검사(Ubuntu/RHEL/SUSE 특정)를 원한다면 패키지 관리자 출력별로 배포판 범위의 검사를 추가하세요.

CVE-2026-31431_SCA_WAZUH

인기