CVE-2026-31431 (Copy Fail) 탐지 및 완화 도구

이 프로젝트는 CVE-2026-31431("Copy Fail"이라고도 함) Linux 커널 로컬 권한 상승 취약점을 탐지하고 완화하기 위한 Bash 스크립트 모음을 제공합니다.

취약점 개요

• CVE 번호: CVE-2026-31431
• 취약점 유형: 로컬 권한 상승(Local Privilege Escalation)
• 영향 구성 요소: Linux Kernel - AF_ALG socket / AEAD 암호화 인터페이스
• 수정 커밋: a664bf3d603d 및 이후 패치
• 공개 이름: Copy Fail

이 취약점은 Linux 커널의 AF_ALG socket 구현에 존재하며, 공격자는 특정 authencesn 바인딩 작업을 구성하여 로컬 권한 상승을 달성할 수 있습니다.

프로젝트 파일

빠른 시작

1. 시스템 영향 여부 탐지

bash check_cve_2026_31431.sh

스크립트는 다음 항목을 하나씩 확인합니다:

• 커널 구성 CONFIG_CRYPTO_USER_API_AEAD 상태
• algif_aead / af_alg 모듈 로드 상태
• AF_ALG socket 생성 기능
• 기존 완화 구성 존재 여부
• authencesn bind 검증(완화 여부 판단)
• 배포판이 알려진 영향 목록에 포함되는지 여부

최종적으로 종합 위험 등급을 출력합니다: UNKNOWN / LOW / MEDIUM / HIGH.

2. 완화 조치 실행

참고: 완화 스크립트는 root 권한으로 실행해야 합니다.

sudo bash cve-2026-31431-mitigate.sh

완화 작업에는 다음이 포함됩니다:

• /etc/modprobe.d/disable-algif-aead.conf 작성, algif_aead 모듈 로드 금지
• algif_aead가 이미 로드된 경우 언로드 시도(rmmod)
• depmod -a 실행하여 모듈 의존성 업데이트
• 완화 전후 AF_ALG socket 생성 및 bind 기능 자동 검증

선택적 매개변수

sudo bash cve-2026-31431-mitigate.sh --verify-only          # 검증만 수행, 구성 작성 안 함
sudo bash cve-2026-31431-mitigate.sh --write-seccomp        # Docker seccomp 구성 추가 생성
sudo bash cve-2026-31431-mitigate.sh --seccomp-path /path   # seccomp 출력 경로 지정

완화 효과 검증

완화가 적용되었는지 판단하는 핵심 기준: authencesn bind 실패.

탐지 스크립트의 "확인 항목 5: 완화 검증(bind authencesn)"은 다음을 실행하려고 시도합니다:

import socket
s = socket.socket(38, 5, 0)  # AF_ALG
s.bind(("aead", "authencesn(hmac(sha256),cbc(aes))"))

• 오류 반환(bind 실패) → 완화됨 또는 기능이 차단됨
• 성공 반환 → 완화되지 않음, 추가 조치 필요

알려진 제한 사항

1. 정적 컴파일 시나리오에서는 무효: 커널 구성 CONFIG_CRYPTO_USER_API_AEAD=y(커널에 정적으로 컴파일됨)인 경우 모듈 비활성화 방식은 일반적으로 효과가 없으며 커널 업그레이드만 가능합니다.
2. 모듈 점유: algif_aead가 사용 중이면 rmmod 언로드가 실패할 수 있으므로 유지보수 창에 재부팅 후 검증하는 것이 좋습니다.
3. 컨테이너 환경: seccomp 구성을 추가하여 socket(AF_ALG) 호출을 차단하는 것이 좋습니다.

후속 권장 사항

1. 근본적 수정: 수정 커밋 a664bf3d603d 및 이후 패치가 포함된 공식 커널 버전으로 업그레이드.
2. 공지 추적:
   • Ubuntu: https://ubuntu.com/security/CVE-2026-31431
   • RHEL: https://access.redhat.com/security/cve/CVE-2026-31431
   • SUSE: 배포판 보안 공지 참조
3. 재검증 확인: 업그레이드 또는 완화 후 탐지 스크립트를 다시 실행하여 bind 검증이 실패하는지 확인.

호환성

스크립트는 다음 환경에서 테스트되었습니다:

• Bash 4.x / 5.x
• 의존성: 표준 GNU 도구(grep, sed, lsmod, modprobe, rmmod, depmod)
• 선택적 의존성: python3 또는 python(AF_ALG socket 검증용)

라이선스

MIT License

면책 조항

이 프로젝트에서 제공하는 스크립트는 보안 탐지 및 임시 완화 목적으로만 사용되며, 공식 커널 패치 업그레이드를 대체할 수 없습니다. 이 스크립트를 사용하기 전에 해당 작업(예: 커널 모듈 비활성화)을 충분히 이해하고 테스트 환경에서 먼저 검증하십시오. 작성자는 이 도구 사용으로 인해 발생하는 직간접적 손실에 대해 책임을 지지 않습니다.