### 모듈 블랙리스트만으로는 충분하지 않은 이유

루트 권한을 가진 결심한 공격자는 모듈 블랙리스트를 우회할 수 있습니다:```bash
# Module blacklist DOES NOT prevent:
insmod /lib/modules/$(uname -r)/kernel/crypto/algif_aead.ko.xz

- 커널 버전이 4.10 이상인지 확인합니다 (취약 범위)
- 커널 릴리스 및 배포판을 식별합니다

#### 2. 모듈 사용 가능 여부 확인```bash
modinfo algif_aead

- 모듈이 현재 로드되었는지 확인
- **중요**: 로드된 모듈 = 적극적으로 악용 가능

#### 4. 활성 소켓 탐지```bash
lsof -U | grep AF_ALG

**SELinux 정책**:```bash
semodule -l | grep cve_2026_31431_af_alg_deny

#### 6. 범주형 상태 판정

cfDr는 각 호스트를 다음 상태 중 하나로 분류합니다:

| 상태 | 조건 | 필요한 조치 |
|--------|-----------|-----------------|
| **취약 - 모듈 로드됨** | 커널 >= 4.10, 모듈 존재 및 로드됨 | **즉시** - 실제 악용 가능 |
| **취약 - 모듈 존재** | 커널 >= 4.10, 모듈 존재, 로드되지 않음 | **높음** - 로드 및 악용 가능 |
| **완화됨 - 모듈 블랙리스트** | 블랙리스트 감지됨 | **낮음** - 모니터링, 추가 보안 계층 적용 |
| **보호됨 - 심층 방어** | 블랙리스트 + SELinux/seccomp/eBPF | **없음** - 완전히 보호됨 |
| **취약하지 않음 - 구형 커널** | 커널 < 4.10 | **없음** - 취약점 이전 버전 |
| **취약하지 않음 - 모듈 없음** | algif_aead 모듈이 커널에 없음 | **없음** - 모듈 사용 불가 |

### 평가 출력

각 호스트는 다음을 받습니다:
1. **콘솔 출력**: 한 줄 요약 상태
2. **상세 파일**: `/root/cve-2026-31431-assessment-<hostname>.txt`
3. **JSON 보고서**: `/tmp/cve-2026-31431-<hostname>.json`

간단한 출력 예시:```
webserver1.example.com: VULNERABLE - Module exists and can be loaded
dbserver2.example.com: PROTECTED - Defense-in-depth (Module Blacklist + SELinux)
appserver3.example.com: NOT VULNERABLE - Module not available

### 실행 흐름

#### 평가 모드 (기본값)```
1. Pre-flight checks
   ↓
2. Gather system facts
   ↓
3. Detect kernel version
   ↓
4. Check module availability
   ↓
5. Check current load status
   ↓
6. Check existing mitigations
   ↓
7. Determine vulnerability status
   ↓
8. Flag vulnerable hosts
   ↓
9. Generate reports
   ↓
10. Create summary
   ↓
11. [Optional] Generate inventory

### 수정 세부 사항

#### 모듈 블랙리스트 (플래그 1)

**기능**:
1. 현재 로드된 `algif_aead` 모듈을 언로드합니다 (`rmmod algif_aead`)
2. `/etc/modprobe.d/blacklist-algif_aead-cve-2026-31431.conf` 파일을 생성합니다:   ```
   blacklist algif_aead
   install algif_aead /bin/true

**포함 내용**:
- 취약점 평가 결과
- 권장 완화 플래그(호스트별로 계산)
- 시스템 세부 정보(커널 버전, SELinux 상태)
- 즉시 적용 가능한 수정 설정

**지능형 권장 사항**:
- SELinux가 활성화된 경우 플래그 3(모듈 블랙리스트 + SELinux)
- SELinux를 사용할 수 없는 경우 플래그 1(모듈 블랙리스트만)
- 생성된 `host_vars`를 통해 호스트별로 사용자 지정 가능

---

## 시스템 암호화에 미치는 영향

### 중요 발견: 표준 RHEL 암호화는 영향을 받지 않음

**신뢰 수준**: ⭐⭐⭐⭐⭐ **높음** - 종합 분석은 [IPsec/XFRM 검증 보고서](https://github.com/parmstro/cfdr/blob/HEAD/docs/IPSEC_VALIDATION.md) 참조

**Enterprise Linux 배포에 좋은 소식:** [CERT-EU](https://cert.europa.eu/publications/security-advisories/2026-005/), [CloudLinux](https://blog.cloudlinux.com/cve-2026-31431-copy-fail-mitigation-and-patches), [HPCsec](https://www.hpcsec.com/2026/04/30/advisory-cve-2026-31431-copy-fail-local-privilege-escalation-via-af-alg-algif_aead/)를 포함한 권위 있는 소스에 따르면, **cfDr의 완화 조치는 표준 RHEL 시스템 암호화 및 서비스에 최소한의 영향 또는 전혀 영향을 미치지 않습니다**.

### 영향을 받지 않는 항목

다음의 중요한 RHEL 암호화 시스템은 **AF_ALG를 사용하지 않으므로** 당사의 수정 조치에 완전히 영향을 받지 않습니다:

#### 핵심 시스템 서비스

| 서비스/구성 요소 | 기능 | 상태 |
|------------------|----------|--------|
| **dm-crypt / LUKS** | 전체 디스크 암호화 | ✅ 영향 없음 |
| **IPsec / XFRM** | VPN 및 암호화된 네트워킹 | ✅ 영향 없음 ([검증됨](https://github.com/parmstro/cfdr/blob/HEAD/docs/IPSEC_VALIDATION.md)) |
| **kTLS** | 커널 TLS 구현 | ✅ 영향 없음 |
| **SSH** | 보안 셸 연결 | ✅ 영향 없음 |

#### 암호화 라이브러리

| 라이브러리 | 용도 | 상태 |
|---------|-------|--------|
| **OpenSSL** (기본값) | SSL/TLS, 인증서, 일반 암호화 | ✅ 영향 없음 |
| **GnuTLS** (기본값) | TLS 구현 | ✅ 영향 없음 |
| **NSS** | Mozilla 네트워크 보안 서비스 | ✅ 영향 없음 |
| **커널 키링** | 커널 키 관리 | ✅ 영향 없음 |

#### 중요 인프라

- ✅ **SSL/TLS** - 모든 웹 서버 암호화에 영향 없음
- ✅ **HTTPS** - 보안 웹 트래픽에 영향 없음
- ✅ **이메일 암호화** (S/MIME, PGP) - 영향 없음
- ✅ **인증서 작업** - 영향 없음
- ✅ **데이터베이스 암호화** - 영향 없음
- ✅ **백업 암호화** - 영향 없음

### 표준 서비스가 AF_ALG를 사용하지 않는 이유

[Linux 커널 암호화 문서](https://www.kernel.org/doc/html/v4.11/crypto/userspace-if.html)에 문서화된 바와 같이, **AF_ALG는 Linux 2.6.38에서 도입된 커널 암호화용 사용자 공간 소켓 인터페이스**입니다. 그러나 대부분의 RHEL 시스템 서비스는 AF_ALG 소켓 계층을 거치지 않고 커널 암호화 API를 **직접** 사용합니다.

[CERT-EU의 보안 권고](https://cert.europa.eu/publications/security-advisories/2026-005/)에 따르면:

> "dm-crypt / LUKS, kTLS, IPsec, SSH 및 기본 OpenSSL / GnuTLS 빌드는 AF_ALG에 의존하지 않으며 AF_ALG 제한의 영향을 받지 않습니다."

아키텍처는 다음과 같습니다:```
┌─────────────────────────────────────────────┐
│  Userspace Applications                     │
├─────────────────────────────────────────────┤
│  Standard Crypto Libraries                  │
│  (OpenSSL, GnuTLS, NSS)                    │
│  │                                          │
│  └─────> In-Kernel Crypto API ──────────┐  │
│           (Direct access)                │  │
├──────────────────────────────────────────┼──┤
│  AF_ALG Socket Interface (RARELY USED)   │  │
│  │                                       │  │
│  └─────> In-Kernel Crypto API ──────────┘  │
├─────────────────────────────────────────────┤
│  Kernel Crypto Subsystem                    │
│  (AES, SHA, AEAD algorithms)                │
└─────────────────────────────────────────────┘

Standard services bypass AF_ALG entirely

**사용 사례:** 하드웨어 암호화 가속 오프로드  
**보급률:** 표준 배포 환경에서 극히 드묾  
**영향:** 애플리케이션이 소프트웨어 암호화로 폴백

#### 2. libkcapi를 사용하는 사용자 지정 애플리케이션

전용 라이브러리를 사용한 **직접 AF_ALG 소켓 프로그래밍**.

**사용 사례:** 특수 보안 도구 또는 사용자 지정 암호화 애플리케이션  
**보급률:** 표준 엔터프라이즈 환경에서 거의 존재하지 않음  
**영향:** 애플리케이션별로 다르며, 코드 수정 필요

#### 3. 하드웨어 암호화 오프로드 도구

하드웨어 가속을 위해 AF_ALG를 사용하는 **전문 도구**.

**사용 사례:** 고성능 컴퓨팅, 암호화 하드웨어 가속기  
**보급률:** 특수 고보안 또는 HPC 환경에서만 사용  
**영향:** 소프트웨어 암호화로 폴백

### Red Hat 공식 입장

[Red Hat Bugzilla #2460538](https://bugzilla.redhat.com/show_bug.cgi?id=2460538)에 따르면:

- **CVE:** CVE-2026-31431
- **심각도:** 높음 (CVSS 7.8)
- **상태:** 커널 6.19.12+에서 수정됨
- **수정 내용:** 2017년 제자리(in-place) 최적화 되돌림 (커밋 72548b093ee3)
- **영향:** "algif_aead에서 제자리(in-place) 작업은 소스와 대상이 서로 다른 매핑에서 오므로 이점이 없음"

### 완화 플래그별 영향 평가

| 플래그 | 완화 조치 | 표준 서비스에 미치는 영향 |
|------|------------|----------------------------|
| 1 | 모듈 블랙리스트 | ✅ 영향 없음 - AF_ALG 미사용 |
| 2 | SELinux 정책 | ✅ 영향 없음 - 미사용 syscall 차단 |
| **3** | **블랙리스트 + SELinux** | ✅ **영향 없음 - 권장** |
| 5 | 블랙리스트 + seccomp | ✅ 영향 없음 - 서비스별 안전 |
| 7 | 블랙리스트 + SELinux + seccomp | ✅ 영향 없음 - 심층 방어 |
| 15 | 모든 완화 조치 | ✅ 영향 없음 - 최대 보호 |

### 완화 후 검증

cfDr 완화 조치 적용 후, 중요 서비스가 계속 정상 작동하는지 검증하십시오:```bash
# Test SSH connectivity
ssh localhost echo "SSH working"

# Test HTTPS (if web server running)
curl -k https://localhost

# Test LUKS encryption (if using encrypted volumes)
cryptsetup status /dev/mapper/luks-volume

# Test IPsec (if VPN configured)
ipsec status

# Test system services
systemctl status sshd
systemctl status httpd
systemctl status postgresql

# Check for any service failures
systemctl --failed

**발생 상황**:
- 모든 호스트가 평가됩니다
- 변경 사항은 없습니다
- 보고서가 생성됩니다

**검토**:
- 각 호스트에서 `/root/cve-2026-31431-assessment-<hostname>.txt` 확인
- 요약 출력 검토
- 취약한 호스트 식별

**예상 출력**:```
CVE-2026-31431 Summary Report
==========================================
Total hosts scanned: 50
Vulnerable hosts: 12

VULNERABLE HOSTS REQUIRING REMEDIATION:
web1.example.com, web2.example.com, db1.example.com, ...

DEFAULT RECOMMENDED MITIGATION: Flag 3
  - Module Blacklist (1) + SELinux (2) = Defense-in-depth
  - Module Blacklist alone can be bypassed by root (via insmod)
  - SELinux blocks syscall even if blacklist is bypassed
  - Covers user_t/unconfined_t (vast majority of scenarios)

**발생하는 작업**:
- 취약한 호스트 식별
- 호스트별 권장 완화 플래그 계산
- 인벤토리 파일 생성

**검토**:```bash
# Check generated inventory
cat vulnerable_hosts/vulnerable_hosts.yml

# Review per-host recommendations
ls vulnerable_hosts/host_vars/

**무슨 일이 일어나는가**:
- 완화 조치는 테스트/개발 호스트에만 적용됨
- 서비스 재시작됨(seccomp용)
- 검증 수행됨

**검증**:```bash
# Re-scan test hosts
ansible-playbook -i vulnerable_hosts/vulnerable_hosts.yml quickstart.yml --limit 'dev*:test*'

# Check for "PROTECTED - Defense-in-depth" status

**발생 상황**:
- 각 계층이 개별적으로 조치됨
- 서비스가 한 번에 한 계층씩 재시작됨
- 단계별 검증이 가능함

**단계 사이 모니터링**:
- 서비스 가용성 확인
- 애플리케이션 로그 검토
- 사용자 경험 검증

#### 5단계: 검증 및 문서화```bash
# Final assessment of all hosts
ansible-playbook -i inventory quickstart.yml

### 긴급 대응 워크플로우

**적극적으로 악용된** 시스템 또는 **즉각적인 위협**의 경우:```bash
# Immediate assessment and remediation
ansible-playbook -i inventory quickstart.yml -e apply_remediation=true -e mitigation_flags=3

# Re-verify all hosts
ansible-playbook -i inventory quickstart.yml

**통합 대상**:
- 구성 관리 데이터베이스(CMDB)
- 보안 정보 및 이벤트 관리(SIEM)
- 수정 추적을 위한 티켓팅 시스템

### 사용자 지정 완화 워크플로

Flag 3을 넘어서는 **특정 요구 사항**의 경우:```bash
# Use enhanced protection (Flag 7: Blacklist + SELinux + seccomp)
ansible-playbook -i inventory quickstart.yml \
  -e apply_remediation=true \
  -e mitigation_flags=7

# Or customize per-host via inventory
# Edit generated host_vars/*.yml files to set custom flags
vim vulnerable_hosts/host_vars/web1.example.com.yml
# Change: recommended_mitigation_flags: 7

# Apply customized settings
ansible-playbook -i vulnerable_hosts/vulnerable_hosts.yml cve_2026_31431_playbook.yml \
  -e apply_remediation=true

---

## 빠른 시작

즉시 시작하고 싶은 사용자를 위한 안내입니다:

### 가장 간단한 사용법```bash
# Clone repository
git clone https://github.com/parmstro/cfDr.git
cd cfDr

# Step 1: Assess all hosts
ansible-playbook -i inventory quickstart.yml

# Step 2: Apply recommended mitigations to vulnerable hosts
ansible-playbook -i inventory quickstart.yml --limit vulnerable_hosts -e apply_remediation=true

### 취약점 인벤토리 생성```bash
# Scan and create inventory of vulnerable hosts
ansible-playbook -i inventory quickstart.yml -e generate_inventory=true

# Review generated files
ls inventory_output/

# Apply mitigations using generated inventory
ansible-playbook -i inventory_output/vulnerable_hosts.yml cve_2026_31431_playbook.yml \
  -e apply_remediation=true

### SELinux 도메인 사용자 지정

`roles/cve_2026_31431/defaults/main.yml`을 편집합니다:```yaml
# Add additional domains to protect
selinux_denied_domains:
  - user_t
  - unconfined_t
  - httpd_t
  - postgresql_t
  - mysqld_t
  - custom_app_t        # Your custom domain
  - another_service_t

### 사용자 지정 인벤토리 출력 디렉터리```bash
# Specify custom output location
ansible-playbook quickstart.yml \
  -e generate_inventory=true \
  -e inventory_output_dir=/path/to/output

### 요구 사항

- **Ansible**: 2.9 이상 (2.15+ 권장)
- **권한 있는 접근**: 대상 호스트에서 sudo/root
- **Python**: 대상 호스트에서 2.7 또는 3.5+
- **지원 OS**: Red Hat Enterprise Linux, CentOS, Fedora (Debian/Ubuntu는 제한적 지원)

---

## 추가 리소스

### CVE 정보 및 분석

**공식 출처**:
- [NVD - CVE-2026-31431](https://nvd.nist.gov/vuln/detail/CVE-2026-31431)
- [MITRE CVE 항목](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-31431)

**보안 연구 및 분석**:
- [Sysdig - CVE-2026-31431 분석](https://www.sysdig.com/blog/cve-2026-31431-copy-fail-linux-kernel-flaw-lets-local-users-gain-root-in-seconds)
- [The Hacker News - Copy Fail 취약점](https://thehackernews.com/2026/04/new-linux-copy-fail-vulnerability.html)
- [CERT-EU 보안 권고](https://cert.europa.eu/publications/security-advisories/2026-005/)
- [Help Net Security - Copy Fail 세부 정보](https://www.helpnetsecurity.com/2026/04/30/copyfail-linux-lpe-vulnerability-cve-2026-31431/)

### 관련 완화 프로젝트

CVE-2026-31431 완화에 대한 커뮤니티 기여:

- **[block-copyfail](https://github.com/atgreen/block-copyfail)** - Anthony Green의 eBPF LSM 구현
  - 포괄적인 eBPF 기반 완화
  - 최신 커널을 위한 시스템 전반의 보호
  - cfDr의 eBPF 구현 소스

- **[Blastwall](https://gprocunier.github.io/blastwall/demo.html)** - Greg Procunier의 SELinux 정책 프레임워크
  - 고급 SELinux 정책 관리
  - 다중 CVE 보호 프레임워크
  - cfDr의 SELinux 구현 소스

### Red Hat 특정 리소스

**지식 베이스 문서**:
- [Red Hat 고객 포털 - CVE-2026-31431](https://access.redhat.com/security/cve/cve-2026-31431)
- [Red Hat 보안 데이터 - 영향받는 제품](https://access.redhat.com/security/data/metrics/)

**완화 가이드**:
- [Enterprise Linux용 SELinux - 사용자 가이드](https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/9/html/using_selinux/)
- [systemd 보안 기능](https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/9/html/managing_systems_using_the_rhel_9_web_console/securing-systemd-services_system-management-using-the-rhel-9-web-console)

### 문서

**cfDr 확장 문서**:
- [Enterprise Linux 완화 가이드](https://github.com/parmstro/cfdr/blob/HEAD/enterprise-linux-mitigations.md) - 모든 완화 방법의 포괄적 비교
- [SELinux 완화 가이드](https://github.com/parmstro/cfdr/blob/HEAD/selinux-mitigation.md) - 상세 SELinux 정책 구현
- [seccomp 완화 가이드](https://github.com/parmstro/cfdr/blob/HEAD/seccomp-mitigation.md) - systemd seccomp 필터 구현  
- [eBPF LSM 완화 가이드](https://github.com/parmstro/cfdr/blob/HEAD/ebpf-lsm-mitigation.md) - eBPF LSM 프로그램 구현
- [docs/CONTRIBUTORS.md](https://github.com/parmstro/cfdr/blob/HEAD/CONTRIBUTORS.md) - 기여 지침 및 크레딧

**Ansible 문서**:
- [Ansible 사용자 가이드](https://docs.ansible.com/ansible/latest/user_guide/)
- [Ansible 모범 사례](https://docs.ansible.com/ansible/latest/user_guide/playbooks_best_practices.html)

---

## 패치 모니터링

### Red Hat Enterprise Linux

**주요 출처**: Red Hat 고객 포털
- **보안 권고**: https://access.redhat.com/security/security-updates/
- **Errata 권고**: https://access.redhat.com/errata/
- **CVE 추적기**: https://access.redhat.com/security/cve/cve-2026-31431

**알림 방법**:

1. **이메일 알림** (권장):
   - Red Hat 고객 포털에 로그인
   - 이동: 계정 설정 → 알림
   - 활성화: "보안 권고" 및 "제품 Errata"
   - 선택: 관리 중인 RHEL 버전

2. **RSS 피드**:
   - RHEL 7 보안: https://access.redhat.com/blogs/766093/feed
   - RHEL 8 보안: https://access.redhat.com/blogs/1683903/feed
   - RHEL 9 보안: https://access.redhat.com/blogs/5480361/feed
   - 전체 보안: https://access.redhat.com/security/data/oval/com.redhat.rhsa-all.xml

3. **API 접근**:   ```bash
   # Check for kernel security updates
   curl -H "Accept: application/json" \
     "https://access.redhat.com/labs/securitydataapi/cve/CVE-2026-31431.json"

### CentOS / Rocky Linux / AlmaLinux

**CentOS Stream**:
- **공지사항**: https://lists.centos.org/pipermail/centos-announce/
- **보안 메일링 리스트**: https://lists.centos.org/mailman/listinfo/centos-security-announce

**Rocky Linux**:
- **보안 추적기**: https://errata.rockylinux.org/
- **공지사항**: https://rockylinux.org/news/

**AlmaLinux**:
- **Errata**: https://errata.almalinux.org/
- **보안**: https://wiki.almalinux.org/security/

### Fedora

**주요 소스**: Fedora 프로젝트
- **업데이트 시스템**: https://bodhi.fedoraproject.org/
- **보안 목록**: https://lists.fedoraproject.org/archives/list/[email protected]/

**알림 방법**:```bash
# Subscribe to security announcements
# Visit: https://lists.fedoraproject.org/admin/lists/security-announce.lists.fedoraproject.org/

# Check for updates
sudo dnf check-update kernel

# View available security updates
sudo dnf updateinfo list security

### Debian

**기본 소스**: Debian 보안 추적기
- **보안 추적기**: https://security-tracker.debian.org/tracker/CVE-2026-31431
- **보안 공지**: https://www.debian.org/security/

**알림 방법**:```bash
# Subscribe to Debian Security Announcements
# Visit: https://lists.debian.org/debian-security-announce/

# Check for security updates
sudo apt update
sudo apt list --upgradable

### 업스트림 커널

**리눅스 커널 메일링 리스트**:
- **LKML 아카이브**: https://lkml.org/
- **보안 목록**: https://www.kernel.org/category/releases.html

**Git 저장소**:```bash
# Monitor kernel git for patches
git clone https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git

# Search for CVE-2026-31431 patches
git log --all --grep="CVE-2026-31431"

**cron으로 일정 예약하기**:```bash
# Check daily for patches
0 6 * * * /usr/local/bin/check-cve-2026-31431-patch.sh | mail -s "CVE-2026-31431 Patch Check" [email protected]