Copy Fail 완화 DaemonSets

MKS 클러스터의 모든 worker 노드에서 Copy Fail 계열 취약점을 수정하기 위한 DaemonSet입니다.

목차

• CVE-2026-31431 (Copy Fail)
• CVE-2026-43284, CVE-2026-43500, CopyFail2 (Dirty Flag)

CVE-2026-31431 (Copy Fail)

취약점 설명

CVE ID: CVE-2026-31431

CVE Link: https://nvd.nist.gov/vuln/detail/CVE-2026-31431

CVSS v.3.1에 따른 공격 벡터 및 위험 수준:

Score: 7.8 HIGH

Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

간략 설명:

Copy Fail (CVE-2026-31431)는 Linux 커널의 암호화 API 하위 시스템에서 일반 사용자가 루트 권한을 얻을 수 있게 하는 논리적 취약점입니다. PoC는 2017년부터 패치 출시 시점까지 출시된 모든 주요 Linux 배포판에서 작동합니다.

특징:

• 호스트 전역 page cache 사용으로 인해 컨테이너에서 호스트로의 탈출 프리미티브로 사용 가능
• 원격 접근 불필요 — 로컬 비권한 계정이 있는 경우에만 사용 가능
• 거의 모든 인기 배포판의 기본 구성에 포함된 커널 암호화 API(AF_ALG)를 사용합니다.

이 DaemonSet의 기능

DaemonSet은 클러스터의 각 worker 노드에서 컨테이너를 실행합니다:

1. AF_ALG AEAD 인터페이스의 가용성을 테스트합니다.
2. /etc/modprobe.d/disable-algif.conf 구성을 생성합니다.
3. 모듈이 로드된 경우 rmmod algif_aead를 실행합니다.
4. 1단계의 확인을 다시 호출하여 취약점이 해결되었는지 확인합니다.

사용 방법

1. DaemonSet 다운로드

wget https://raw.githubusercontent.com/selectel/mks-copy-fail-mitigation/refs/heads/main/copy-fail-mitigation-daemonset.yaml

또는 리포지토리 클론:

git clone https://github.com/selectel/mks-copy-fail-mitigation.git
cd mks-copy-fail-mitigation

2. DaemonSet 적용

kubectl apply -f copy-fail-mitigation-daemonset.yaml

3. 실행 상태 확인

# Проверить статус DaemonSet
kubectl get daemonset -n kube-system cve-2026-31431-mitigation

# Получить список подов
kubectl -n kube-system get pods -l app=cve-2026-31431-mitigation -o wide

4. 실행 로그 확인

# Логи initContainer
kubectl -n kube-system logs -l app=cve-2026-31431-mitigation -c mitigation

5. DaemonSet 삭제

kubectl delete -f copy-fail-mitigation-daemonset.yaml

CVE-2026-43284, CVE-2026-43500, CopyFail2 (Dirty Flag)

CVE ID: CVE-2026-43284, CVE-2026-43500

CopyFail2: 별도의 CVE ID 없음

CVE Links:

• https://nvd.nist.gov/vuln/detail/CVE-2026-43284
• https://nvd.nist.gov/vuln/detail/CVE-2026-43500

간략 설명:

Dirty Flag / CopyFail2는 Linux 커널의 IPsec 하위 시스템(esp4, esp6 및 rxrpc 모듈)에서 로컬 비권한 사용자가 루트 권한을 얻을 수 있는 취약점입니다.

특징:

• 컨테이너에서 호스트로의 탈출 프리미티브로 사용 가능
• 대부분의 배포판에서 기본적으로 활성화된 esp4(IPsec IPv4), esp6(IPsec IPv6) 및 rxrpc(RxRPC 프로토콜) 커널 모듈을 사용합니다.

이 DaemonSet의 기능

DaemonSet은 클러스터의 각 worker 노드에서 컨테이너를 실행합니다:

1. lsmod를 통해 esp4, esp6, rxrpc 모듈이 로드되었는지 확인합니다.
2. /etc/modprobe.d/disable-esp-rxrpc.conf 구성을 생성하고 install esp4/esp6/rxrpc /bin/false 규칙을 추가합니다.
3. 로드된 각 모듈에 대해 rmmod를 실행합니다.
4. lsmod를 다시 실행하여 모듈이 더 이상 로드되지 않았는지 확인합니다.

사용 방법

1. DaemonSet 다운로드

wget https://raw.githubusercontent.com/selectel/mks-copy-fail-mitigation/refs/heads/main/dirty-flag-copyfail2-mitigation-daemonset.yaml

또는 리포지토리 클론:

git clone https://github.com/selectel/mks-copy-fail-mitigation.git
cd mks-copy-fail-mitigation

2. DaemonSet 적용

kubectl apply -f dirty-flag-copyfail2-mitigation-daemonset.yaml

3. 실행 상태 확인

# Проверить статус DaemonSet
kubectl get daemonset -n kube-system dirty-flag-copyfail2-mitigation

# Получить список подов
kubectl -n kube-system get pods -l app=dirty-flag-copyfail2-mitigation -o wide

4. 실행 로그 확인

# Логи initContainer
kubectl -n kube-system logs -l app=dirty-flag-copyfail2-mitigation -c mitigation

5. DaemonSet 삭제

kubectl delete -f dirty-flag-copyfail2-mitigation-daemonset.yaml