Copy Fail - CVE-2026-31431 탐지 및 완화 도구

CVE-2026-31431 (Copy Fail) 노출 여부를 탐지하고, 취약한 시스템에서 algif_aead 커널 모듈을 비활성화하여 호스트 수준 완화 조치를 선택적으로 적용합니다.

이 저장소가 제공하는 것

• copyfail-check.sh — 커널 패치 상태, 런타임 모듈 노출 및 완화 상태를 확인합니다.
• --mitigate를 통한 선택적 자동 완화.
• 사람이 읽을 수 있는 판정 결과 출력: NOT AFFECTED, PATCHED, NOT EXPLOITABLE, MITIGATED, MITIGATED (REBOOT PENDING) 또는 AFFECTED.

취약점 요약

2017년에 도입된 제자리(in-place) AEAD 최적화(커밋 72548b093ee3, 커널 4.14)로 인해 권한이 없는 로컬 공격자가 읽기 가능한 모든 파일에 대해 제어된 페이지 캐시 쓰기 프리미티브를 획득할 수 있으며, 이를 통해 루트로 권한 상승이 가능합니다. 컨테이너 환경에서는 동일한 프리미티브가 컨테이너 탈출을 가능하게 할 수 있습니다.

4.14 이전 커널은 영향을 받지 않습니다. 여기에는 Ubuntu의 3.13 커널(Trusty 14.04 GA)과 4.4 커널(Xenial 16.04 GA, Trusty HWE)이 포함됩니다 — 해당 커널은 취약한 커밋 이전 버전입니다.

커밋 참조

배포판은 자체 커밋 식별자로 패치를 백포트합니다. 이 스크립트는 패키지 변경 로그에서 CVE ID를 검색하며, 이는 백포트된 커널의 경우 업스트림 해시보다 더 신뢰할 수 있습니다.

영향받는 Ubuntu 릴리스

Ubuntu 보안 팀은 /etc/modprobe.d/disable-algif_aead.conf에 install algif_aead /bin/false를 기록하는 kmod 패키지 업데이트를 배포합니다. 이 스크립트는 동일한 내용으로 동일한 파일을 생성하며 해당 방식과 완전히 호환됩니다. 공식 패키지 업데이트(sudo apt install --only-upgrade kmod)를 적용하는 것이 Ubuntu에서 권장되는 방법입니다. 이 스크립트는 비-Ubuntu 시스템 또는 업데이트 전 사전 점검을 위한 동등한 적용 범위를 제공합니다.

빠른 시작

로컬

chmod +x copyfail-check.sh
sudo ./copyfail-check.sh                # 탐지만 수행
sudo ./copyfail-check.sh --mitigate     # 탐지 + 영향받는 경우 완화 적용

원격 (GitHub에서 직접 실행, 다운로드 불필요)

main 브랜치에서 스크립트를 직접 스트리밍하여 실행합니다. bash -s -- 형식은 -- 이후의 인수를 스크립트 자체로 전달하므로 --mitigate가 bash가 아닌 스크립트에 도달합니다.

# 탐지만 수행
curl -fsSL https://raw.githubusercontent.com/Webhosting4U/Copy-Fail_Detect_and_mitigate_CVE-2026-31431/main/copyfail-check.sh | sudo bash

# 탐지 + 완화
curl -fsSL https://raw.githubusercontent.com/Webhosting4U/Copy-Fail_Detect_and_mitigate_CVE-2026-31431/main/copyfail-check.sh | sudo bash -s -- --mitigate

wget 동일 명령:

wget -qO- https://raw.githubusercontent.com/Webhosting4U/Copy-Fail_Detect_and_mitigate_CVE-2026-31431/main/copyfail-check.sh | sudo bash
wget -qO- https://raw.githubusercontent.com/Webhosting4U/Copy-Fail_Detect_and_mitigate_CVE-2026-31431/main/copyfail-check.sh | sudo bash -s -- --mitigate

보안 참고. 원격 스크립트를 권한 있는 셸로 직접 파이프하는 것은 실행 시점에 URL이 제공하는 모든 내용을 신뢰한다는 의미입니다. 일회성 사전 점검에는 허용 가능하지만, 반복 사용이나 프로덕션 환경에서는 특정 커밋으로 고정하고 먼저 스크립트를 검사하십시오:

root@kitploit:~

curl -fsSL https://raw.githubusercontent.com/Webhosting4U/Copy-Fail_Detect_and_mitigate_CVE-2026-31431/<commit-sha>/copyfail-check.sh -o copyfail-check.sh
less copyfail-check.sh
sudo bash copyfail-check.sh --mitigate

확인 항목

1. 루트로 실행 중인지
2. 커널 버전 사전 확인 — 4.14 이전 커널은 즉시 NOT AFFECTED로 종료
3. 커널 패치 증거 (다음 순서로 확인 — 긍정 신호 하나면 충분):
   • Debian/Ubuntu 커널 패키지 변경 로그 (세 가지 수정 커밋 해시와 CVE ID 모두 검색)
   • RHEL/Fedora 커널 패키지 변경 로그 (동일 패턴)
   • /sys/kernel/livepatch/ 아래 로드된 커널 라이브패치, kpatch list 및 canonical-livepatch status
   • 배포판 CVE 도구: ubuntu-security-status --cves, dnf updateinfo list cves, zypper patch-check
4. algif_aead 모듈 사용 가능 여부(modinfo) 및 로드 상태(lsmod)
5. /etc/modprobe.d/ 아래 기존 modprobe 기반 차단 규칙 — 동등한 무력화(install … /bin/false|/bin/true|/sbin/nologin) 및 허용; 차단이 Ubuntu kmod 패키지에서 비롯되었는지 식별

판정 의미

완화가 수행하는 작업

영향받는 시스템에서 --mitigate를 사용하면 스크립트는 다음을 수행합니다:

• install algif_aead /bin/false가 포함된 /etc/modprobe.d/disable-algif_aead.conf 생성
• 현재 로드된 algif_aead를 언로드 시도
• 재부팅 후에도 지속되는 차단 규칙 유지

파일 이름 /etc/modprobe.d/disable-algif_aead.conf는 공식 Ubuntu kmod 패키지 업데이트가 기록하는 파일과 일치하므로 두 방식은 상호 교환 가능하고 호환됩니다.

중요 참고 사항

• 완화는 일시적인 위험 감소이며 커널 패치를 대체하지 않습니다.
• algif_aead 비활성화는 일반적인 암호화 경로에 안전합니다: dm-crypt, LUKS, kTLS, IPsec, 기본 OpenSSL/GnuTLS 사용, SSH 및 커널 키링 암호화는 영향을 받지 않습니다.
• OpenSSL afalg 엔진을 명시적으로 로드하는 애플리케이션은 하드웨어 가속을 잃게 되며 소프트웨어 암호화로 대체되어야 하지만, 대체를 트리거하려면 재부팅이 필요할 수 있습니다.
• 컨테이너 워크로드: 게시된 PoC가 없더라도 이 취약점은 컨테이너 탈출을 가능하게 할 수 있습니다. 워크로드 유형과 관계없이 완화 또는 커널 패치 적용이 권장됩니다.

공개 타임라인

요구 사항

• Linux 호스트
• 루트 권한 (sudo 또는 루트 셸)
• 핵심 도구 (항상 필요): uname, modinfo, lsmod, awk, grep
• 선택 도구 (있는 경우 사용, 권한 순서):
  • dpkg — Debian/Ubuntu 변경 로그 검색 및 kmod 버전 확인
  • lsb_release — kmod 힌트를 위한 Ubuntu 릴리스 감지
  • rpm — RHEL/Fedora 변경 로그 검색
  • kpatch / canonical-livepatch 및 /sys/kernel/livepatch/ — 라이브패치 감지
  • ubuntu-security-status, dnf updateinfo, — 배포판 CVE 도구

저장소 구조

.
├── copyfail-check.sh
└── README.md

참조

• copy.fail — 공식 취약점 페이지
• Copy Fail across Linux distributions — 배포판 적용 범위 분석
• oss-security disclosure — 전체 기술 공개
• Ubuntu Security Advisory — Ubuntu 관련 지침 및 수정 패키지 버전
• CVE Record — 공식 CVE 항목