CVE-2026-31431, 일명 Copy.Fail eBPF 우회 조치

왜 중요한가

이 CVE는 인가된 사용자가 읽을 수 있는 파일의 캐시 복사본을 변경할 수 있게 하여, 로컬 권한 상승(일명 로컬 루트 익스플로잇), 샌드박스/컨테이너 탈출 및 기타 문제를 초래합니다. 이는 algif* 커널 모듈이 제공하는 AF_ALG 소켓을 생성하여 작동합니다.

현재 알려진 일반적인 우회 조치는 algif_aead 모듈을 비활성화하는 것을 권장하지만, Fedora Linux, Oracle Linux 및 기타 RHEL 계열 배포판처럼 모듈이 커널에 내장된 경우에는 불가능합니다. 또한 일부 업스트림은 여전히 패치가 적용되지 않은 상태입니다. 즉, 커널을 패치할 때까지 시스템은 취약한 상태로 남아 있습니다.

해결 방법

이 패키지는 두 가지 eBPF 프로그램을 제공합니다:

• ebpf-alg-socket-filter: eBPF/LSM 커널 메커니즘으로 AF_ALG 소켓 생성을 필터링합니다.
• ebpf-alg-socket-killer: AF_ALG 소켓을 생성하는 모든 프로그램을 종료합니다.

커널에 eBPF LSM 모듈이 활성화되어 있다면 첫 번째 프로그램을 사용하는 것을 권장합니다. 다음 명령으로 확인할 수 있습니다.

cat /sys/kernel/security/lsm

bpf가 목록에 있는지 확인하세요.

eBPF LSM 모듈이 없다면 두 번째 프로그램을 사용하세요. 더 거친 방식이지만 동일하게 보호합니다.

빌드

• clang, kernel-headers, libbpf-devel 및 bpftool을 설치하세요.
• 커널 헤더에서 vmlinux.h를 복사하세요.
• build.sh build를 실행하세요.

실행

• 로드하려면 apply.sh load를 실행하세요.
• 언로드하려면 apply.sh unload를 실행하세요.
• 상태를 확인하려면 apply.sh status를 실행하세요.