Por que não simplesmente executar um exploit?

Algumas verificações de vulnerabilidade se resumem a "executar o exploit e ver se funciona". Isso não é uma boa prática em hosts de produção. O copyfail-guard adota uma abordagem sem exploit. Ele não tenta acionar o bug, modificar binários setuid ou comprovar explorabilidade. Em vez disso, inspeciona o estado do host (versão do kernel, status de carregamento do módulo, configuração do modprobe) e informa se a máquina parece exposta.

O que esta ferramenta faz

O fix é intencionalmente mínimo — ele não chama o gerenciador de pacotes. A correção permanente exige a atualização do kernel pelo mecanismo de atualização normal da sua distribuição.

Instalação

Ou execute diretamente de um checkout sem instalar:

Uso

detect (padrão)

fix

Sempre visualize com --dry-run antes de aplicar:

Se o módulo estiver em uso no momento, a etapa de descarregamento pode falhar. Nesse caso, a regra modprobe persistente ainda pode ser instalada com sucesso, e o copyfail-guard relatará a falha de descarregamento como um registro de ação estilo aviso, em vez de fingir que o módulo foi removido.

Saída JSON

--json emite um documento estruturado no stdout, adequado para pipelines jq, Ansible ou SOAR:

Códigos de saída

Veredictos

Removendo a mitigação

Após atualizar para um kernel corrigido, use o subcomando reset para remover a regra modprobe instalada por fix:

O reset é idempotente — se o arquivo já estiver ausente, ele sai com 0 e uma mensagem "nada a fazer". Em seguida, reinicie.

Notas

Contêineres. O fix se recusa a executar dentro de um contêiner porque /proc/modules reflete o kernel do host, mas o contêiner não tem autoridade para carregar ou descarregar módulos. Execute o copyfail-guard diretamente no host.

algif_aead embutido. Alguns kernels compilam algif_aead diretamente na imagem (CONFIG_CRYPTO_USER_API_AEAD=y). A mitigação via modprobe não tem efeito nessa configuração; a única correção é uma atualização do kernel. O detect relata unmitigable_builtin nesse caso. Executar fix ainda instalará a regra modprobe (que impede que qualquer cópia carregável coexistente seja carregada), mas a instância embutida não é afetada — atualização do kernel e reinicialização são o único remédio real.

blacklist vs install … /bin/false. Ambas as diretivas bloqueiam o auto-carregamento comum, mas install algif_aead /bin/false é mais forte porque também bloqueia invocações explícitas comuns de modprobe algif_aead. Um administrador com privilégios suficientes ainda pode contornar a política do modprobe, por exemplo, usando ferramentas de carregamento de módulos de baixo nível ou flags especiais do modprobe. O copyfail-guard sempre instala a forma mais forte. Se o seu sistema já tiver uma diretiva blacklist simples, a ferramenta relata mitigated, mas emite uma nota recomendando a atualização.

SELinux/AppArmor. Gravações em /etc/modprobe.d/ no RHEL normalmente herdam system_u:object_r:modules_conf_t:s0 do diretório pai, portanto, normalmente nenhuma reclassificação manual deve ser necessária para o arquivo que o copyfail-guard grava.

initramfs. O algif_aead normalmente não é incluído na imagem de inicialização nas principais distribuições, portanto, o copyfail-guard não executa update-initramfs -u ou dracut -f após instalar a regra modprobe. Se a sua distribuição ou build local incluir algif_aead no initramfs, siga as orientações de kernel/módulo da sua distribuição.

Licença

Apache 2.0 — consulte LICENSE.