Mitigação do CVE-2026-31431

Este repositório contém o código-fonte da nossa mitigação baseada em eBPF contra o CVE-2026-31431, também conhecido como "copy.fail". (Mais informações disponíveis em https://copy.fail)

A motivação por trás da construção desta solução foi atender à necessidade de uma mitigação sem reinicialização para máquinas de missão crítica onde o algif_aead é compilado diretamente no kernel, o que torna impossível apenas bloquear o módulo para uma mitigação rápida.

Este código é distribuído COMO ESTÁ, sem garantia de qualquer tipo, e licenciado sob os termos da licença GPL-v2.0.

Embora tenhamos testado isso em nossos servidores de produção, e tenha sido eficaz para nós, estamos apresentando-o apenas como uma solução paliativa.

Compilação

Para compilar isso, você precisará instalar as ferramentas BPF e os cabeçalhos para a sua versão do kernel. Por exemplo, no CloudLinux:

dnf install bpftool libbpf-devel clang llvm kernel-devel kernel-headers

Os resultados podem variar em outras distribuições.

Execução

Depois de compilar o código neste repositório, block_alg pode aceitar os seguintes argumentos:

• -l <log_path>: especifica em qual arquivo registrar as chamadas bloqueadas
• -u <uid_list>: especifica quais UIDs devem ter permissão para usar AF_ALG. Formato: 0,1000 -> permite que os UIDs 0 e 1000 criem soquetes AF_ALG.