CVE-2026-31431 "Copy Fail" — Script de Detecção de Vulnerabilidade

Scanner baseado em shell para CVE-2026-31431 "Copy Fail", uma vulnerabilidade de escalonamento local de privilégios no subsistema criptográfico do kernel Linux (algif_aead / interface AF_ALG). Um usuário local sem privilégios pode escrever 4 bytes no cache de páginas em memória de um binário setuid (por exemplo, /usr/bin/su) e obter um shell root — sem tocar no arquivo em disco.

• CVSS: 7.8 (ALTA)
• Presente no kernel desde: 2017 (4.14)
• Commit da correção upstream: a664bf3d603d
• CISA KEV: adicionado em 1 de maio de 2026
• Mais informações: copy.fail

Distribuições suportadas

Derivados do Ubuntu baseados nas versões acima (Pop!_OS, Linux Mint, Elementary OS, etc.) também são detectados via ID_LIKE em /etc/os-release.

O que verifica

Uso

# Verificação básica
bash cve-2026-31431-detect.sh

# Sem saída colorida (arquivos de log, CI)
bash cve-2026-31431-detect.sh --no-colour

# Saída JSON (legível por máquina, para pipelines)
bash cve-2026-31431-detect.sh --json

# Modo silencioso — apenas imprime o resumo
bash cve-2026-31431-detect.sh --quiet

# Combinar opções
bash cve-2026-31431-detect.sh --json --quiet

Não é necessário root. Nenhum pacote a instalar além de um shell padrão (bash ≥ 4.3) e, opcionalmente, python3 para o teste ao vivo do socket AF_ALG.

Códigos de saída

Projetado para uso em pipelines DevSecOps — encaminhe a saída JSON para seu SIEM, sistema de tickets ou painel de conformidade.

Saída

O script imprime resultados em dois idiomas:

• Inglês — resumo detalhado completo com status, detalhamento de risco e correção passo a passo
• Húngaro (Magyar) — conteúdo idêntico em húngaro

Ambas as seções são impressas em stdout após os resultados de cada verificação.

Exemplo (sistema limpo)

=== Kernel Version ===
  [INFO] Distro flavour : ubuntu (id=ubuntu, codename=jammy, version=22.04)
  [INFO] Kernel release : 5.15.0-135-generic
  [OK] Kernel version
       Reason : Ubuntu jammy: kernel 5.15.0-135.145 >= patched version 5.15.0-135.145

...

  ✅ PROTECTED — SYSTEM IS NOT VULNERABLE

Exemplo (sistema vulnerável)

  ❌ VULNERABLE — IMMEDIATE ACTION REQUIRED

  ✗ Kernel version
  ✗ Patch presence
  ✗ algif_aead module
  ✗ AF_ALG socket
  ✗ Setuid binaries

Remediação

Debian

sudo apt update && sudo apt full-upgrade && sudo reboot
# Após reiniciar: uname -v  →  deve mostrar >= 6.1.170-1 (Bookworm)

Ubuntu

sudo apt update && sudo apt full-upgrade && sudo reboot
# Após reiniciar: cat /proc/version_signature

Mitigação temporária (se a atualização do kernel não for imediatamente possível)

Só é eficaz quando CONFIG_CRYPTO_USER_API_AEAD=m (compilado como módulo). Não tem efeito se a opção estiver compilada no kernel (=y).

echo 'install algif_aead /bin/false' | sudo tee /etc/modprobe.d/disable-algif-aead.conf
sudo rmmod algif_aead 2>/dev/null || true

Isso não afeta SSH, dm-crypt/LUKS, OpenSSL, GnuTLS, NSS, servidores web ou criptografia de disco.

Notas importantes

• Este script não executa nenhum código de exploit — apenas verificações de configuração e versão.
• Copy Fail é apenas escalonamento local de privilégios — exploração remota pela internet não é possível.
• A vulnerabilidade modifica o cache de páginas em memória; arquivos em disco nunca são tocados, portanto ferramentas de integridade de arquivos (AIDE, Tripwire, etc.) não detectarão um ataque ativo.
• Uma reinicialização limpa o cache de páginas, mas a vulnerabilidade permanece — aplicar o patch é a única correção permanente.
• Executar o script como root pode produzir falsos negativos na verificação do socket AF_ALG (root sempre pode abrir sockets AF_ALG).

Referências

• Debian Security Tracker: https://security-tracker.debian.org/tracker/CVE-2026-31431
• Ubuntu Security: https://ubuntu.com/security/CVE-2026-31431
• Ubuntu USN-7523-1: https://ubuntu.com/security/notices/USN-7523-1
• Correção upstream: https://github.com/torvalds/linux/commit/a664bf3d603dc3bdcf9ae47cc21e0daec706d7a5
• Detalhes do exploit: https://copy.fail
• Script de detecção original: https://github.com/liamromanis101/CVE-2026-31431-Copy-Fail---Vulnerability-Detection-Script

Licença

MIT