itsystem/afalg-checkUtilitário para Linux que verifica a disponibilidade de `AF_ALG`/`algif_aead` e ajuda a avaliar o risco relacionado ao `CVE-2026-31431`.
Utilitário de diagnóstico para Linux que verifica:
AF_ALG / algif_aead e ajuda a avaliar o risco relacionado ao CVE-2026-31431 (copy-fail);xfrm-ESP Page-Cache Write + RxRPC Page-Cache Write) pelos componentes esp4, esp6, rxrpc e imprime a mitigação.A ferramenta destina-se a verificações defensivas e não é um exploit.
socket + bind para ;AF_ALG AEAD/proc/modules, modules.builtin, modules.builtin.modinfo;rpm/Debian changelog);AF_ALG (/proc/*/fd, best effort);Adicionalmente para Dirty Frag:
esp4, esp6, rxrpc (loaded / built-in / unknown);socket(AF_NETLINK, NETLINK_XFRM) e socket(AF_RXRPC) sem alterar a configuração do sistema;1.24+;/proc/*/fd, é melhor executar como root.O entrypoint está na raiz do projeto; a compilação é feita a partir da raiz:
go build -o itsumma-afalg-check .
./itsumma-afalg-check
Na inicialização:
Itsumma Security Check — AF_ALG / CVE-2026-31431
Em seguida:
AF_ALG (socket + bind);modules.builtin;af_alg e algif_aead (loaded / built-in / unknown);CVE-2026-31431 (incluindo a tentativa de identificar o backport do vendor);AF_ALG (se encontrados);cat /proc/cmdline
echo 3 | sudo tee /proc/sys/vm/drop_caches
modprobe -n -v algif_aead
lsmod | grep '^algif_aead\b' || echo 'algif_aead not loaded'
./itsumma-afalg-check
Para o cenário built-in, em vez de modprobe/lsmod, é útil verificar adicionalmente:
dmesg | grep -i 'algif_aead\|initcall_blacklist'
Comando do runbook público Dirty Frag (desativa o carregamento de esp4, esp6, rxrpc e tenta descarregar os módulos já carregados).
Se IPSec / XFRM estiver em uso (por exemplo, via strongSwan), antes de descarregar os módulos é recomendado executar um flush:
sudo ip xfrm state flush
sudo ip xfrm policy flush
echo 3 | sudo tee /proc/sys/vm/drop_caches
Se esp4/esp6/rxrpc forem compilados como built-in (visíveis apenas em modules.builtin), modprobe blacklist e rmmod não os desativarão: nesse caso, é necessária uma atualização/recompilação do kernel.
Para strongSwan, após instalar libcharon-extra-plugins, habilite kernel-libipsec:
sudo sed -i 's/^\s*load\s*=\s*no/load = yes/' /etc/strongswan.d/charon/kernel-libipsec.conf
sudo systemctl restart strongswan || sudo systemctl restart strongswan-starter
lsmod | egrep '^(esp4|esp6|rxrpc)\b' || echo 'esp4/esp6/rxrpc not loaded'
sudo modprobe esp4 esp6 rxrpc || true
sudo modprobe -r esp6 rxrpc
sudo modprobe -r esp4 || true
sudo rmmod -f esp4
sudo sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp6 rxrpc 2>/dev/null; rmmod -f esp4 2>/dev/null; true"
Pós-verificação:
modprobe -n -v esp4 esp6 rxrpc
lsmod | egrep '^(esp4|esp6|rxrpc)\b' || echo 'esp4/esp6/rxrpc not loaded'
./itsumma-afalg-check
algif_aead indica superfície de ataque, mas a conclusão final depende da versão do kernel e dos patches de backport da distribuição.AF_ALG AEAD não passar, dentro desta verificação o vetor é considerado indisponível.