copyfailscan

Auxiliar Bash: descobre hosts (opcionalmente CIDR via nmap) e então faz verificações SSH somente leitura para CVE-2026-31431 (Copy Fail / algif_aead), CVE-2026-31677 / CVE-2026-43077 (heurísticas AF_ALG RX), CVE-2026-23111 (nftables + namespaces de usuário), CVE-2026-23102 (arm64 SVE/SME). Apenas heurísticas — não é um exploit; confirme com seu distribuidor.

Trate como sensível: arquivo de senhas em disco; a saída lista hosts e postura do kernel.

Requisitos

Credenciais

1. sudo cp copyfail-creds.example /etc/copyfail-creds && sudo nano /etc/copyfail-creds
2. Uma user:password por linha (apenas o primeiro : separa o usuário da senha).
3. Modo 600 obrigatório: sudo chmod 600 /etc/copyfail-creds
   Se for de propriedade do root, execute o script com sudo (ou use chown para o seu usuário, mantendo 600).

Uso

CREDS_FILE=/path/to/creds ./copyfail_scan.sh [TARGET]

TARGET: CIDR, IP/hostname único, ou caminho para uma lista de hosts (comentários com # são aceitos). Se omitido, usa o padrão do script (veja TARGET= em copyfail_scan.sh).

chmod +x copyfail_scan.sh
sudo CREDS_FILE=/etc/copyfail-creds ./copyfail_scan.sh
sudo CREDS_FILE=/etc/copyfail-creds ./copyfail_scan.sh 192.168.1.0/24
CREDS_FILE=~/creds ./copyfail_scan.sh ./hosts.txt

Saída: apenas stdout (sem arquivo de relatório). Use tee para salvar. Após as linhas por host: === Summary report === (a menos que COPYFAIL_SUMMARY=0) — Confirmed good vs Needs review; hosts que compartilham a mesma linha de resumo são mesclados (rótulos separados por vírgula).

Ambiente

# Example: no per-host nmap, sequential
COPYFAIL_PREAUTH_NMAP=0 COPYFAIL_PARALLEL=1 sudo ./copyfail_scan.sh 192.168.54.93

Interpretação dos resultados

• Tags como 31431 PATCHED, 31431 VULN - MITIGATED, 31431 NO algif_aead - VERIFY, [SKIP] / [SKIP - PRE-AUTH] são heurísticas do script; os campos finais 23111= / 23102= resumem as sondas de nftables/user-ns e arm64 SVE.
• Kernels *-pve / de fornecedor: uname -r pode não corresponder às tuplas do NVD upstream — use avisos de segurança da distro/Proxmox e pacotes de kernel instalados, não apenas este script.
• Dica de mitigação (sistemas baseados em módulos):
  echo 'install algif_aead /bin/false' | sudo tee /etc/modprobe.d/disable-algif.conf && sudo rmmod algif_aead 2>/dev/null
  Os caminhos da API de criptografia embutida diferem — siga a documentação do fornecedor (ex.: blacklist na linha de comando do kernel).

Referências

• copy.fail — confira com o fornecedor do seu SO e com o NVD.

Licença

MIT — veja LICENSE.