check-copyfail

check-copyfail.sh é um script Bash somente leitura que avalia a exposição do host ao CVE-2026-31431 ("Copy Fail").

Autor: Silent4Labs

Ele inspeciona o sistema local para:

• versão do kernel e estado conhecido de patches upstream
• linhas de base de distribuições afetadas
• status do módulo algif_aead
• uso ativo de sockets AF_ALG
• disponibilidade de authencesn
• alvos comuns legíveis de setuid-root, como /usr/bin/su
• diretórios de staging graváveis comumente usados para entrega de exploits locais
• contexto de contêiner ou Kubernetes
• estado de mitigação, como filtros seccomp, blacklists de modprobe e initcall_blacklist do GRUB
• estado de reinicialização pendente quando um kernel mais recente já está instalado

O script combina esses sinais em uma pontuação de risco transparente e, em seguida, emite descobertas e recomendações priorizadas.

O que este script faz

check-copyfail.sh é destinado como uma ferramenta de avaliação no lado do host para administradores e proprietários de infraestrutura. Ele coleta sinais locais relacionados ao CVE-2026-31431, avalia-os com base na lógica embutida do script e relata um nível estimado de exposição com descobertas de apoio.

O resultado visa auxiliar na investigação e triagem. Não é uma garantia de que um sistema esteja seguro, vulnerável, totalmente corrigido ou explorável na prática.

Requisitos

• Somente Linux
• Bash

Uso

Execute o nome real do arquivo de script com um hífen:

./check-copyfail.sh
./check-copyfail.sh --json
./check-copyfail.sh --quiet
./check-copyfail.sh --help

Os comentários do script e a ajuda embutida ainda se referem a check_copyfail.sh, mas o arquivo executável neste repositório é check-copyfail.sh.

Modos de saída

• padrão: relatório legível por humanos
• --json: saída JSON estruturada
• --quiet: sem saída, apenas código de saída

Códigos de saída

• 0: risco mínimo
• 1: risco baixo
• 2: risco médio
• 3: risco alto
• 4: risco crítico
• 5: erro de execução ou plataforma não suportada

Notas

• O script não aplica correções; ele apenas inspeciona o estado atual do sistema.
• O script não carrega ou descarrega módulos do kernel, não grava arquivos do sistema nem altera a configuração de inicialização ou de execução durante a execução normal.
• Em sistemas não Linux, ele sai com o código 5.
• O relatório padrão legível por humanos inclui breves explicações inline para os principais campos de resultado.

Referências

• Artigo de divulgação da Xint: https://xint.io/blog/copy-fail-linux-distributions

Aviso legal

Use este script por sua conta e risco. Os mantenedores deste repositório não são responsáveis por qualquer dano, perda, impacto operacional, suposições incorretas ou decisões tomadas com base na saída do script.

O script fornece apenas uma avaliação de melhor esforço. A responsabilidade final por validar os resultados, confirmar se os sistemas operacionais são vulneráveis e determinar a remediação apropriada ou a resposta operacional permanece com o proprietário ou administrador da infraestrutura.