deny-af-alg-bpf

Descrição

Programa BPF LSM que bloqueia a criação de sockets AF_ALG (API de criptografia do kernel Linux) e registra todas as tentativas via um ring buffer para o espaço do usuário.

O que ele faz

• Anexa-se ao hook lsm/socket_create
• Nega qualquer chamada socket(AF_ALG, ...) com -EPERM
• Emite eventos estruturados (pid, comm) para um ring buffer BPF
• O daemon no espaço do usuário lê o ring buffer e registra no stderr (consumido pelo journal do systemd)

Componentes

Programas

• deny_af_alg.bpf.c - lógica principal de bloqueio, trabalho no bpf (espaço do kernel)
• deny_af_alg.user.c - programa no espaço do usuário
  • carrega o programa bpf
  • conecta-se ao ring buffer exposto
  • obtém informações sobre acessos negados e registra no stdout

Systemd

• deny-af-alg.service - serviço principal, contém o aplicativo no espaço do usuário e o programa bpf
• deny-af-alg-bpf.service - serviço legado, funciona via bpftool, não contém registro de logs

Informações sobre a correção do CVE

Este programa eBPF aborda o CVE-2026-31431. Ele resolve a vulnerabilidade restringindo o acesso ao socket de criptografia

Requisitos

É necessário bpf no lsm

#cat /sys/kernel/security/lsm
lockdown,capability,yama,selinux,bpf

Compilação

Nota sobre vmlinux.h: vmlinux.h gerado na máquina de compilação.

Se você estiver visando um kernel diferente, regenere-o na máquina de destino antes de compilar:

root@kitploit:~

bpftool btf dump file /sys/kernel/btf/vmlinux format c > vmlinux.h

Compile via makefile

make

Os artefatos de compilação são colocados na raiz do projeto:

Executar via linha de comando

sudo ./deny_af_alg

saída

Listening for AF_ALG socket create attempts... (Ctrl-C to stop)
BLOCKED pid=12345  comm=python3

Executar via systemd

Copie o arquivo deny-af-alg.service e o binário para a máquina de destino.

Execute via systemd

systemctl start deny-af-alg.service

Executar apenas o programa bpf manualmente via bpftool

bpftool prog loadall deny_af_alg.bpf.o /sys/fs/bpf/deny_af_alg autoattach

Comandos adicionais

Preparação

dnf install -y bpftool libbpf-devel clang llvm kernel-devel

Compilar

bpftool btf dump file /sys/kernel/btf/vmlinux format c > vmlinux.h
clang -O2 -g -target bpf -D__TARGET_ARCH_x86 -I/usr/include/bpf -c deny_af_alg.bpf.c -o deny_af_alg.bpf.o

Verificar

bpftool prog list | grep deny_af_alg
sudo cat /sys/kernel/debug/tracing/trace_pipe