Resumo da vulnerabilidade

Uma otimização AEAD in-place de 2017 (commit 72548b093ee3, kernel 4.14) permite que um atacante local sem privilégios obtenha uma primitiva de escrita controlada no cache de páginas contra qualquer arquivo legível, possibilitando escalação de privilégios para root. Em ambientes de contêiner, a mesma primitiva pode facilitar o escape do contêiner.

Kernels anteriores ao 4.14 NÃO são afetados. Isso inclui o kernel 3.13 do Ubuntu (Trusty 14.04 GA) e o kernel 4.4 (Xenial 16.04 GA, Trusty HWE) — ambos anteriores ao commit vulnerável.

Referências de commits

As distribuições fazem backport dos patches com seus próprios identificadores de commit. O script procura o ID do CVE nos changelogs dos pacotes, o que é mais confiável do que os hashes upstream para kernels com backport.

Releases do Ubuntu afetados

A Equipe de Segurança do Ubuntu distribui uma atualização do pacote kmod que grava install algif_aead /bin/false em /etc/modprobe.d/disable-algif_aead.conf. Este script cria o mesmo arquivo com o mesmo conteúdo e é totalmente compatível com essa abordagem. Aplicar a atualização oficial do pacote (sudo apt install --only-upgrade kmod) é o caminho recomendado no Ubuntu; este script fornece cobertura equivalente para sistemas não-Ubuntu ou triagem pré-atualização.

Início rápido

Local

Remoto (executar diretamente do GitHub, sem download)

Transmita o script diretamente de main e execute-o. A forma bash -s -- encaminha os argumentos após -- para o próprio script, então --mitigate chega ao script e não ao bash.

Equivalentes com wget:

Nota de segurança. Enviar um script remoto diretamente para um shell privilegiado confia no que a URL serve no momento da execução. Para uma triagem pontual, isso é aceitável; para uso repetido ou em produção, fixe um commit específico e inspecione o script primeiro:

root@kitploit:~

curl -fsSL https://raw.githubusercontent.com/Webhosting4U/Copy-Fail_Detect_and_mitigate_CVE-2026-31431/<commit-sha>/copyfail-check.sh -o copyfail-check.sh
less copyfail-check.sh
sudo bash copyfail-check.sh --mitigate

O que é verificado

1. Execução como root
2. Pré-verificação da versão do kernel — kernels anteriores ao 4.14 saem imediatamente como NOT AFFECTED
3. Evidência de patch do kernel, nesta ordem — qualquer sinal positivo é suficiente:
   • Changelog do pacote de kernel Debian/Ubuntu (procura pelos três hashes de commit da correção e pelo ID do CVE)
   • Changelog do pacote de kernel RHEL/Fedora (mesmos padrões)
   • Livepatches do kernel carregados em /sys/kernel/livepatch/, além de kpatch list e canonical-livepatch status
   • Ferramentas de CVE da distribuição: ubuntu-security-status --cves, dnf updateinfo list cves, zypper patch-check
4. Disponibilidade do módulo algif_aead (modinfo) e estado de carregamento (lsmod)
5. Regras de bloqueio existentes baseadas em modprobe em /etc/modprobe.d/ — aceita neutralizadores equivalentes (install … /bin/false|/bin/true|/sbin/nologin) e blacklist; identifica se o bloqueio veio do pacote kmod do Ubuntu
6. Dica do pacote kmod do Ubuntu — se o módulo não estiver bloqueado e o sistema for Ubuntu, informa se a atualização do pacote de mitigação está disponível para o release detectado
7. Uso ativo de AF_ALG via contagem de referências do módulo em /proc/modules (coluna 3); também sinaliza uma referência ao engine afalg do OpenSSL em /etc/ssl ou /etc/pki/tls
8. Verdicto final de risco

Significados dos verdictos

O que a mitigação faz

Quando --mitigate é usado em um sistema afetado, o script:

• Cria /etc/modprobe.d/disable-algif_aead.conf contendo install algif_aead /bin/false
• Tenta descarregar algif_aead se estiver carregado
• Deixa um bloqueio persistente na inicialização

O nome do arquivo /etc/modprobe.d/disable-algif_aead.conf corresponde ao arquivo gravado pela atualização oficial do pacote kmod do Ubuntu, portanto ambas as abordagens são intercambiáveis e compatíveis.

Notas importantes

• A mitigação é uma redução temporária de risco, não um substituto para o patch do kernel.
• Desabilitar algif_aead é seguro para caminhos criptográficos comuns: dm-crypt, LUKS, kTLS, IPsec, uso padrão de OpenSSL/GnuTLS, SSH e criptografia do keyring do kernel não são afetados.
• Aplicações que carregam explicitamente o engine afalg do OpenSSL perderão aceleração de hardware; elas devem recorrer à criptografia por software, mas uma reinicialização pode ser necessária para acionar o fallback.
• Cargas de trabalho em contêiner: a vulnerabilidade pode permitir escape de contêiner mesmo sem um PoC publicado. Aplicar a mitigação ou o patch do kernel é recomendado independentemente do tipo de carga de trabalho.

Linha do tempo da divulgação

Requisitos

• Host Linux
• Privilégios de root (sudo ou shell root)
• Ferramentas essenciais (sempre necessárias): uname, modinfo, lsmod, awk, grep
• Ferramentas opcionais (usadas quando presentes, em ordem de autoridade):
  • dpkg — varredura de changelog Debian/Ubuntu e verificação da versão do kmod
  • lsb_release — detecção do release Ubuntu para a dica do kmod
  • rpm — varredura de changelog RHEL/Fedora
  • kpatch / canonical-livepatch e /sys/kernel/livepatch/ — detecção de live-patch
  • ubuntu-security-status, dnf updateinfo, zypper patch-check — ferramentas de CVE da distribuição

Estrutura do repositório

Referências

• copy.fail — página oficial da vulnerabilidade
• Copy Fail nas distribuições Linux — análise de cobertura das distribuições
• Divulgação no oss-security — divulgação técnica completa
• Advisory de Segurança do Ubuntu — orientações específicas do Ubuntu e versões corrigidas dos pacotes
• Registro do CVE — entrada oficial do CVE