copyfail-check

[!IMPORTANT] Этот репозиторий архивирован. Проверка Copy Fail теперь находится в cve-check, вместе с другими проверками уязвимостей и опциональным режимом --fix, который применяет исправление. См. checks/CVE-2026-31431 для этой проверки.

curl -fsSL https://raw.githubusercontent.com/codesource/cve-check/main/cve-check.sh | sudo bash -s -- CVE-2026-31431

check_copyfail.sh ниже по-прежнему работает, но больше не обновляется.

Shell-скрипты для обнаружения уязвимостей ядра Linux, проверки статуса митигаций и руководства по исправлению — предназначены для запуска локально или на множестве машин через SSH, Ansible или pssh.

---

CVE-2026-31431 — Copy Fail

Copy Fail — это уязвимость локального повышения привилегий (LPE) высокой степени опасности в криптографическом модуле algif_aead ядра Linux. Логическая ошибка, внесённая в 2017 году, позволяет любому непривилегированному локальному пользователю записать 4 контролируемых байта в page cache любого читаемого файла — этого достаточно, чтобы перезаписать setuid-бинарник и получить root. Существует рабочий proof-of-concept на Python размером 732 байта, который находится в открытом доступе.

CVE	CVE-2026-31431
CVSS	7.8 (High)
Раскрыта	29 апреля 2026
Затронуты	Ядра Linux 4.13 – 6.x (2017–2026)
Дистрибутивы	Ubuntu, RHEL, SUSE, Debian, Amazon Linux и большинство других
Удалённая эксплуатация	Нет — требуется локальный доступ
Патч доступен	Частично — проверьте рекомендации вашего дистрибутива

Что проверяет скрипт

Проверка	Нужен root?
Версия ядра — попадаете ли вы в затронутый диапазон (≥ 4.13)	Нет
Модуль algif_aead — загружен, присутствует на диске или в чёрном списке	Нет
Параметры загрузки — наличие initcall_blacklist=algif_aead_init	Нет
Доступность сокета AF_ALG — открыт ли путь эксплуатации	Нет
Статус SELinux	Нет
Статус AppArmor	Да — без root только частичный вывод
Статус патча дистрибутива — CVE указана в changelog ядра	Нет

Root не требуется для запуска скрипта — все проверки, кроме статуса AppArmor, работают от обычного пользователя. Запуск с sudo рекомендуется для получения полных результатов и является более безопасным выбором при передаче через curl.

Совместимость

Скрипт разработан для работы во всех основных дистрибутивах Linux:

Семейство дистрибутивов	Проверка пакетного менеджера	Путь к модулям
Debian, Ubuntu	dpkg + changelog ядра	/lib/modules/
RHEL, CentOS, Amazon Linux	rpm (kernel, kernel-rt)	/lib/modules/
SUSE, openSUSE	rpm (kernel-default)	/lib/modules/
Arch Linux	pacman + ссылка на advisory	/usr/lib/modules/
Fedora	rpm + запасной вариант /usr/lib/modules/	/usr/lib/modules/

Требуется bash — скрипт использует синтаксис, специфичный для bash, и не будет работать под sh, ash или dash. В Alpine Linux (где по умолчанию используется busybox ash) сначала установите bash:

apk add bash

Быстрый запуск (один сервер)

Без root — большинство проверок работает:

curl -fsSL https://raw.githubusercontent.com/codesource/copyfail-check/main/check_copyfail.sh | bash

С root — полные результаты, включая статус AppArmor:

curl -fsSL https://raw.githubusercontent.com/codesource/copyfail-check/main/check_copyfail.sh | sudo bash

Совет: В продакшене закрепляйте конкретный SHA коммита, чтобы скрипт не изменился у вас под ногами:

curl -fsSL https://raw.githubusercontent.com/codesource/copyfail-check/COMMIT_SHA/check_copyfail.sh | sudo bash

Сначала скачайте и проверьте (рекомендуется)

curl -fsSL https://raw.githubusercontent.com/codesource/copyfail-check/main/check_copyfail.sh -o check_copyfail.sh
less check_copyfail.sh
bash check_copyfail.sh        # without root
sudo bash check_copyfail.sh   # full results

Запуск на парке машин

Цикл по SSH

for HOST in server1 server2 server3; do
  echo "=== $HOST ==="
  ssh "$HOST" "curl -fsSL https://raw.githubusercontent.com/codesource/copyfail-check/main/check_copyfail.sh | sudo bash"
done

Ansible

- name: Check Copy Fail vulnerability
  hosts: all
  tasks:
    - name: Run check script
      script: check_copyfail.sh
      become: yes

Параллельный SSH

pssh -h hosts.txt -i \
  "curl -fsSL https://raw.githubusercontent.com/codesource/copyfail-check/main/check_copyfail.sh | sudo bash"

Пример вывода

============================================================
  Copy Fail CVE-2026-31431 – Vulnerability Check
============================================================

>>> Kernel Version
  [INFO]  Running kernel: 5.15.0-107-generic
  [WARN]  Kernel 5.15.0-107-generic is in the affected range (4.13 – 6.x).

>>> algif_aead Module Status
  [WARN]  algif_aead module is currently LOADED — system is exploitable.
  [WARN]  Module file found at: /lib/modules/5.15.0-107-generic/kernel/crypto/algif_aead.ko
  [WARN]  algif_aead is NOT blacklisted — it can be loaded on demand.

>>> Kernel Boot Parameter Mitigation
  [WARN]  initcall_blacklist=algif_aead_init is NOT set in boot parameters.

>>> AF_ALG Socket Reachability
  [WARN]  AF_ALG sockets are reachable by this user — exploit path is open.

>>> Mandatory Access Control (SELinux / AppArmor)
  [WARN]  Neither SELinux nor AppArmor tools detected — no MAC layer present.

>>> Distribution Patch Status
  [WARN]  Could not confirm CVE-2026-31431 is listed as fixed in running kernel's changelog.

============================================================
  SUMMARY
============================================================
  !! LIKELY VULNERABLE — No confirmed mitigation detected.

  Recommended actions (in order of preference):
  1. Apply your distro's kernel update as soon as available.
  2. Add to /etc/modprobe.d/copyfail.conf:
       blacklist algif_aead
       install algif_aead /bin/true
     Then run: sudo depmod -a && sudo update-initramfs -u
  3. Add to kernel boot parameters (grub):
       initcall_blacklist=algif_aead_init
  4. Immediately unload the module if loaded:
       sudo rmmod algif_aead
============================================================

Меры защиты

Применяйте их в порядке предпочтения:

1. Обновите ядро (лучшее решение)

# Debian / Ubuntu
sudo apt update && sudo apt upgrade linux-image-$(uname -r)

# RHEL / CentOS / Amazon Linux
sudo yum update kernel

# SUSE
sudo zypper update kernel-default

2. Занесите модуль в чёрный список (немедленно, постоянно)

sudo tee /etc/modprobe.d/copyfail.conf << 'EOF'
blacklist algif_aead
install algif_aead /bin/true
EOF

sudo depmod -a

# Debian/Ubuntu
sudo update-initramfs -u

# RHEL/Fedora
sudo dracut -f

3. Выгрузите модуль сейчас (немедленно, не сохраняется после перезагрузки)

sudo rmmod algif_aead

4. Параметр загрузки ядра (альтернатива чёрному списку)

Добавьте initcall_blacklist=algif_aead_init в конфигурацию GRUB и перезагрузитесь.

---

Ссылки

• copy.fail — официальная страница уязвимости
• Разбор от Xint/Theori
• NVD — CVE-2026-31431
• CERT-EU Advisory 2026-005
• Microsoft Security Blog
• The Hacker News

Лицензия