CVE-2026-31431 "Copy Fail" — скрипт обнаружения уязвимости

Сканер на основе оболочки для CVE-2026-31431 "Copy Fail" — уязвимости локального повышения привилегий в криптографической подсистеме ядра Linux (интерфейс algif_aead / AF_ALG). Непривилегированный локальный пользователь может записать 4 байта в кеш страниц в памяти setuid-бинарника (например, /usr/bin/su) и получить root-оболочку — без изменения файла на диске.

• CVSS: 7.8 (ВЫСОКИЙ)
• Присутствует в ядре с: 2017 (4.14)
• Коммит исправления в основной ветке: a664bf3d603d
• CISA KEV: добавлено 1 мая 2026 г.
• Подробнее: copy.fail

Поддерживаемые дистрибутивы

Производные Ubuntu на основе указанных выпусков (Pop!_OS, Linux Mint, Elementary OS и т.д.) также обнаруживаются через ID_LIKE в /etc/os-release.

Что проверяется

Использование

# Basic scan
bash cve-2026-31431-detect.sh

# No colour output (log files, CI)
bash cve-2026-31431-detect.sh --no-colour

# JSON output (machine-readable, for pipelines)
bash cve-2026-31431-detect.sh --json

# Quiet mode — only print the summary
bash cve-2026-31431-detect.sh --quiet

# Combine flags
bash cve-2026-31431-detect.sh --json --quiet

Права root не требуются. Дополнительные пакеты не нужны, кроме стандартной оболочки (bash ≥ 4.3) и опционально python3 для проверки живого сокета AF_ALG.

Коды возврата

Предназначен для использования в конвейерах DevSecOps — передавайте вывод JSON в вашу SIEM, систему тикетов или дашборд соответствия.

Вывод

Скрипт выводит результаты на двух языках:

• Английский — полная подробная сводка с состоянием, разбивкой рисков и пошаговым устранением
• Венгерский (Magyar) — идентичное содержимое на венгерском

Оба раздела выводятся в stdout после результатов по каждой проверке.

Example (clean system)

=== Kernel Version ===
  [INFO] Distro flavour : ubuntu (id=ubuntu, codename=jammy, version=22.04)
  [INFO] Kernel release : 5.15.0-135-generic
  [OK] Kernel version
       Reason : Ubuntu jammy: kernel 5.15.0-135.145 >= patched version 5.15.0-135.145

...

  ✅ PROTECTED — SYSTEM IS NOT VULNERABLE

Example (vulnerable system)

  ❌ VULNERABLE — IMMEDIATE ACTION REQUIRED

  ✗ Kernel version
  ✗ Patch presence
  ✗ algif_aead module
  ✗ AF_ALG socket
  ✗ Setuid binaries

Устранение

Debian

sudo apt update && sudo apt full-upgrade && sudo reboot
# After reboot: uname -v  →  must show >= 6.1.170-1 (Bookworm)

Ubuntu

sudo apt update && sudo apt full-upgrade && sudo reboot
# After reboot: cat /proc/version_signature

Временное смягчение (если обновление ядра невозможно немедленно)

Эффективно только если CONFIG_CRYPTO_USER_API_AEAD=m (собрано как модуль). Не действует, если опция вкомпилирована (=y).

echo 'install algif_aead /bin/false' | sudo tee /etc/modprobe.d/disable-algif-aead.conf
sudo rmmod algif_aead 2>/dev/null || true

Это не затрагивает SSH, dm-crypt/LUKS, OpenSSL, GnuTLS, NSS, веб-серверы или шифрование диска.

Важные замечания

• Этот скрипт не выполняет никакого эксплойтного кода — только проверки конфигурации и версий.
• Copy Fail — только локальное повышение привилегий; удалённая эксплуатация через интернет невозможна.
• Уязвимость изменяет кеш страниц в памяти; файлы на диске никогда не затрагиваются, поэтому инструменты проверки целостности файлов (AIDE, Tripwire и т.д.) не обнаружат активную атаку.
• Перезагрузка очищает кеш страниц, но уязвимость остаётся — единственное постоянное решение — установка исправления.
• Запуск скрипта от root может привести к ложноотрицательным результатам при проверке сокета AF_ALG (root всегда может открывать сокеты AF_ALG).

Ссылки

• Debian Security Tracker: https://security-tracker.debian.org/tracker/CVE-2026-31431
• Ubuntu Security: https://ubuntu.com/security/CVE-2026-31431
• Ubuntu USN-7523-1: https://ubuntu.com/security/notices/USN-7523-1
• Upstream fix: https://github.com/torvalds/linux/commit/a664bf3d603dc3bdcf9ae47cc21e0daec706d7a5
• Exploit details: https://copy.fail
• Original detection script: https://github.com/liamromanis101/CVE-2026-31431-Copy-Fail---Vulnerability-Detection-Script

Лицензия

MIT