copyfail-guard

Инструмент для автоматического обнаружения и смягчения уязвимости CVE-2026-31431 ("Copy Fail"), локального повышения привилегий (LPE) в модуле algif_aead (интерфейс AF_ALG) ядра Linux.

⚠️ Область применения: этот проект носит чисто оборонительный характер. Он не содержит, не генерирует и не ссылается на код эксплойтов. Цель — позволить командам безопасности и системным администраторам (1) выявлять хосты, подверженные уязвимости, и (2) применять рекомендуемое смягчение (блокировку модуля algif_aead), пока не установлено исправленное ядро.

Что делает инструмент

1. Обнаружение (--check)

   • Считывает версию работающего ядра (uname -r)
   • Проверяет, загружен ли модуль algif_aead или доступен ли он для загрузки
   • Проверяет журнал изменений установленного пакета ядра (apt/dpkg, rpm, zypper) на предмет упоминаний патча/CVE
   • Определяет дистрибутив через /etc/os-release
   • Возвращает вердикт: VULNERÁVEL, MITIGADO (модуль заблокирован), CORRIGIDO (ядро уже содержит патч) или INDETERMINADO

2. Смягчение (--mitigate, требует root)

   • Создаёт /etc/modprobe.d/disable-algif-aead-cve-2026-31431.conf с install algif_aead /bin/false и blacklist algif_aead
   • Выгружает модуль из памяти, если он уже загружен (rmmod)
   • Повторно выполняет проверку обнаружения, чтобы подтвердить, что смягчение возымело эффект
   • Операция идемпотентна: может выполняться сколько угодно раз без побочных эффектов

3. Отчёт (--report json|text)

   • Понятный человеку вывод или структурированный JSON, готовый для передачи в SIEM, конвейеры аудита активов или информационные панели

Краткое использование

# Apenas diagnosticar (não requer root)
sudo ./bin/copyfail-guard --check

# Diagnosticar e aplicar mitigação temporária
sudo ./bin/copyfail-guard --mitigate

# Saída em JSON para integração com outras ferramentas
sudo ./bin/copyfail-guard --check --report json

Требования: Python 3.8+, Bash, доступ root только для --mitigate (проверка работает без повышенных привилегий, но с ограниченной информацией).

Важное предупреждение

• Смягчение (блокировка algif_aead) является временным. Оно уменьшает поверхность атаки, но не заменяет обновление ядра. Как только исправленный пакет ядра (содержащий коммит a664bf3d603d или эквивалентный бэкпорт) станет доступен для вашего дистрибутива, его необходимо применить и перезагрузить систему.
• Среды, зависящие от algif_aead (прямое использование AF_ALG для AEAD в пользовательском пространстве), могут столкнуться с нарушением функциональности из-за смягчения. dm-crypt/LUKS, kTLS, IPsec, SSH и стандартные сборки OpenSSL/GnuTLS обычно не зависят от AF_ALG и не затрагиваются.

Структура репозитория

copyfail-guard/
├── bin/
│   └── copyfail-guard        # entrypoint (bash) -> chama o módulo Python
├── copyfail_guard/
│   ├── __init__.py
│   ├── detect.py              # lógica de detecção
│   ├── mitigate.py            # lógica de mitigação
│   └── report.py              # formatação de saída (texto/JSON)
├── tests/
│   └── test_detect.py
├── LICENSE
└── README.md

Ссылки

• copy.fail
• NVD — CVE-2026-31431
• Red Hat RHSB-2026-002
• Ubuntu Security Notices (discourse.ubuntu.com)
• Sysdig / Unit 42 / Tenable / Microsoft Security Blog (технические аналитические материалы)

Лицензия

MIT — см. LICENSE.