copyfail-detect

Набор инструментов для обнаружения CVE-2026-31431 («Copy Fail») — техники локального повышения привилегий в ядре Linux, которая повреждает данные в page-cache без изменения файла на диске.

Зачем это существует

Copy Fail может обходить традиционные системы мониторинга целостности файлов, поскольку файл на диске не изменяется. Этот репозиторий предоставляет многоуровневое обнаружение с использованием auditd, eBPF, сравнения page-cache, правил Sigma и документации для реагирования.

Монитор eBPF — детектор с самой высокой точностью: он отслеживает активность AF_ALG, извлекает попытки привязки authencesn, отслеживает подозрительное использование splice() и коррелирует эти события в высоконадёжный сигнал цепочки эксплойта.

Быстрый старт

Проверьте, доступна ли рискованная криптографическая поверхность ядра:

python3 check/is_vulnerable.py

Примените немедленное смягчение:

sudo bash mitigate/disable_algif_aead.sh

Разверните правила обнаружения auditd:

sudo cp detect/auditd/copyfail.rules /etc/audit/rules.d/
sudo augenrules --load
sudo ausearch -k copyfail_af_alg

Запустите монитор eBPF в реальном времени:

sudo python3 detect/ebpf/copyfail_monitor.py
sudo python3 detect/ebpf/copyfail_monitor.py --json

Проверьте наличие подмены page-cache после предполагаемой эксплуатации:

sudo python3 detect/pagecache-check/pagecache_diff.py

Уровни обнаружения

Структура репозитория

check/                  Безопасные проверки экспозиции и sentinel
detect/auditd/          Правила auditd и заметки по развёртыванию
detect/ebpf/            Мониторы реального времени на bcc и bpftrace
detect/pagecache-check/ Сравнение page-cache с диском
detect/sigma/           Правила Sigma для SIEM
docs/                   Руководства по обнаружению, IOC, архитектуре и криминалистике
mitigate/               Вспомогательные средства смягчения (локальные и Ansible)
tests/                  Синтаксические и модульные тесты

Примечания по безопасности

Проверка уязвимости использует только временный sentinel-файл и никогда не затрагивает системные файлы. Инструмент сравнения page-cache является детективным и может вытеснить повреждённую страницу, которую он проверяет; сначала сохраните память, если вам нужны криминалистические доказательства.

Ссылки

• Авторы исследования и раскрытия: Theori / Xint Code
• Раскрытие: https://copy.fail/
• Техническое описание: https://xint.io/blog/copy-fail-linux-distributions
• CVE: CVE-2026-31431
• Исправление ядра: коммит a664bf3d603d
• PoC от Theori: https://github.com/theori-io/copy-fail-CVE-2026-31431

Благодарности

Спасибо Theori и Xint Code за выявление, анализ и ответственное раскрытие Copy Fail. Этот репозиторий основан на их публичных исследованиях, чтобы защитники могли безопасно обнаруживать, смягчать и расследовать CVE-2026-31431.