copyfailscan

Bash-помощник: обнаружение хостов (опционально CIDR через nmap), затем SSH-проверки только для чтения для CVE-2026-31431 (Copy Fail / algif_aead), CVE-2026-31677 / CVE-2026-43077 (эвристики AF_ALG RX), CVE-2026-23111 (nftables + пользовательские пространства имён), CVE-2026-23102 (arm64 SVE/SME). Только эвристики — не эксплойт; подтверждайте у своего вендора.

Считайте конфиденциальным: файл с паролями на диске; в выводе перечисляются хосты и состояние ядра.

Требования

Учётные данные

1. sudo cp copyfail-creds.example /etc/copyfail-creds && sudo nano /etc/copyfail-creds
2. Один user:password в строке (только первый : разделяет пользователя и пароль).
3. Требуется режим 600: sudo chmod 600 /etc/copyfail-creds
   Если файл принадлежит root, запускайте скрипт через sudo (или chown на своего пользователя, режим останется 600).

Использование

CREDS_FILE=/path/to/creds ./copyfail_scan.sh [TARGET]

TARGET: CIDR, одиночный IP/имя хоста или путь к списку хостов (комментарии # допустимы). Если цель опущена, используется значение по умолчанию из скрипта (см. TARGET= в copyfail_scan.sh).

chmod +x copyfail_scan.sh
sudo CREDS_FILE=/etc/copyfail-creds ./copyfail_scan.sh
sudo CREDS_FILE=/etc/copyfail-creds ./copyfail_scan.sh 192.168.1.0/24
CREDS_FILE=~/creds ./copyfail_scan.sh ./hosts.txt

Вывод: только stdout (файла отчёта нет). Для сохранения используйте tee. После строк по хостам: === Summary report === (если не задан COPYFAIL_SUMMARY=0) — Подтверждено исправно против Требует проверки; хосты с одинаковой строкой сводки объединяются (метки через запятую).

Переменные окружения

# Example: no per-host nmap, sequential
COPYFAIL_PREAUTH_NMAP=0 COPYFAIL_PARALLEL=1 sudo ./copyfail_scan.sh 192.168.54.93

Чтение результатов

• Теги вида 31431 PATCHED, 31431 VULN - MITIGATED, 31431 NO algif_aead - VERIFY, [SKIP] / [SKIP - PRE-AUTH] — это эвристики скрипта; хвостовые поля 23111= / 23102= обобщают результаты проверок nftables/user-ns и arm64 SVE.
• Ядра *-pve / вендорские ядра: uname -r может не совпадать с кортежами NVD из апстрима — используйте бюллетени безопасности дистрибутива/Proxmox и установленные пакеты ядра, а не только этот скрипт.
• Подсказка по смягчению (системы с модулями ядра):
  echo 'install algif_aead /bin/false' | sudo tee /etc/modprobe.d/disable-algif.conf && sudo rmmod algif_aead 2>/dev/null
  Для встроенного crypto API подходы отличаются — следуйте документации вендора (например, blacklist в параметрах командной строки ядра).

Ссылки

• copy.fail — сверяйтесь со своим вендором ОС и NVD.

Лицензия

MIT — см. LICENSE.