Смягчение CopyFail (CVE-2026-31431) — Руководство для нескольких дистрибутивов

Этот репозиторий содержит подробные руководства и скрипты для смягчения уязвимости CopyFail (CVE-2026-31431). Эта ошибка затрагивает подсистему шифрования ядра Linux (AF_ALG) и позволяет локальное повышение привилегий (LPE) от обычного пользователя до root.

📁 Структура репозитория Репозиторий организован по дистрибутивам для упрощения применения в конкретных инфраструктурных средах:

/Ubuntu: Руководство для Ubuntu 20.04, 22.04 и 24.04.

/RockyLinux: Руководство для Rocky Linux 8 и 9 (стандарт RHEL).

/Debian: Руководство для Debian 12 и 13 (Trixie).

/openSUSE: Руководство для openSUSE Leap 15.x.

/Scripts: Автоматизированный скрипт проверки и мониторинга.

🚀 Как использовать этот материал

1. Быстрая проверка Перед применением любых изменений вы можете проверить, активен ли вектор атаки в вашей системе, выполнив тестовую команду через Python:

Bash python3 -c "import socket; s=socket.socket(socket.AF_ALG, socket.SOCK_SEQPACKET, 0); s.close(); print('VETOR ATIVO')" 2>/dev/null || echo "✅ Protegido/Vetor Bloqueado" 2. Выберите метод смягчения Руководства в формате PDF и Markdown внутри папок рассматривают два сценария:

Метод A (Blacklist модуля): Для ядер, где algif_aead загружается как модуль (=m). Не требует перезагрузки.

Метод B (Initcall Blacklist): Для ядер, где код встроен (=y). Требует изменения в GRUB и перезагрузки.

🛠️ Включённые скрипты В этом репозитории мы предоставляем check-copy-fail.sh, который автоматизирует аудит:

Проверяет текущую конфигурацию ядра (/boot/config-*).

Пытается загрузить уязвимый модуль.

Проверяет, присутствует ли смягчение через GRUB в /proc/cmdline.

⚠️ Важные предупреждения (Отказ от ответственности) Тестовая среда: Всегда тестируйте смягчение в среде предварительного тестирования перед применением в производстве.

Влияние: Блокировка algif_aead может повлиять на приложения, зависящие от нативного криптографического API ядра (хотя большинство приложений используют OpenSSL или библиотеки в пользовательском пространстве).

Окончательное решение: Эти смягчения являются временными. Окончательное решение — обновление ядра через менеджер пакетов (apt, dnf, zypper), как только будет выпущен официальный патч вашего дистрибутива.

🤝 Вклад Не стесняйтесь открывать Issue или отправлять Pull Request, если вы обнаружите необходимые варианты для других дистрибутивов или улучшения скриптов мониторинга.

📞 Поддержка и контакты Разработано командой Vox Cia.

Сайт: https://voxcia.io Instagram: https://www.instagram.com/voxcia.ia/ LinkedIn: linkedin.com/company/voxcia

Этот материал распространяется под лицензией MIT. Не стесняйтесь делиться и использовать его в вашей организации.

Советы для GitHub: Создайте каталоги: Создайте папки (Ubuntu, Rocky и т. д.) и поместите туда PDF-файлы.

Создайте версию .txt или .md: Помимо PDF, полезно иметь содержимое в текстовом формате внутри GitHub, чтобы внутренняя поисковая система индексировала команды.

LICENSE: Не забудьте добавить файл с именем LICENSE (может быть MIT или Apache 2.0), чтобы люди знали, что могут свободно использовать ваш код.

Этот README согласован с техническим содержанием, которое вы уже создали, и передаёт образ крайней серьёзности.