Сводка по уязвимости

Оптимизация AEAD на месте 2017 года (коммит 72548b093ee3, ядро 4.14) позволяет непривилегированному локальному атакующему получить контролируемый примитив записи в page-cache для любого читаемого файла, что даёт возможность повышения привилегий до root. В контейнерных средах тот же примитив может способствовать побегу из контейнера.

Ядра до 4.14 НЕ подвержены. Это включает ядро 3.13 Ubuntu (Trusty 14.04 GA) и ядро 4.4 (Xenial 16.04 GA, Trusty HWE) — они предшествуют уязвимому коммиту.

Ссылки на коммиты

Дистрибутивы переносят патчи с собственными идентификаторами коммитов. Скрипт ищет CVE ID в журналах изменений пакетов, что надёжнее, чем хеши из апстрима для ядер с бэкпортами.

Подверженные выпуски Ubuntu

Команда безопасности Ubuntu распространяет обновление пакета kmod, которое записывает install algif_aead /bin/false в /etc/modprobe.d/disable-algif_aead.conf. Этот скрипт создаёт тот же файл с тем же содержимым и полностью совместим с этим подходом. Применение официального обновления пакета (sudo apt install --only-upgrade kmod) — рекомендуемый путь в Ubuntu; этот скрипт обеспечивает эквивалентное покрытие для систем, отличных от Ubuntu, или для предварительной проверки до обновления.

Быстрый старт

Локально

Удалённо (запуск напрямую из GitHub, без загрузки)

Передайте скрипт напрямую из main и выполните его. Форма bash -s -- передаёт аргументы после -- в сам скрипт, поэтому --mitigate попадает в скрипт, а не в bash.

Эквиваленты с wget:

Примечание по безопасности. Передача удалённого скрипта напрямую в привилегированную оболочку доверяет тому, что URL отдаёт в момент выполнения. Для разовой проверки это приемлемо; для повторного или производственного использования зафиксируйте конкретный коммит и сначала просмотрите скрипт:

root@kitploit:~

curl -fsSL https://raw.githubusercontent.com/Webhosting4U/Copy-Fail_Detect_and_mitigate_CVE-2026-31431/<commit-sha>/copyfail-check.sh -o copyfail-check.sh
less copyfail-check.sh
sudo bash copyfail-check.sh --mitigate

Что проверяется

1. Запуск от root
2. Предварительная проверка версии ядра — ядра до 4.14 сразу завершаются с вердиктом NOT AFFECTED
3. Доказательства патча ядра, в этом порядке — любого положительного сигнала достаточно:
   • Журнал изменений пакета ядра Debian/Ubuntu (поиск всех трёх хешей исправляющих коммитов и CVE ID)
   • Журнал изменений пакета ядра RHEL/Fedora (те же шаблоны)
   • Загруженные livepatch ядра в /sys/kernel/livepatch/, а также kpatch list и canonical-livepatch status
   • Инструменты CVE дистрибутива: ubuntu-security-status --cves, dnf updateinfo list cves, zypper patch-check
4. Доступность модуля algif_aead (modinfo) и состояние загрузки (lsmod)
5. Существующие правила блокировки на основе modprobe в /etc/modprobe.d/ — принимаются эквивалентные нейтрализаторы (install … /bin/false|/bin/true|/sbin/nologin) и blacklist; определяется, исходит ли блокировка из пакета kmod Ubuntu
6. Подсказка о пакете kmod Ubuntu — если модуль не заблокирован и система — Ubuntu, сообщается, доступно ли обновление пакета смягчения для обнаруженного выпуска
7. Активное использование AF_ALG через счётчик ссылок модуля в /proc/modules (колонка 3); также отмечается ссылка на движок OpenSSL afalg в /etc/ssl или /etc/pki/tls
8. Итоговый вердикт о риске

Значения вердиктов

Что делает смягчение

При использовании --mitigate на подверженной системе скрипт:

• Создаёт /etc/modprobe.d/disable-algif_aead.conf, содержащий install algif_aead /bin/false
• Пытается выгрузить algif_aead, если он загружен
• Оставляет постоянную блокировку при загрузке

Имя файла /etc/modprobe.d/disable-algif_aead.conf совпадает с файлом, записываемым официальным обновлением пакета kmod Ubuntu, поэтому оба подхода взаимозаменяемы и совместимы.

Важные примечания

• Смягчение — это временное снижение риска, а не замена патча ядра.
• Отключение algif_aead безопасно для распространённых криптографических путей: dm-crypt, LUKS, kTLS, IPsec, стандартное использование OpenSSL/GnuTLS, SSH и криптография keyring ядра не затрагиваются.
• Приложения, которые явно загружают движок OpenSSL afalg, потеряют аппаратное ускорение; они должны переключиться на программную криптографию, но для запуска переключения может потребоваться перезагрузка.
• Контейнерные рабочие нагрузки: уязвимость может позволить побег из контейнера даже без опубликованного PoC. Применение смягчения или патча ядра рекомендуется независимо от типа рабочей нагрузки.

Хронология раскрытия

Требования

• Хост Linux
• Привилегии root (sudo или root-оболочка)
• Основные инструменты (требуются всегда): uname, modinfo, lsmod, awk, grep
• Опциональные инструменты (используются при наличии, в порядке авторитетности):
  • dpkg — сканирование журнала изменений Debian/Ubuntu и проверка версии kmod
  • lsb_release — определение выпуска Ubuntu для подсказки kmod
  • rpm — сканирование журнала изменений RHEL/Fedora
  • kpatch / canonical-livepatch и /sys/kernel/livepatch/ — обнаружение live-patch
  • ubuntu-security-status, dnf updateinfo, zypper patch-check — инструменты CVE дистрибутива

Структура репозитория

Ссылки

• copy.fail — официальная страница уязвимости
• Copy Fail across Linux distributions — анализ покрытия дистрибутивов
• oss-security disclosure — полное техническое раскрытие
• Ubuntu Security Advisory — рекомендации для Ubuntu и версии исправленных пакетов
• CVE Record — официальная запись CVE