CVE-2026-31431 (Copy Fail) – Инструменты технического смягчения

1. Обзор

Этот пакет предоставляет автоматизированное решение для обнаружения и смягчения уязвимости CVE-2026-31431 (также известной как Copy Fail) на системах Linux под управлением уязвимых ядер (версии от 4.14 до 6.12.84, от 6.13 до 6.18.21 и т. д.).

Инструментарий состоит из:

Единого Bash-скрипта (mitigate_copyfail.sh), который:
- Запускает Phalanx-CCS (проверка активной поверхности атаки) и Silent4Labs (оценка риска).
- Определяет конфигурацию ядра (CONFIG_CRYPTO_USER_API_AEAD=m|y).
- Применяет соответствующее смягчение:
  - Загружаемый модуль (=m): создаёт файл /etc/modprobe.d/disable-algif-aead.conf с install algif_aead /bin/false и выгружает модуль (rmmod).
  - Встроенный модуль (=y): добавляет параметр загрузки ядра initcall_blacklist=algif_aead_init (требуется перезагрузка).
- Проверяет конечное состояние и извлекает оценку Silent4Labs и уровень риска.
Ansible-плейбука (mitigation.yml), который:
- Копирует скрипты на удалённые серверы.
- Запускает скрипт смягчения и захватывает его вывод.
- Удаляет ANSI-коды цветов.
- Парсит итоговый статус Phalanx и значения Silent4Labs.
- Отображает читаемую сводку и сохраняет подробный журнал на управляющей машине.

Важное замечание: Смягчение является временным. Постоянное исправление — обновление ядра до версии, включающей патч a664bf3d603d (≥6.18.22, ≥6.19.12 или ≥7.0).

2. Требования

2.1. Управляющая машина (где работает Ansible)

Ansible 2.9 или выше
Python 3.6 или выше
SSH-доступ к целевым серверам (с become: yes)

2.2. Удалённые серверы

Bash 4+
Python 3 (для Phalanx-CCS)
Права sudo (для применения смягчения)
Уязвимое ядро (необязательно; если ядро уже исправлено, скрипт не будет вносить изменения)

Скрипты обнаружения (Phalanx-CCS и Silent4Labs) безопасны и не эксплуатируют уязвимость; они лишь проверяют поверхность атаки.

3. Структура репозитория

cve-2026-31431-mitigation/
├── README.md
├── scripts/
│   ├── mitigate_copyfail.sh      # Единый скрипт (обнаружение + смягчение)
│   ├── check_copyfail.py         # Phalanx-CCS (проверка достижимости)
│   └── check-copyfail.sh         # Silent4Labs (оценка риска)
├── ansible/
│   ├── ansible.cfg               # (опционально) Конфигурация Ansible
│   ├── inventory.ini             # Инвентарь серверов
│   └── mitigation.yml            # Основной плейбук
└── resultados_cve/               # Автоматически создаваемая папка для журналов

4. Установка и настройка

4.1. Клонирование репозитория

git clone https://github.com/your-username/cve-2026-31431-mitigation.git
cd cve-2026-31431-mitigation/ansible

4.2. Подготовка инвентаря (`inventory.ini`)

Пример для удалённого сервера:

[servers]
server1 ansible_host=192.168.1.10 ansible_user=root

[localhost]
localhost ansible_connection=local

[all:vars]
ansible_become=yes
# ansible_become_password=my_password  # если используется пароль для sudo

4.3. Проверка путей к скриптам

В файле mitigation.yml задача Copy scripts to remote использует src: "../scripts/{{ item }}". Убедитесь, что относительный путь корректен, или измените его в соответствии с вашей структурой.

5. Выполнение

Из каталога ansible/:

ansible-playbook -i inventory.ini mitigation.yml -k -K

-k запрашивает пароль SSH.
-K запрашивает пароль become (sudo).

При использовании localhost с ansible_connection=local SSH не требуется.

5.1. Ожидаемый вывод

Плейбук отображает текстовую сводку, подобную следующей:

==========================================
РЕЗУЛЬТАТЫ СМЯГЧЕНИЯ
==========================================
Хост: server1
------------------------------------------
  - Статус: СИСТЕМА ЗАЩИЩЕНА
  - Код: (не применимо)
------------------------------------------
  - Итоговая оценка: 40 / 100
  - Уровень риска: СРЕДНИЙ
==========================================

Дополнительно в папку resultados_cve/<hostname>_mitigation.log сохраняется файл журнала с полным выводом скрипта (дата, версия ядра, сообщения обнаружения и т. д.).

6. Режим отладки

Если извлечённые значения показывают ? или Not detected, включите отладочные задачи в mitigation.yml:

Измените when: false на when: true в трёх DEBUG-задачах (или установите when: true, чтобы просмотреть clean_stdout и результаты regex).
Повторно запустите плейбук и просмотрите вывод, чтобы при необходимости скорректировать шаблоны поиска.

7. Настройка

7.1. Изменение каталога журналов

Отредактируйте задачи Create local results directory и Save full output to local file:

path: /absolute/path/resultados_cve
dest: "/absolute/path/resultados_cve/{{ inventory_hostname }}_mitigation.log"

7.2. Отключение копирования скриптов (если они уже присутствуют)

Закомментируйте задачи копирования и измените путь в задаче Run mitigation script, чтобы он указывал на существующее расположение.

7.3. Автоматическая очистка удалённых скриптов

Измените when: false на when: true в последней задаче (Clean up remote scripts).

8. Ограничения и предупреждения

Смягчение через параметр загрузки (initcall_blacklist) требует перезагрузки для вступления в силу. Плейбук не выполняет перезагрузку автоматически; необходимо запланировать окно обслуживания.
В системах с CONFIG_CRYPTO_USER_API_AEAD=y (встроенный модуль) модуль нельзя выгрузить с помощью rmmod; единственный способ — параметр загрузки.
Оценка Silent4Labs является индикативной; среднее значение (например, 40/100) не означает, что система эксплуатируема, если смягчение активно.
Скриптам обнаружения могут потребоваться привилегии для чтения /proc/crypto и /boot/config-*; они выполняются с become: yes.

9. Ссылки

10. Лицензия

Этот проект распространяется под лицензией MIT. Сторонние скрипты (Phalanx-CCS, Silent4Labs) сохраняют свои собственные лицензии.

Поддержка проекта

Если вы считаете этот инструмент полезным, пожалуйста, поставьте ему звезду на GitHub!

cve-2026-31431-mitigation

Популярное