如果未提供任何检查标志，则全部四项都会运行。

输出模式

通过管道时强制美化：cvecheck --pretty | tee report.txt。 在 TTY 中强制纯文本：cvecheck --no-color 或 NO_COLOR=1 cvecheck。

安全声明（机制探测）

该探测仅发出两次系统调用 socket(AF_ALG, SOCK_SEQPACKET, 0) 和 bind(fd, &SockaddrALG{Type:"aead", Name:"authencesn(hmac(sha256), cbc(aes))"})，随后执行 close(fd)。它不会执行用于密钥的 setsockopt、不会执行 accept、不会执行 sendmsg、不会执行 splice，也不会创建管道。易受攻击的代码路径需要将加密数据的 sendmsg 与来自页缓存支持的文件描述符的 splice 结合使用；这些操作均未发生，因此该漏洞无法被触发。

探测成功意味着该攻击面可达。内核是否仍包含该漏洞由内核版本 + 变更日志信号决定。

副作用：成功的 bind 会通过内核模块自动加载器自动加载 algif_aead。模块检查在机制探测之前运行，因此加载状态报告是探测前的状态。要完全抑制自动加载，请先对 algif_aead 进行黑名单设置。

退出码

发行版覆盖范围

部署

自动安装

自动检测您的架构，将正确的二进制文件下载到 $(pwd)，并根据发布的 SHA256SUMS 验证其 SHA-256：

该脚本在校验和不匹配时以非零状态退出，并删除损坏的文件。

下载二进制文件（手动）

为您的宿主机架构选择对应的二进制文件：

运行前验证：

从源码构建

运行程序

SSH 到主机

作为 SSH 远程命令运行

用于容器/Chroot：

将宿主机根目录挂载到可读位置并传递 --root：

--root 控制所有磁盘查找（/etc/os-release、modprobe.d、/lib/modules、/boot/config-*、变更日志文件）。内核版本和机制探测仍通过 uname(2) 和 socket(AF_ALG, ...) 触及正在运行的内核。

优先级阶梯

按以下顺序解析（首个匹配者胜出）：

1. PATCHED：发行版变更日志引用了该 CVE ID。
2. NOT_VULNERABLE：运行中的内核 >= 上游修复版本。
3. MITIGATED：algif_aead 已被列入黑名单且未加载且未编译进 vmlinux。
4. LIKELY_NOT_EXPLOITABLE：AF_ALG 不可用且模块不在磁盘上。
5. MECHANISM_REACHABLE：攻击面可达但未检查内核版本。
6. VULNERABLE：内核在漏洞范围内且机制可达。
7. INCONCLUSIVE：以上均不匹配。

如果 --mechanism 与 --kernel-version 同时运行且两者均提示存在问题，则结果为 VULNERABLE 并附带修复提示。

修复提示

• 可加载模块的发行版（Debian、Ubuntu、SUSE、Alpine、Arch）：在内核升级完成前将 algif_aead 列入黑名单。
  root@kitploit:~

  echo 'blacklist algif_aead' | sudo tee /etc/modprobe.d/cve-2026-31431.conf
  sudo rmmod algif_aead 2>/dev/null
  

• 内置模块的发行版（RHEL、CentOS、Rocky、Alma、Oracle、Amazon）：黑名单文件无效，因为 CONFIG_CRYPTO_USER_API_AEAD=y 将该符号置于 vmlinux 内部。只有内核升级（或 kpatch 风格的实时补丁）才能解决暴露问题。该工具可检测到这一点。

故障排除

来源

• NIST CVE 数据库
• 官方 Copy.Fail 网站
• 官方技术分析
• oss-security 公告
• Theori 分析
• Bugcrowd 摘要