CVE-2026-31431 "Copy Fail" — 漏洞检测脚本

基于 Shell 的扫描器，用于检测 CVE-2026-31431 "Copy Fail"，这是 Linux 内核加密子系统（algif_aead / AF_ALG 接口）中的一个本地权限提升漏洞。一个无特权的本地用户可以向内存中的 setuid 二进制文件（例如 /usr/bin/su）的页缓存写入 4 个字节，从而获得 root shell —— 无需接触磁盘上的文件。

• CVSS: 7.8 (高危)
• 内核中自: 2017（4.14）
• 上游修复提交: a664bf3d603d
• CISA KEV: 添加于 2026 年 5 月 1 日
• 更多信息: copy.fail

支持的分发版

基于上述版本的 Ubuntu 衍生版（Pop!_OS、Linux Mint、Elementary OS 等）也会通过 /etc/os-release 中的 ID_LIKE 检测。

检测内容

用法

# 基本扫描
bash cve-2026-31431-detect.sh

# 无颜色输出（日志文件、CI）
bash cve-2026-31431-detect.sh --no-colour

# JSON 输出（机器可读，用于流水线）
bash cve-2026-31431-detect.sh --json

# 安静模式 —— 仅打印摘要
bash cve-2026-31431-detect.sh --quiet

# 组合标志
bash cve-2026-31431-detect.sh --json --quiet

无需 root 权限。除标准 shell（bash ≥ 4.3）外无需安装任何包，并可选的 python3 用于实时 AF_ALG 套接字测试。

退出码

设计用于 DevSecOps 流水线 —— 将 JSON 输出管道传输到您的 SIEM、工单系统或合规仪表板。

输出

该脚本以两种语言打印结果：

• 英语 — 包含状态、风险细分和逐步修复的完整详细摘要
• 匈牙利语 (Magyar) — 匈牙利语的相同内容

两个部分都在逐项检查结果之后打印到标准输出。

示例（干净系统）

=== Kernel Version ===
  [INFO] Distro flavour : ubuntu (id=ubuntu, codename=jammy, version=22.04)
  [INFO] Kernel release : 5.15.0-135-generic
  [OK] Kernel version
       Reason : Ubuntu jammy: kernel 5.15.0-135.145 >= patched version 5.15.0-135.145

...

  ✅ PROTECTED — SYSTEM IS NOT VULNERABLE

示例（易受攻击系统）

  ❌ VULNERABLE — IMMEDIATE ACTION REQUIRED

  ✗ 内核版本
  ✗ 补丁存在性
  ✗ algif_aead 模块
  ✗ AF_ALG 套接字
  ✗ Setuid 二进制文件

修复

Debian

sudo apt update && sudo apt full-upgrade && sudo reboot
# 重启后: uname -v  → 必须显示 >= 6.1.170-1 (Bookworm)

Ubuntu

sudo apt update && sudo apt full-upgrade && sudo reboot
# 重启后: cat /proc/version_signature

临时缓解措施（如果无法立即更新内核）

仅当 CONFIG_CRYPTO_USER_API_AEAD=m（作为模块构建）时有效。如果该选项被编译进内核（=y），则无效果。

echo 'install algif_aead /bin/false' | sudo tee /etc/modprobe.d/disable-algif-aead.conf
sudo rmmod algif_aead 2>/dev/null || true

这不会影响 SSH、dm-crypt/LUKS、OpenSSL、GnuTLS、NSS、Web 服务器或磁盘加密。

重要说明

• 该脚本不执行任何漏洞利用代码 —— 仅进行配置和版本检查。
• Copy Fail 仅是本地权限提升 —— 无法通过互联网进行远程利用。
• 该漏洞修改内存中的页缓存；从不触及磁盘上的文件，因此文件完整性工具（AIDE、Tripwire 等）将不会检测到正在进行中的攻击。
• 重启会清除页缓存，但漏洞仍然存在 —— 补丁是唯一的永久修复。
• 以 root 身份运行脚本可能会导致 AF_ALG 套接字检查出现假阴性（root 始终可以打开 AF_ALG 套接字）。

参考

• Debian 安全跟踪器: https://security-tracker.debian.org/tracker/CVE-2026-31431
• Ubuntu 安全性: https://ubuntu.com/security/CVE-2026-31431
• Ubuntu USN-7523-1: https://ubuntu.com/security/notices/USN-7523-1
• 上游修复: https://github.com/torvalds/linux/commit/a664bf3d603dc3bdcf9ae47cc21e0daec706d7a5
• 漏洞利用细节: https://copy.fail
• 原始检测脚本: https://github.com/liamromanis101/CVE-2026-31431-Copy-Fail---Vulnerability-Detection-Script

许可证

MIT