copyfail-guard

自动化检测与缓解工具，针对 Linux 内核 algif_aead 模块（AF_ALG 接口）中的 漏洞 CVE-2026-31431 ("Copy Fail")， 该漏洞为本地权限提升（LPE）。

⚠️ 范围： 本项目纯属防御性。它不包含、 不生成也不引用任何利用代码。目标是让安全团队和系统管理员 (1) 识别暴露的主机，(2) 在安装修补后的内核之前 应用推荐的缓解措施（阻止 algif_aead 模块）。

工具功能

1. 检测（--check）

   • 读取当前运行的内核版本（uname -r）
   • 检查 algif_aead 模块是否已加载或可加载
   • 查询已安装内核包的变更日志（apt/dpkg、rpm、zypper），查找补丁/CVE 相关引用
   • 通过 /etc/os-release 识别发行版
   • 返回判定结果：VULNERÁVEL（易受攻击）、MITIGADO（已缓解，模块被阻止）、CORRIGIDO（内核已包含补丁）或 INDETERMINADO（无法确定）

2. 缓解（--mitigate，需要 root 权限）

   • 创建 /etc/modprobe.d/disable-algif-aead-cve-2026-31431.conf，内容为 install algif_aead /bin/false 和 blacklist algif_aead
   • 如果模块已加载，则从内存中卸载（rmmod）
   • 重新执行检测，确认缓解措施已生效
   • 幂等操作：可重复执行任意次数，无副作用

3. 报告（--report json|text）

   • 人类可读输出或结构化 JSON，可直接用于 SIEM、资产审计管道或仪表板

快速使用

# Apenas diagnosticar (não requer root)
sudo ./bin/copyfail-guard --check

# Diagnosticar e aplicar mitigação temporária
sudo ./bin/copyfail-guard --mitigate

# Saída em JSON para integração com outras ferramentas
sudo ./bin/copyfail-guard --check --report json

要求：Python 3.8+、Bash；仅 --mitigate 需要 root 访问权限（检测功能无需提权即可运行，但信息有限）。

重要提示

• 缓解措施（阻止 algif_aead）是临时性的。它能减少攻击面，但不能替代内核更新。一旦适用于您发行版的已修复内核包（包含提交 a664bf3d603d 或等效 backport）可用，应立即安装并重启系统。
• 依赖 algif_aead 的环境（通过用户空间直接使用 AF_ALG 进行 AEAD）可能会因缓解措施而影响功能。dm-crypt/LUKS、kTLS、IPsec、SSH 以及 OpenSSL/GnuTLS 的默认构建通常不依赖 AF_ALG，因此不受影响。

仓库结构

copyfail-guard/
├── bin/
│   └── copyfail-guard        # entrypoint (bash) -> chama o módulo Python
├── copyfail_guard/
│   ├── __init__.py
│   ├── detect.py              # lógica de detecção
│   ├── mitigate.py            # lógica de mitigação
│   └── report.py              # formatação de saída (texto/JSON)
├── tests/
│   └── test_detect.py
├── LICENSE
└── README.md

参考

• copy.fail
• NVD — CVE-2026-31431
• Red Hat RHSB-2026-002
• Ubuntu Security Notices (discourse.ubuntu.com)
• Sysdig / Unit 42 / Tenable / Microsoft Security Blog（技术分析）

许可证

MIT — 参见 LICENSE.