CVE-2026-31431 — Copy Fail

Linux 内核 algif_aead 权限提升 / 内存破坏
基于 Ansible 的审计与缓解 playbook — 可直接在生产环境运行

概述

Copy Fail（CVE-2026-31431）是 Linux 内核 algif_aead 模块中的一个漏洞——该模块是 AF_ALG 加密套接字家族面向用户空间的 AEAD 接口。
内核在 AEAD 请求处理器内部的 copy_*user 路径中存在缺陷，允许本地非特权用户通过构造恶意套接字请求来破坏内核内存或提升权限。

受影响系统

如果 algif_aead 未加载，且没有用户空间工具按需加载它（请参阅审计步骤 1），则系统不存在直接风险。

影响一览

仓库结构

.
├── audit_algif_aead.yml      # 步骤 1 — 审计：检测每台主机的暴露情况
├── mitigate_copyfail.yml     # 步骤 2 — 缓解：卸载 + 黑名单模块
└── README.md                 # 本文档

前置条件

• 控制节点上安装 Ansible ≥ 2.14
• community.general 集合（ansible-galaxy collection install community.general）
• 目标主机上的 SSH 访问权限 + become: true（sudo）
• 目标主机上安装 lsof（通常默认已安装）

清单配置

inventory.ini 已被 gitignore — 它仅保存在本地，绝不会进入仓库。 inventory.ini.example 是已提交的模板，供所有人作为起点使用。

# 克隆并准备
git clone https://github.com/your-org/copy-fail-CVE-2026-31431.git
cd copy-fail-CVE-2026-31431
cp inventory.ini.example inventory.ini

# 使用真实主机编辑 inventory.ini，然后运行：
ansible-playbook -i inventory.ini audit_algif_aead.yml

以下路径已被 gitignore，以防止泄露基础设施数据：

步骤 1 — 审计

在触碰任何内容之前运行审计 playbook。它会收集每台主机的证据，并在本地和每台目标主机上写入报告。

ansible-playbook -i inventory.ini audit_algif_aead.yml

报告会被拉取到 ./copyfail_reports/<hostname>_audit.txt。

审计检查内容

解读判定结果

步骤 2 — 缓解

请先运行审计。 缓解 playbook 可以安全地幂等运行，但审计能为您提供证据链。

ansible-playbook -i inventory.ini mitigate_copyfail.yml

跳过特定主机（例如已确认依赖 kcapi 的主机）：

ansible-playbook -i inventory.ini mitigate_copyfail.yml \
  -e '{"skip_hosts": ["db-prod-01", "hsm-node-02"]}'

缓解措施的作用

1. 创建 /etc/modprobe.d/disable-algif.conf，内容为 install algif_aead /bin/false
2. 从运行中的内核卸载 algif_aead 模块（初始防护无需重启）
3. 更新 initramfs，使黑名单在重启后仍然生效（Debian/Ubuntu 使用 update-initramfs，RHEL 使用 dracut --force）
4. 将带时间戳的日志写入 /var/backup/copyfail_mitigation/mitigation.log

无需重启即可从内存中移除模块。
仍建议重启以确认黑名单生效，并建立干净的缓解后状态。

验证

playbook 完成后，在任意目标主机上验证：

# 模块不得出现
lsmod | grep algif_aead

# 黑名单文件必须存在且包含 install 行
cat /etc/modprobe.d/disable-algif.conf

# 手动加载必须被拒绝
sudo modprobe algif_aead   # 预期：FATAL: Module algif_aead not found or refused

回滚（内核补丁发布后）

一旦您的厂商发布已修补的内核并已应用：

# 在每台主机上 — 移除黑名单
sudo rm /etc/modprobe.d/disable-algif.conf

# 重建 initramfs
sudo update-initramfs -u        # Debian / Ubuntu
sudo dracut --force              # RHEL / CentOS / Amazon Linux

# 重启进入已修补的内核
sudo reboot

参考资料

• CERT Europa 安全公告 2026-005
• Ubuntu 安全通告 — Copy Fail
• xint.io — 各 Linux 发行版中的 Copy Fail
• Linux 内核 algif_aead 源码

许可证

根据 MIT 许可证 发布。
使用风险自负。在应用于生产系统之前，请务必在预发布环境中进行验证。

由社区维护。欢迎提交 PR 和问题报告。