CVE-2026-31431 “复制失败” — 检测与安全内核补丁脚本

通过 algif_aead（AF_ALG）实现 Linux 内核本地权限提升 CVSS 7.8 高危 | 公开披露：2026 年 4 月

---

⚡ 快速开始

1. 检测脚本（安全，只读）

以普通用户身份运行：

curl -fsSL https://raw.githubusercontent.com/Mrhudson69/cve-2026-31431/main/check_cve_2026_31431.sh -o check.sh && bash check.sh

该脚本：

• 仅执行只读检查
• 不会修改系统
• 不会利用漏洞
• 检查 algif_aead AEAD 绑定路径是否可达

---

2. 补丁 / 缓解脚本

以 root 身份运行：

curl -fsSL https://raw.githubusercontent.com/Mrhudson69/cve-2026-31431/main/patch_cve_2026_31431.sh -o patch.sh && sudo bash patch.sh

---

3. Elastic Agent 卸载脚本

如需从服务器卸载 Elastic Agent，以 root 身份运行：

curl -fsSL https://raw.githubusercontent.com/Mrhudson69/cve-2026-31431/main/uninstall_elastic_agent.sh -o uninstall-elastic.sh && sudo bash uninstall-elastic.sh

该脚本：

• 查找已安装的 Elastic Agent 二进制文件
• 以非交互方式运行 elastic-agent uninstall
• 验证二进制文件、服务和安装目录是否已被移除

---

🔥 重要提示：容器 / LXC / Docker

如果您位于以下环境中：

• Docker
• LXC
• Proxmox 容器（CT）
• Kubernetes Pod
• wg-easy 容器
• 任何容器化环境

您无法从容器内部修补宿主机内核。

脚本会自动检测容器环境并安全退出。

您必须在以下位置运行补丁脚本：

• Proxmox 宿主机节点
• 实际的 Debian/Ubuntu 虚拟机宿主机
• 裸机 Linux 服务器

而不是在容器内部。

---

🛡️ 什么是 CVE-2026-31431？

Linux 内核 algif_aead 加密接口中的一个缺陷允许非特权本地用户通过 AF_ALG 操作破坏页缓存内容。

在存在漏洞的内核配置下，这可能允许：

• 本地权限提升
• 修改页缓存支持的文件
• 通过可写的缓存二进制文件实现权限提升

该问题影响存在漏洞的 AEAD 优化逻辑且该逻辑可达的 Linux 内核版本。

---

✅ 支持的系统

操作系统	版本
Ubuntu	20.04 / 22.04 / 24.04
Debian	11 / 12 / 13
Proxmox VE	6.x / 7.x / 8.x / 9.x
通用 Linux	任何使用存在漏洞内核的发行版

---

📁 脚本

---

check_cve_2026_31431.sh

安全的只读检测脚本。

执行的检查

检查项	描述
内核版本	检查存在漏洞的内核范围
补丁存在性	尝试识别已修补的内核
algif_aead 状态	检查模块加载 / 黑名单状态
AF_ALG 套接字	测试 algif_aead AEAD 绑定可达性
Python os.splice	检查纯 Python 漏洞利用可行性
Setuid 暴露	检测常见的 setuid 目标
缓解措施	检查 AppArmor / SELinux / seccomp

安全性

检测脚本：

• 不会写入文件
• 不会修改内核设置
• 不会安装软件包
• 不会执行漏洞利用代码

---

patch_cve_2026_31431.sh

安全的内核专用缓解 + 升级脚本。

适用于：

• 生产服务器
• Elasticsearch 节点
• Nginx 反向代理
• 数据库服务器
• Docker 主机
• Proxmox 节点
• AI/ML 服务器
• 监控基础设施

---

uninstall_elastic_agent.sh

用于从 Linux 服务器卸载 Elastic Agent 的安全辅助脚本。

适用于：

• 独立 Linux 服务器
• Debian / Ubuntu 主机
• Proxmox 主机
• 在 /opt/Elastic/Agent 下安装了 Elastic Agent 的系统

---

🔒 补丁脚本的功能

1. 检测环境

• Ubuntu / Debian / Proxmox 检测
• 容器检测
• 内核识别

---

2. 应用即时缓解措施

创建：

/etc/modprobe.d/cve-2026-31431-disable-algif-aead.conf

内容：

blacklist algif_aead
install algif_aead /bin/false

然后尝试：

rmmod algif_aead

这将阻止存在漏洞的模块自动加载。

当 update-initramfs 可用时，脚本还会刷新 initramfs，以确保黑名单在重启后可靠生效。

---

3. 模拟软件包升级

在升级任何内容之前，脚本会执行：

apt-get -s install --only-upgrade ...

如果任何非内核软件包将被升级：

• Elasticsearch
• Nginx
• Docker
• MSSQL
• Redis
• MongoDB
• PostgreSQL
• Kibana
• 等。

脚本将自动中止。

这可以防止意外的应用程序升级。

---

4. 仅升级内核软件包

脚本仅升级：

• Linux 内核软件包
• Proxmox 内核软件包
• 内核头文件
• initramfs/内核支持软件包

不会升级任何应用程序/运行时软件包。

---

5. 重启后恢复

如果系统重启，补丁脚本现在会安装一个临时的一次性 systemd 服务，在下次启动时自动重新运行验证阶段。

这使得单个脚本运行可以覆盖：

• 即时缓解
• 内核软件包安装
• 重启
• 重启后验证

---

🧪 试运行模式

首先使用最安全的选项：

sudo bash patch.sh --dry-run

这将：

• 执行所有检查
• 模拟升级
• 验证软件包安全性
• 不对系统做任何更改

建议在生产环境部署前使用。

---

🔄 重启选项

不重启

sudo bash patch.sh --no-reboot

立即重启

sudo bash patch.sh --reboot-now

使用 --reboot-now 时，脚本会在安排重启之前安装重启恢复钩子。

稍后手动重启

sudo reboot

如果您使用 --no-reboot 或稍后手动重启，重启后验证仍会在下次启动时自动恢复。

---

📋 生产环境安全说明

该脚本设计为避免触及：

• Elasticsearch
• Kibana
• Logstash
• Nginx
• Apache
• MySQL
• MariaDB
• PostgreSQL
• MongoDB
• Redis
• MSSQL
• RabbitMQ
• Docker
• NodeJS
• Python 运行时
• PHP
• AI/ML 工作负载

但是：

• 始终先在预发布环境中测试
• 始终先运行 --dry-run
• 始终为内核重启安排维护窗口

---

📝 日志

补丁日志：

/var/log/cve_2026_31431_kernel_patch.log

---

🔍 重启后验证

检查正在运行的内核：

uname -r

再次运行检测：

bash check.sh

验证模块黑名单：

cat /etc/modprobe.d/cve-2026-31431-disable-algif-aead.conf

---

⚠️ 免责声明

这些脚本仅用于防御性安全和系统管理目的。

不包含任何漏洞利用代码。

始终：

• 在执行前审查脚本
• 先在非生产环境中测试
• 在内核升级前维护备份/快照

使用风险自负。

---

📜 许可证

MIT 许可证

---

🔗 参考

• NVD CVE 条目 https://nvd.nist.gov/vuln/detail/CVE-2026-31431

• Linux 内核修复提交 https://git.kernel.org/linus/a664bf3d603dc3bdcf9ae47cc21e0daec706d7a5

• Ubuntu 安全公告 https://ubuntu.com/security

• Debian 安全跟踪器 https://security-tracker.debian.org/