cfDr

方法	Root 能否绕过？	覆盖范围	企业级 Linux 支持
模块黑名单	✅ 可以（通过 insmod）	阻止 modprobe 加载	所有版本
SELinux 策略	❌ 不能（LSM 层）	仅限已配置的域	所有版本（默认）
systemd seccomp	❌ 不能（系统调用过滤器）	仅限已配置的服务	所有版本
eBPF LSM	❌ 不能（LSM 层）	系统范围（若已配置）	RHEL 9+、Fedora 34+

### 为什么仅靠模块黑名单是不够的

拥有 root 权限的坚定攻击者可以绕过模块黑名单：```bash
# Module blacklist DOES NOT prevent:
insmod /lib/modules/$(uname -r)/kernel/crypto/algif_aead.ko.xz

标志值	已启用的缓解措施	使用场景
1	仅模块黑名单	最低防护，适用于没有 SELinux 的系统
2	仅 SELinux	仅 SELinux 环境
3	模块黑名单 + SELinux	推荐默认值
5	模块黑名单 + seccomp	非 SELinux 环境，带服务加固
7	模块黑名单 + SELinux + seccomp	增强防护
15	所有缓解措施	最高防护（仅限 RHEL 9+）

#### 6. 分类状态判定

cfDr 将每台主机归类为以下状态之一：

| 状态 | 条件 | 所需操作 |
|--------|-----------|-----------------|
| **易受攻击 - 模块已加载** | 内核 >= 4.10，模块存在且已加载 | **立即处理** - 可主动利用 |
| **易受攻击 - 模块存在** | 内核 >= 4.10，模块存在但未加载 | **高优先级** - 可加载并利用 |
| **已缓解 - 模块被列入黑名单** | 检测到黑名单 | **低优先级** - 监控，应用额外防护层 |
| **已防护 - 纵深防御** | 黑名单 + SELinux/seccomp/eBPF | **无需处理** - 完全防护 |
| **不易受攻击 - 内核过旧** | 内核 < 4.10 | **无需处理** - 早于漏洞出现时间 |
| **不易受攻击 - 无模块** | 内核中无 algif_aead 模块 | **无需处理** - 模块不可用 |

### 评估输出

每台主机将获得：
1. **控制台输出**：简短的单行状态
2. **详细文件**：`/root/cve-2026-31431-assessment-<hostname>.txt`
3. **JSON 报告**：`/tmp/cve-2026-31431-<hostname>.json`

简短输出示例：```
webserver1.example.com: VULNERABLE - Module exists and can be loaded
dbserver2.example.com: PROTECTED - Defense-in-depth (Module Blacklist + SELinux)
appserver3.example.com: NOT VULNERABLE - Module not available

### 执行流程

#### 评估模式（默认）```
1. Pre-flight checks
   ↓
2. Gather system facts
   ↓
3. Detect kernel version
   ↓
4. Check module availability
   ↓
5. Check current load status
   ↓
6. Check existing mitigations
   ↓
7. Determine vulnerability status
   ↓
8. Flag vulnerable hosts
   ↓
9. Generate reports
   ↓
10. Create summary
   ↓
11. [Optional] Generate inventory

### 修复详情

#### 模块黑名单（标志 1）

**功能说明**：
1. 如果 `algif_aead` 模块当前已加载，则将其卸载（`rmmod algif_aead`）
2. 创建 `/etc/modprobe.d/blacklist-algif_aead-cve-2026-31431.conf`：   ```
   blacklist algif_aead
   install algif_aead /bin/true

**包含内容**：
- 漏洞评估结果
- 推荐的缓解标志（按主机计算）
- 系统详细信息（内核版本、SELinux 状态）
- 可直接应用的修复设置

**智能建议**：
- 标志 3（模块黑名单 + SELinux）：如果 SELinux 已启用
- 标志 1（仅模块黑名单）：如果 SELinux 不可用
- 可通过生成的 `host_vars` 按主机自定义

---

## 对系统加密的影响

### 关键发现：标准 RHEL 加密不受影响

**置信度**：⭐⭐⭐⭐⭐ **高** - 请参阅 [IPsec/XFRM 验证报告](https://github.com/parmstro/cfdr/blob/HEAD/docs/IPSEC_VALIDATION.md) 获取全面分析

**对 Enterprise Linux 部署的好消息：** 根据包括 [CERT-EU](https://cert.europa.eu/publications/security-advisories/2026-005/)、[CloudLinux](https://blog.cloudlinux.com/cve-2026-31431-copy-fail-mitigation-and-patches) 和 [HPCsec](https://www.hpcsec.com/2026/04/30/advisory-cve-2026-31431-copy-fail-local-privilege-escalation-via-af-alg-algif_aead/) 在内的权威来源，**cfDr 的缓解措施对标准 RHEL 系统加密和服务的影响极小甚至为零**。

### 不受影响的内容

以下关键的 RHEL 加密系统**不使用 AF_ALG**，完全不受我们的修复措施影响：

#### 核心系统服务

| 服务/组件 | 功能 | 状态 |
|------------------|----------|--------|
| **dm-crypt / LUKS** | 全盘加密 | ✅ 不受影响 |
| **IPsec / XFRM** | VPN 和加密网络 | ✅ 不受影响（[已验证](https://github.com/parmstro/cfdr/blob/HEAD/docs/IPSEC_VALIDATION.md)） |
| **kTLS** | 内核 TLS 实现 | ✅ 不受影响 |
| **SSH** | 安全 Shell 连接 | ✅ 不受影响 |

#### 加密库

| 库 | 用途 | 状态 |
|---------|-------|--------|
| **OpenSSL**（默认） | SSL/TLS、证书、通用加密 | ✅ 不受影响 |
| **GnuTLS**（默认） | TLS 实现 | ✅ 不受影响 |
| **NSS** | Mozilla 网络安全服务 | ✅ 不受影响 |
| **内核密钥环** | 内核密钥管理 | ✅ 不受影响 |

#### 关键基础设施

- ✅ **SSL/TLS** - 所有 Web 服务器加密不受影响
- ✅ **HTTPS** - 安全 Web 流量不受影响
- ✅ **电子邮件加密**（S/MIME、PGP）- 不受影响
- ✅ **证书操作** - 不受影响
- ✅ **数据库加密** - 不受影响
- ✅ **备份加密** - 不受影响

### 为什么标准服务不使用 AF_ALG

如 [Linux 内核加密文档](https://www.kernel.org/doc/html/v4.11/crypto/userspace-if.html) 所述，**AF_ALG 是内核加密的用户空间套接字接口**，于 Linux 2.6.38 中引入。然而，大多数 RHEL 系统服务**直接**使用内核加密 API，而非通过 AF_ALG 套接字层。

根据 [CERT-EU 的安全公告](https://cert.europa.eu/publications/security-advisories/2026-005/)：

> “dm-crypt / LUKS、kTLS、IPsec、SSH 以及默认的 OpenSSL / GnuTLS 构建不依赖 AF_ALG，不受 AF_ALG 限制的影响。”

架构如下所示：```
┌─────────────────────────────────────────────┐
│  Userspace Applications                     │
├─────────────────────────────────────────────┤
│  Standard Crypto Libraries                  │
│  (OpenSSL, GnuTLS, NSS)                    │
│  │                                          │
│  └─────> In-Kernel Crypto API ──────────┐  │
│           (Direct access)                │  │
├──────────────────────────────────────────┼──┤
│  AF_ALG Socket Interface (RARELY USED)   │  │
│  │                                       │  │
│  └─────> In-Kernel Crypto API ──────────┘  │
├─────────────────────────────────────────────┤
│  Kernel Crypto Subsystem                    │
│  (AES, SHA, AEAD algorithms)                │
└─────────────────────────────────────────────┘

Standard services bypass AF_ALG entirely

**用例：** 硬件加密加速卸载  
**普遍性：** 在标准部署中极为罕见  
**影响：** 应用程序回退到软件加密

#### 2. 使用 libkcapi 的自定义应用程序

使用专用库进行**直接 AF_ALG 套接字编程**。

**用例：** 专用安全工具或自定义加密应用程序  
**普遍性：** 在标准企业环境中几乎不存在  
**影响：** 特定于应用程序，需要修改代码

#### 3. 硬件加密卸载工具

使用 AF_ALG 实现硬件加速的**专用工具**。

**用例：** 高性能计算、加密硬件加速器  
**普遍性：** 仅存在于专业的高安全性或 HPC 环境中  
**影响：** 回退到软件加密

### Red Hat 官方立场

根据 [Red Hat Bugzilla #2460538](https://bugzilla.redhat.com/show_bug.cgi?id=2460538)：

- **CVE：** CVE-2026-31431
- **严重性：** 高（CVSS 7.8）
- **状态：** 已在内核 6.19.12+ 中修复
- **修复方案：** 回退 2017 年的原地优化（提交 72548b093ee3）
- **影响：** “在 algif_aead 中原地操作没有益处，因为源和目标来自不同的映射”

### 按缓解标志划分的影响评估

| 标志 | 缓解措施 | 对标准服务的影响 |
|------|------------|----------------------------|
| 1 | 模块黑名单 | ✅ 零影响 - 未使用 AF_ALG |
| 2 | SELinux 策略 | ✅ 零影响 - 阻止未使用的系统调用 |
| **3** | **黑名单 + SELinux** | ✅ **零影响 - 推荐** |
| 5 | 黑名单 + seccomp | ✅ 零影响 - 按服务安全 |
| 7 | 黑名单 + SELinux + seccomp | ✅ 零影响 - 纵深防御 |
| 15 | 所有缓解措施 | ✅ 零影响 - 最大保护 |

### 修复后验证

应用 cfDr 缓解措施后，验证关键服务是否继续正常运行：```bash
# Test SSH connectivity
ssh localhost echo "SSH working"

# Test HTTPS (if web server running)
curl -k https://localhost

# Test LUKS encryption (if using encrypted volumes)
cryptsetup status /dev/mapper/luks-volume

# Test IPsec (if VPN configured)
ipsec status

# Test system services
systemctl status sshd
systemctl status httpd
systemctl status postgresql

# Check for any service failures
systemctl --failed

您的环境	建议	原因
标准 RHEL 服务器	立即部署标志 3	零影响，即时防护
使用自定义加密的 RHEL	先审计 AF_ALG 使用情况	可能性极低，但仍需验证
开发系统	立即部署标志 3	与生产环境相同
高安全环境	部署标志 7 或 15	最大纵深防御

**会发生什么**：
- 评估所有主机
- 不做任何更改
- 生成报告

**审查**：
- 检查每台主机上的 `/root/cve-2026-31431-assessment-<hostname>.txt`
- 查看摘要输出
- 识别存在漏洞的主机

**预期输出**：```
CVE-2026-31431 Summary Report
==========================================
Total hosts scanned: 50
Vulnerable hosts: 12

VULNERABLE HOSTS REQUIRING REMEDIATION:
web1.example.com, web2.example.com, db1.example.com, ...

DEFAULT RECOMMENDED MITIGATION: Flag 3
  - Module Blacklist (1) + SELinux (2) = Defense-in-depth
  - Module Blacklist alone can be bypassed by root (via insmod)
  - SELinux blocks syscall even if blacklist is bypassed
  - Covers user_t/unconfined_t (vast majority of scenarios)

**会发生什么**：
- 识别出存在漏洞的主机
- 为每台主机计算推荐的缓解标志
- 生成清单文件

**审查**：```bash
# Check generated inventory
cat vulnerable_hosts/vulnerable_hosts.yml

# Review per-host recommendations
ls vulnerable_hosts/host_vars/

**发生的情况**：
- 仅对测试/开发主机应用缓解措施
- 重启服务（针对 seccomp）
- 已执行验证

**验证**：```bash
# Re-scan test hosts
ansible-playbook -i vulnerable_hosts/vulnerable_hosts.yml quickstart.yml --limit 'dev*:test*'

# Check for "PROTECTED - Defense-in-depth" status

**会发生什么**：
- 每个层级单独修复
- 服务一次重启一个层级
- 允许分阶段验证

**在阶段之间进行监控**：
- 检查服务可用性
- 查看应用程序日志
- 验证用户体验

#### 第 5 步：验证与文档记录```bash
# Final assessment of all hosts
ansible-playbook -i inventory quickstart.yml

### 应急响应工作流程

针对**正在被利用**的系统或**即时威胁**：```bash
# Immediate assessment and remediation
ansible-playbook -i inventory quickstart.yml -e apply_remediation=true -e mitigation_flags=3

# Re-verify all hosts
ansible-playbook -i inventory quickstart.yml

**集成对象**：
- 配置管理数据库（CMDB）
- 安全信息和事件管理（SIEM）
- 用于修复跟踪的工单系统

### 自定义缓解工作流

对于超出 Flag 3 的**特定需求**：```bash
# Use enhanced protection (Flag 7: Blacklist + SELinux + seccomp)
ansible-playbook -i inventory quickstart.yml \
  -e apply_remediation=true \
  -e mitigation_flags=7

# Or customize per-host via inventory
# Edit generated host_vars/*.yml files to set custom flags
vim vulnerable_hosts/host_vars/web1.example.com.yml
# Change: recommended_mitigation_flags: 7

# Apply customized settings
ansible-playbook -i vulnerable_hosts/vulnerable_hosts.yml cve_2026_31431_playbook.yml \
  -e apply_remediation=true

---

## 快速开始

对于希望立即上手的用户：

### 最简单的用法```bash
# Clone repository
git clone https://github.com/parmstro/cfDr.git
cd cfDr

# Step 1: Assess all hosts
ansible-playbook -i inventory quickstart.yml

# Step 2: Apply recommended mitigations to vulnerable hosts
ansible-playbook -i inventory quickstart.yml --limit vulnerable_hosts -e apply_remediation=true

### 生成漏洞清单```bash
# Scan and create inventory of vulnerable hosts
ansible-playbook -i inventory quickstart.yml -e generate_inventory=true

# Review generated files
ls inventory_output/

# Apply mitigations using generated inventory
ansible-playbook -i inventory_output/vulnerable_hosts.yml cve_2026_31431_playbook.yml \
  -e apply_remediation=true

### 自定义 SELinux 域

编辑 `roles/cve_2026_31431/defaults/main.yml`：```yaml
# Add additional domains to protect
selinux_denied_domains:
  - user_t
  - unconfined_t
  - httpd_t
  - postgresql_t
  - mysqld_t
  - custom_app_t        # Your custom domain
  - another_service_t

### 要求

- **Ansible**：2.9 或更高版本（推荐 2.15+）
- **特权访问**：目标主机上需要 sudo/root 权限
- **Python**：目标主机上需要 2.7 或 3.5+ 版本
- **支持的操作系统**：Red Hat Enterprise Linux、CentOS、Fedora（Debian/Ubuntu 支持有限）

---

## 其他资源

### CVE 信息与分析

**官方来源**：
- [NVD - CVE-2026-31431](https://nvd.nist.gov/vuln/detail/CVE-2026-31431)
- [MITRE CVE 条目](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-31431)

**安全研究与分析**：
- [Sysdig - CVE-2026-31431 分析](https://www.sysdig.com/blog/cve-2026-31431-copy-fail-linux-kernel-flaw-lets-local-users-gain-root-in-seconds)
- [The Hacker News - Copy Fail 漏洞](https://thehackernews.com/2026/04/new-linux-copy-fail-vulnerability.html)
- [CERT-EU 安全公告](https://cert.europa.eu/publications/security-advisories/2026-005/)
- [Help Net Security - Copy Fail 详情](https://www.helpnetsecurity.com/2026/04/30/copyfail-linux-lpe-vulnerability-cve-2026-31431/)

### 相关缓解项目

社区对 CVE-2026-31431 缓解的贡献：

- **[block-copyfail](https://github.com/atgreen/block-copyfail)** - Anthony Green 编写的 eBPF LSM 实现
  - 基于 eBPF 的全面缓解方案
  - 为现代内核提供系统级保护
  - cfDr 的 eBPF 实现来源

- **[Blastwall](https://gprocunier.github.io/blastwall/demo.html)** - Greg Procunier 编写的 SELinux 策略框架
  - 高级 SELinux 策略管理
  - 多 CVE 防护框架
  - cfDr 的 SELinux 实现来源

### Red Hat 特定资源

**知识库文章**：
- [Red Hat 客户门户 - CVE-2026-31431](https://access.redhat.com/security/cve/cve-2026-31431)
- [Red Hat 安全数据 - 受影响产品](https://access.redhat.com/security/data/metrics/)

**缓解指南**：
- [Enterprise Linux 的 SELinux - 用户指南](https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/9/html/using_selinux/)
- [systemd 安全功能](https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/9/html/managing_systems_using_the_rhel_9_web_console/securing-systemd-services_system-management-using-the-rhel-9-web-console)

### 文档

**cfDr 扩展文档**：
- [Enterprise Linux 缓解指南](https://github.com/parmstro/cfdr/blob/HEAD/enterprise-linux-mitigations.md) - 所有缓解方法的全面对比
- [SELinux 缓解指南](https://github.com/parmstro/cfdr/blob/HEAD/selinux-mitigation.md) - 详细的 SELinux 策略实现
- [seccomp 缓解指南](https://github.com/parmstro/cfdr/blob/HEAD/seccomp-mitigation.md) - systemd seccomp 过滤器实现
- [eBPF LSM 缓解指南](https://github.com/parmstro/cfdr/blob/HEAD/ebpf-lsm-mitigation.md) - eBPF LSM 程序实现
- [docs/CONTRIBUTORS.md](https://github.com/parmstro/cfdr/blob/HEAD/CONTRIBUTORS.md) - 贡献指南与致谢

**Ansible 文档**：
- [Ansible 用户指南](https://docs.ansible.com/ansible/latest/user_guide/)
- [Ansible 最佳实践](https://docs.ansible.com/ansible/latest/user_guide/playbooks_best_practices.html)

---

## 补丁监控

### Red Hat Enterprise Linux

**主要来源**：Red Hat 客户门户
- **安全公告**：https://access.redhat.com/security/security-updates/
- **勘误公告**：https://access.redhat.com/errata/
- **CVE 跟踪器**：https://access.redhat.com/security/cve/cve-2026-31431

**通知方式**：

1. **电子邮件提醒**（推荐）：
   - 登录 Red Hat 客户门户
   - 导航至：账户设置 → 通知
   - 启用：“安全公告”和“产品勘误”
   - 选择：您管理的 RHEL 版本

2. **RSS 订阅**：
   - RHEL 7 安全：https://access.redhat.com/blogs/766093/feed
   - RHEL 8 安全：https://access.redhat.com/blogs/1683903/feed
   - RHEL 9 安全：https://access.redhat.com/blogs/5480361/feed
   - 全部安全：https://access.redhat.com/security/data/oval/com.redhat.rhsa-all.xml

3. **API 访问**：   ```bash
   # Check for kernel security updates
   curl -H "Accept: application/json" \
     "https://access.redhat.com/labs/securitydataapi/cve/CVE-2026-31431.json"

自动化监控： ```bash

Install Red Hat Security Advisories plugin for yum

sudo yum install yum-plugin-security

Check for security updates

sudo yum updateinfo list security

Check specifically for kernel updates

sudo yum updateinfo list security kernel

### CentOS / Rocky Linux / AlmaLinux

**CentOS Stream**：
- **公告**：https://lists.centos.org/pipermail/centos-announce/
- **安全邮件列表**：https://lists.centos.org/mailman/listinfo/centos-security-announce

**Rocky Linux**：
- **安全追踪器**：https://errata.rockylinux.org/
- **公告**：https://rockylinux.org/news/

**AlmaLinux**：
- **勘误**：https://errata.almalinux.org/
- **安全**：https://wiki.almalinux.org/security/

### Fedora

**主要来源**：Fedora 项目
- **更新系统**：https://bodhi.fedoraproject.org/
- **安全列表**：https://lists.fedoraproject.org/archives/list/[email protected]/

**通知方式**：```bash
# Subscribe to security announcements
# Visit: https://lists.fedoraproject.org/admin/lists/security-announce.lists.fedoraproject.org/

# Check for updates
sudo dnf check-update kernel

# View available security updates
sudo dnf updateinfo list security

### Debian

**主要来源**：Debian 安全跟踪器
- **安全跟踪器**：https://security-tracker.debian.org/tracker/CVE-2026-31431
- **安全公告**：https://www.debian.org/security/

**通知方式**：```bash
# Subscribe to Debian Security Announcements
# Visit: https://lists.debian.org/debian-security-announce/

# Check for security updates
sudo apt update
sudo apt list --upgradable

### 上游内核

**Linux 内核邮件列表**：
- **LKML 存档**：https://lkml.org/
- **安全列表**：https://www.kernel.org/category/releases.html

**Git 仓库**：```bash
# Monitor kernel git for patches
git clone https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git

# Search for CVE-2026-31431 patches
git log --all --grep="CVE-2026-31431"

确认补丁是否可用： ```bash

Check your distribution's update mechanism

sudo yum check-update kernel # RHEL/CentOS/Fedora sudo apt update && apt list --upgradable linux-image-* # Ubuntu/Debian
查看发布说明：
- 阅读供应商公告以获取安装说明
- 检查是否有任何已知问题或先决条件
- 验证内核版本号
在非生产环境中测试： ```bash

Apply kernel update to test systems first

sudo yum update kernel # RHEL/CentOS/Fedora sudo apt upgrade linux-image-* # Ubuntu/Debian sudo reboot
验证补丁有效性： ```bash

After reboot, verify kernel version

uname -r

Run cfDr assessment to confirm patch

ansible-playbook -i inventory quickstart.yml
规划生产环境部署：
- 安排维护窗口
- 分阶段进行内核更新
- 规划服务重启/重新引导
移除临时缓解措施（可选）： ```bash

After patching, temporary mitigations can be removed

However, defense-in-depth recommends keeping them

If you choose to remove:

sudo rm /etc/modprobe.d/blacklist-algif_aead-cve-2026-31431.conf sudo semodule -r cve_2026_31431_af_alg_deny # SELinux policy

Remove seccomp drop-in files

Update initramfs/initrd

最受欢迎

cfDr - 复制故障医生

仓库

目录

了解 CVE-2026-31431

什么是复制故障？

技术细节

受影响系统

为何此漏洞至关重要

现实影响

可用的修复方案

了解防护级别

推荐方法：纵深防御

完整防护策略

缓解标志参考

需要注意的覆盖缺口

检测方法

cfDr 如何检测漏洞

1. 内核版本检查```bash

3. 模块加载状态```bash

5. 现有缓解措施检测

cfDr 的工作原理

架构

修复模式（apply_remediation=true）```

SELinux 策略（标志 2）

systemd seccomp（标志 4）

eBPF LSM（标志 8）

清单生成

可能受影响的内容（罕见边缘情况）

1. 显式启用 afalg 引擎的 OpenSSL

Check if afalg engine is enabled (rare)

If this returns "afalg is not available", you're safe

专业安全社区共识

生产部署建议

总结

推荐工作流程

标准企业工作流程

第 1 步：初步评估（只读）```bash

Scan all hosts without making changes

步骤 2：生成漏洞清单```bash

Create inventory of vulnerable hosts with recommendations

步骤 3：在非生产环境中测试修复措施```bash

Apply to test/dev hosts first

第4步：生产环境修复（分阶段进行）```bash

Apply to production in stages

Stage 1: Web tier

Stage 2: Application tier

Stage 3: Database tier (most critical)

预期最终输出：``` CVE-2026-31431 Summary Report

持续监控工作流

Weekly automated scan

Alert on new vulnerabilities

(integrate with monitoring system)

验证工作流

On remediated host:

Should return nothing (module not loaded)

Should fail: "modprobe: ERROR: could not insert 'algif_aead'"

Should show blacklist configuration

Check SELinux policy

Should show: cve_2026_31431_af_alg_deny

Check seccomp (for services)

Should show: RestrictAddressFamilies=~AF_ALG

使用自定义清单```bash

Assess with your inventory

Remediate vulnerable hosts

高级配置

自定义缓解标志

Module blacklist only

SELinux only

Module blacklist + SELinux (default recommended)

Enhanced: Blacklist + SELinux + seccomp

Maximum: All mitigations (RHEL 9+ only)

自定义 seccomp 服务

Add additional services to protect

使用示例剧本模板

Example 1: Assessment only

Example 2: Module blacklist only

Example 3: Recommended (Blacklist + SELinux)

Install Red Hat Security Advisories plugin for yum

修复模式（`apply_remediation=true`）```