Copy Fail 缓解 DaemonSet

用于在 MKS 集群的所有 worker 节点上修复 Copy Fail 系列漏洞的 DaemonSet。

目录

• CVE-2026-31431 (Copy Fail)
• CVE-2026-43284、CVE-2026-43500、CopyFail2 (Dirty Flag)

CVE-2026-31431 (Copy Fail)

漏洞描述

CVE ID： CVE-2026-31431

CVE 链接： https://nvd.nist.gov/vuln/detail/CVE-2026-31431

攻击向量及 CVSS v.3.1 危险等级：

得分：7.8 HIGH

向量：CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

简要描述：

Copy Fail（CVE-2026-31431）是 Linux 内核加密 API 子系统中的一个逻辑漏洞，允许系统普通用户获得超级用户（root）权限。PoC 适用于从 2017 年至补丁发布之前所有主流 Linux 发行版。

特点：

• 由于整个主机共享 page cache，可作为从容器逃逸到主机的原语使用
• 不需要远程访问 —— 仅在存在本地非特权账户时才可利用
• 使用内核加密 API（AF_ALG），该 API 在几乎所有主流发行版的默认配置中均已启用

该 DaemonSet 的作用

DaemonSet 在集群的每个 worker 节点上启动一个容器：

1. 测试 AF_ALG AEAD 接口的可用性
2. 创建配置文件 /etc/modprobe.d/disable-algif.conf
3. 如果模块已加载，执行 rmmod algif_aead
4. 通过重复第 1 步的检查来确认漏洞已修复

使用方法

1. 下载 DaemonSet

wget https://raw.githubusercontent.com/selectel/mks-copy-fail-mitigation/refs/heads/main/copy-fail-mitigation-daemonset.yaml

或者克隆仓库：

git clone https://github.com/selectel/mks-copy-fail-mitigation.git
cd mks-copy-fail-mitigation

2. 应用 DaemonSet

kubectl apply -f copy-fail-mitigation-daemonset.yaml

3. 检查执行状态

# 检查 DaemonSet 状态
kubectl get daemonset -n kube-system cve-2026-31431-mitigation

# 获取 Pod 列表
kubectl -n kube-system get pods -l app=cve-2026-31431-mitigation -o wide

4. 查看执行日志

# initContainer 日志
kubectl -n kube-system logs -l app=cve-2026-31431-mitigation -c mitigation

5. 删除 DaemonSet

kubectl delete -f copy-fail-mitigation-daemonset.yaml

CVE-2026-43284、CVE-2026-43500、CopyFail2 (Dirty Flag)

CVE ID： CVE-2026-43284、CVE-2026-43500

CopyFail2： 无独立 CVE ID

CVE 链接：

• https://nvd.nist.gov/vuln/detail/CVE-2026-43284
• https://nvd.nist.gov/vuln/detail/CVE-2026-43500

简要描述：

Dirty Flag / CopyFail2 —— Linux 内核 IPsec 子系统（esp4、esp6 和 rxrpc 模块）中的漏洞，允许本地非特权用户获得超级用户（root）权限。

特点：

• 可作为从容器逃逸到主机的原语使用
• 使用内核模块 esp4（IPsec IPv4）、esp6（IPsec IPv6）和 rxrpc（RxRPC 协议），这些模块在大多数发行版中默认启用

该 DaemonSet 的作用

DaemonSet 在集群的每个 worker 节点上启动一个容器：

1. 通过 lsmod 检查 esp4、esp6、rxrpc 模块是否已加载
2. 创建配置文件 /etc/modprobe.d/disable-esp-rxrpc.conf，包含 install esp4/esp6/rxrpc /bin/false 规则
3. 如果模块已加载，则对每个模块执行 rmmod
4. 通过重复 lsmod 检查确认模块不再加载

使用方法

1. 下载 DaemonSet

wget https://raw.githubusercontent.com/selectel/mks-copy-fail-mitigation/refs/heads/main/dirty-flag-copyfail2-mitigation-daemonset.yaml

或者克隆仓库：

git clone https://github.com/selectel/mks-copy-fail-mitigation.git
cd mks-copy-fail-mitigation

2. 应用 DaemonSet

kubectl apply -f dirty-flag-copyfail2-mitigation-daemonset.yaml

3. 检查执行状态

# 检查 DaemonSet 状态
kubectl get daemonset -n kube-system dirty-flag-copyfail2-mitigation

# 获取 Pod 列表
kubectl -n kube-system get pods -l app=dirty-flag-copyfail2-mitigation -o wide

4. 查看执行日志

# initContainer 日志
kubectl -n kube-system logs -l app=dirty-flag-copyfail2-mitigation -c mitigation

5. 删除 DaemonSet

kubectl delete -f dirty-flag-copyfail2-mitigation-daemonset.yaml