重要提示： 此缓解措施为临时性。永久修复方案是将内核升级至包含补丁 a664bf3d603d 的版本（≥6.18.22、≥6.19.12 或 ≥7.0）。

2. 前提条件

2.1. 控制机（运行 Ansible 的机器）

• Ansible 2.9 或更高版本
• Python 3.6 或更高版本
• 对目标服务器的 SSH 访问权限（使用 become: yes）

2.2. 远程服务器

• Bash 4+
• Python 3（用于 Phalanx-CCS）
• sudo 权限（用于应用缓解措施）
• 受影响的内核（可选；若内核已包含补丁，脚本不会执行更改）

检测脚本（Phalanx-CCS 和 Silent4Labs）是安全的，不会利用漏洞；它们仅用于验证攻击面。

3. 仓库结构

4. 安装与配置

4.1. 克隆仓库

4.2. 准备清单文件（inventory.ini）

远程服务器示例：

4.3. 检查脚本路径

在 mitigation.yml 中，任务 Copy scripts to remote 使用了 src: "../scripts/{{ item }}"。请确保相对路径正确，或者根据您的目录结构进行修改。

5. 执行

在 ansible/ 目录下运行：

• -k 询问 SSH 密码。
• -K 询问 become（sudo）密码。

当使用 localhost 且设置 ansible_connection=local 时，无需 SSH。

5.1. 预期输出

剧本会显示类似以下的纯文本摘要：

此外，日志文件会保存在 resultados_cve/<hostname>_mitigation.log 中，包含完整的脚本输出（日期、内核版本、检测信息等）。

6. 调试模式

若提取的值显示 ? 或 Not detected，请启用 mitigation.yml 中的调试任务：

• 将三个 DEBUG 任务中的 when: false 改为 when: true（或设置 when: true 以查看 clean_stdout 和正则表达式输出）。
• 重新运行剧本并观察输出，根据需要调整搜索模式。

7. 自定义

7.1. 更改日志目录

编辑任务 Create local results directory 和 Save full output to local file：

7.2. 禁用脚本复制（如果脚本已存在）

注释掉复制任务，并在 Run mitigation script 任务中调整路径，指向现有位置。

7.3. 自动清理远程脚本

将最后一个任务（Clean up remote scripts）中的 when: false 改为 when: true。

8. 限制与警告

• 通过启动参数（initcall_blacklist）进行的缓解需要重启才能生效。剧本不会自动重启，需要计划维护窗口。
• 在 CONFIG_CRYPTO_USER_API_AEAD=y（内核内置）的系统上，无法通过 rmmod 卸载模块；唯一的方法是使用启动参数。
• Silent4Labs 评分仅具参考意义；中等值（例如 40/100）并不意味着系统在缓解措施生效时可被利用。
• 检测脚本可能需要权限才能读取 /proc/crypto 和 /boot/config-*；它们通过 become: yes 运行。

9. 参考

• CVE-2026-31431 on NVD
• Technical analysis and affected versions
• Phalanx-CCS (detection tool)
• Silent4Labs (risk assessment)

10. 许可证

本项目采用 MIT 许可证发布。第三方脚本（Phalanx-CCS、Silent4Labs）保留其各自的许可证。

支持项目

如果您觉得此工具实用，请在 GitHub 上为我们点星！