Alibaba Cloud Linux:Alibaba Cloud Linux での AF_ALG プロトコルファミリーの無効化

ステップ 1：前提条件の確認

デプロイする前に、システムが以下の両方の条件を満たしていることを確認してください：

1. カーネルでライブパッチのサポートが有効になっている。

2. 現在のカーネルバージョンに対応する kernel-devel パッケージがインストールされている。

# 1. 実行中のカーネルに対応する kernel-devel パッケージがインストールされているか確認します。
test -d "/lib/modules/$(uname -r)/build" && echo "kernel-devel OK" || echo "Please install kernel-devel-$(uname -r)"

# パッケージが見つからない場合は、インストールします：
sudo yum install -y kernel-devel-$(uname -r)

# 2. カーネルでライブパッチのサポートが有効になっているか確認します。
test -d /sys/kernel/livepatch && echo "livepatch sysfs OK"

ステップ 2：RPM パッケージのインストール

# 1. ご利用のオペレーティングシステムのバージョンに対応する RPM パッケージをダウンロードします。 (ダウンロードリンクは許可リストで保護されています。承認済みリンクを取得するには、DingTalk グループ 179525012975 にご参加ください。)

# 2. RPM パッケージをインストールします。例：Alibaba Cloud Linux 3 の場合
sudo yum install disable-af-alg-livepatch-1.0.0-1.al8.noarch.rpm

カーネルを更新した場合は、緩和策を有効に保つために、対応する RPM パッケージを再インストールしてください。

ステップ 3：緩和策の検証

方法 1：ライブパッチのステータス確認

この方法は、Alibaba Cloud Linux 3 および Alibaba Cloud Linux 4 に適用されます：

# ライブパッチのステータスを確認します。
kpatch list

# 期待される出力：「Loaded patch modules:」リストに「disable_af_alg [enabled]」が表示されます。

方法 2：AF_ALG ソケットブロッキングの検証

次の Python スクリプトを実行して、AF_ALG ソケットの作成がブロックされていることを確認します:

python3 - <<'PY'
import socket, errno
try:
    s = socket.socket(38, socket.SOCK_SEQPACKET, 0)  # 38 は AF_ALG を意味します
    print("AF_ALG socket create: SUCCESS (Mitigation is not effective)")
    s.close()
except OSError as e:
    if e.errno == errno.EAFNOSUPPORT:
        print(f"AF_ALG socket create: FAILED (Mitigation is effective)")
    else:
        print(f"AF_ALG socket create: FAILED (Unexpected error),errno={e.errno}, msg={e.strerror}")
PY