CVE-2026-32606

ملخص

IncusOS هو صورة نظام تشغيل غير قابلة للتغيير مخصصة لتشغيل Incus. قبل الإصدار 202603142010، يسمح التكوين الافتراضي لأداة systemd-cryptenroll كما تستخدمها IncusOS عبر mkosi لمهاجم يملك وصولاً مادياً إلى الجهاز بالوصول إلى البيانات المشفرة دون الحاجة إلى أي تفاعل من مالك النظام أو أي عبث بحالة Secure Boot أو صورة إقلاع النواة (UKI). يعود السبب في ذلك إلى أنه في هذا التكوين، يتم توفير مفتاح LUKS بواسطة TPM طالما أن النظام يمتلك قيمة PCR7 المتوقعة وتطابق سياسة PCR11. وتسمح سياسة PCR11 الافتراضية هذه بشكل مهم لـ TPM بإطلاق المفتاح للنظام المُقلع بدلاً من إطلاقه فقط من جزء initrd الخاص بصورة النواة الموقعة (UKI). يعتمد الهجوم على قدرة المهاجم على استبدال قسم الجذر المشفر الأصلي بقسم يتحكم فيه. ومن خلال القيام بذلك، سيطلب النظام مفتاح استرداد عند الإقلاع، وهو مفتاح عرّفه المهاجم ويمكنه توفيره، قبل إقلاع النظام باستخدام قسم الجذر الخاص بالمهاجم بدلاً من القسم الأصلي للنظام. يحتاج المهاجم فقط إلى وضع وحدة systemd تبدأ عند إقلاع النظام داخل قسم الجذر الخاص به ليقوم النظام بتشغيل هذا المنطق عند الإقلاع. ستعمل هذه الوحدة بعد ذلك في بيئة سيسمح فيها TPM باسترجاع مفتاح التشفير لقرص الجذر الحقيقي، مما يسمح للمهاجم بسرقة مفتاح وحدة تخزين LUKS (المفتاح الرئيسي غير القابل للتغيير) ثم استخدامه ضد قرص الجذر الحقيقي، إما بتعديله أو استخراج البيانات منه قبل إعادة القرص إلى حالته الأصلية وإرجاع النظام دون أي أثر لحدوث هذا الهجوم. كل هذا ممكن لأن النظام سيظل قد أقلع مع تفعيل Secure Boot، وسيكون قد قاس وشغّل أداة الإقلاع وصورة النواة المتوقعة (UKI). يختار initrd قرص الجذر بناءً على معرّفات أقسام GPT مما يجعل من السهل استبدال قرص الجذر الحقيقي بقرص يتحكم فيه المهاجم. لا يؤدي هذا إلى أي تغيير في حالة TPM وبالتالي يسمح للمهاجم باسترجاع مفتاح LUKS من خلال وحدة systemd تعمل عند الإقلاع على قسم الجذر البديل الخاص به. يتضمن إصدار IncusOS 202603142010 (2026/03/14 20:10 UTC) منطق PCR15 الجديد وسيقوم تلقائياً بتحديث سياسة TPM عند الإقلاع. يجب على أي شخص يشتبه في أن نظامه قد تعرض لوصول مادي أثناء إيقاف التشغيل إجراء مسح كامل للنظام وإعادة تثبيته، لأن ذلك فقط سيدوّر مفتاح وحدة تخزين LUKS ويمنع الوصول اللاحق إلى البيانات المشفرة إذا كان النظام قد تعرض للاختراق سابقاً. لا توجد حلول بديلة معروفة سوى التحديث إلى إصدار يحتوي على منطق مصحح والذي سيعيد ربط مفاتيح LUKS تلقائياً بالمجموعة الجديدة من سجلات TPM ويمنع استغلال هذا الثغرة.

المصادر

• CVE-2026-32606-POC