CVE-2026-31431-Copy-Fail-add-arm64

نظرة عامة على الثغرة

آلية الثغرة

في عام 2017، تم إدخال تحسين على التشفير في المكان (in-place optimization) في وحدة التشفير algif_aead داخل النواة. تسبب هذا التحسين في وضع صفحات ذاكرة التخزين المؤقت (page-cache) بشكل خاطئ في قائمة scatterlist قابلة للكتابة. يمكن للمهاجم من خلال الجمع بين مقبس AF_ALG واستدعاء النظام splice() كتابة بيانات إلى ذاكرة التخزين المؤقت لأي ملف (بما في ذلك الملفات للقراءة فقط المملوكة لـ root).

سلسلة الهجوم: AF_ALG socket ← splice() ← بدائية كتابة إلى page-cache ← التلاعب بذاكرة التخزين المؤقت لملفات setuid الثنائية ← تنفيذ الملف للحصول على صلاحيات root

خصائص الهجوم:

• لا يتطلب حالة سباق (ليس race condition، بل عيب منطقي مباشر)
• لا يتطلب ميزات تصحيح أخطاء في النواة
• لا يتطلب تكييف إزاحات خاصة بمعمارية معينة
• سكربت الاستغلال العام يبلغ ~732 بايت فقط، ويعمل عبر جميع التوزيعات الرئيسية

النطاق المتأثر

التوزيعات المؤكدة تأثرها

توزيعات Debian وArch وFedora وRocky وAlma وOracle وغيرها متأثرة أيضًا ضمن نفس نطاق إصدارات النواة.

نطاق إصدارات النواة المتأثرة

جميع إصدارات النواة الأقل من إصدارات الإصلاح التالية تعتبر متأثرة:

طرق الفحص

1. التحقق من إصدار النواة

uname -r

قارن المخرجات مع إصدارات الإصلاح في الجدول أعلاه؛ إذا كان الإصدار أقل، فالنظام متأثر.

2. التحقق من اتصالات AF_ALG

# عرض أي اتصالات AF_ALG حالية
lsof | grep AF_ALG

# عرض حالة مقابس AF_ALG
ss -xa | grep alg

3. التحقق من تحميل وحدة algif_aead

lsmod | grep algif_aead

إذا كان هناك مخرجات، فهذا يعني أن الوحدة محمّلة وهناك خطر استغلال.

4. التحقق من الثغرة (لبيئات الاختبار المصرح بها فقط)

# استنساخ مستودع PoC
git clone https://github.com/cx330zer0/CVE-2026-31431-Copy-Fail-add-arm64.git
cd CVE-2026-31431-Copy-Fail-add-arm64

# تشغيل PoC (يتطلب هوية مستخدم غير مميز)
python3 copy-fail-dual-arch.py

إذا نجح PoC في الحصول على قشرة root، فهذا يعني أن النظام يحتوي على الثغرة.