سياسة Wazuh SCA: فشل النسخ (CVE-2026-31431)

ملف السياسة هذا:

• copy-fail-cve-2026-31431-policy.yml

مصمم لاكتشاف احتمالية التعرض وحالة التخفيف لثغرة فشل النسخ / CVE-2026-31431.

ما تتحقق منه هذه السياسة

1. تم تعطيل algif_aead عبر سياسة modprobe.
2. algif_aead غير محمل حاليًا.
3. ملف التخفيف موجود (/etc/modprobe.d/disable-algif.conf).
4. إرشادات إعادة التشغيل بعد تحديث النواة نظيفة.
5. تحكم seccomp بأفضل جهد يتضمن AF_ALG (المضيفات الحاوية).

لماذا هذه السياسة تركز على التخفيف أولاً

بالنسبة لهذه الثغرة، تجعل التصحيحات الخلفية للتوزيعات التحقق الدقيق من الإصدار غير موثوق به باستخدام فحوصات regex بسيطة. لذلك تركز سياسة SCA هذه على:

• تقليل مسار الاستغلال في وقت التشغيل،
• نظافة التصحيح التشغيلية،
• وإشارات تقوية الحاويات.

النشر على الوكيل

انسخ السياسة إلى:

• /var/ossec/ruleset/sca/copy-fail-cve-2026-31431-policy.yml

قم بتمكين SCA في /var/ossec/etc/ossec.conf إذا لزم الأمر:

  <sca>
    <enabled>yes</enabled>
    <scan_on_start>yes</scan_on_start>
    <interval>14h</interval>
    <policies>
      <policy>/var/ossec/etc/shared/copy-fail-cve-2026-31431-policy.yml</policy>
    </policies>
  </sca>

أعد تشغيل المدير أو الوكيل:

sudo systemctl restart wazuh-agent

أوامر التخفيف المؤقتة (من الإرشادات العامة)

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf
sudo rmmod algif_aead 2>/dev/null || true

ثم أعد التشغيل بعد تحديث النواة المصححة.

ملاحظات

• قد يكون الفحص 110005 غير قابل للتطبيق على المضيفات غير الحاوية.
• إذا كانت بيئتك تخزن ملفات تعريف seccomp في مسار آخر، قم بتكرار/تعديل هذا الفحص.
• إذا كنت تريد فحوصات صارمة لحزمة نواة البائع (خاص بـ Ubuntu/RHEL/SUSE)، أضف فحوصات نطاق التوزيع بناءً على مخرجات مدير الحزم.