CVE-2026-31431 — Copy Fail

تصعيد صلاحيات محلي في نواة لينكس عبر AF_ALG + استبدال صفحة ذاكرة التخزين المؤقت

لأغراض البحث الأمني المصرح به، واختبار الاختراق، والتعليم فقط. لا تستخدم ضد أنظمة لا تملكها أو ليس لديك إذن كتابي صريح لاختبارها.

التقرير الفني

جدول المحتويات

• الوصف
• تفاصيل الثغرة
• هيكل المستودع
• البدء السريع
• الكشف
• المتطلبات
• التخفيف
• بيئة الاختبار (اختياري)
• المراجع
• الترخيص

الوصف

CVE-2026-31431 هي ثغرة تصعيد صلاحيات محلي (LPE) في نواة لينكس. يمكن لمستخدم محلي غير مميز الحصول على صلاحيات الجذر من خلال الجمع بين واجهة مقبس AF_ALG مع splice() لتنفيذ كتابة موثقة مباشرة في صفحة ذاكرة تخزين مؤقت تخص ملفًا ثنائيًا setuid.

يستغل الاستغلال ملف su الثنائي في ذاكرة التخزين المؤقت دون تعديل inode على القرص، متجاوزًا آليات التكامل التي تعتمد فقط على بيانات تعريف الملف أو المجاميع الاختبارية على مستوى الكتلة.

تفاصيل الثغرة

البيئات المتأثرة

هيكل المستودع

.
├── exploit.py    # PoC — استبدال صفحة ذاكرة التخزين المؤقت وتصعيد الصلاحيات
├── detect.bt     # سكربت BPFtrace للكشف في الوقت الفعلي
├── run-vm.sh     # أتمتة بيئة اختبار QEMU (اختياري)
├── PAYLOAD.md    # تحليل ترميز الحمولة (hex → zlib → ELF → shellcode)
└── LICENSE

البدء السريع

شغّل exploit.py كمستخدم محلي غير مميز على أي نظام ضعيف — لا حاجة إلى sudo:

python3 exploit.py

ينفذ السكربت الخطوات التالية:

1. يتحقق من دعم النواة لـ AF_ALG (algif_aead) ويحدد موقع ملف su الثنائي.
2. يختار ويفك ضغط الحمولة المناسبة للبنية.
3. يفتح ملف su الثنائي كوصف ملف خام ويستبدل صفحات ذاكرة التخزين المؤقت الخاصة به عبر AF_ALG + sendfile.
4. يختبر تصعيد الصلاحيات. إذا نجح، يفتح قشرة جذر.

البنى المدعومة:

الكشف

راقب محاولات الاستغلال في الوقت الفعلي باستخدام detect.bt. يتطلب صلاحيات الجذر:

sudo bpftrace detect.bt
# أو
doas bpftrace detect.bt

يتتبع السكربت ثلاثة مؤشرات لكل PID باستخدام قناع بتات في @suspect[pid]:

يتم إطلاق تنبيه عندما تكون جميع البتات الثلاثة مضبوطة (@suspect[pid] == 0x7) على نفس PID.

المتطلبات

exploit.py

• Python 3.6+
• نواة لينكس مع تحميل وحدة AF_ALG/algif_aead
• حساب مستخدم محلي غير مميز (الجذر غير مطلوب)

detect.bt

• bpftrace ≥ 0.12
• صلاحيات الجذر (مطلوبة لتتبع BPF)

# Ubuntu/Debian
sudo apt install bpftrace

# RHEL/CentOS/Fedora
sudo dnf install bpftrace

# Amazon Linux
sudo yum install bpftrace

# SUSE
sudo zypper install bpftrace

# Alpine
sudo apk add bpftrace

التخفيف

1. التصحيح (المفضل)

قم بتحديث حزمة نواة توزيعتك إلى إصدار يتضمن الالتزام الرئيسي a664bf3d603d، الذي يعكس تحسين algif_aead الموضعي لعام 2017 بحيث لا يمكن لصفحات ذاكرة التخزين المؤقت أن تنتهي في قائمة scatterlist الوجهة القابلة للكتابة. معظم التوزيعات الرئيسية تقوم الآن بتوفير الإصلاح.

2. تعطيل algif_aead (أثناء انتظار التصحيح)

يمكن تجاوز blacklist باستخدام modprobe algif_aead صريح. توجيه install .../bin/false يتجاوز أمر التثبيت بالكامل، مما يجعل كل محاولة تحميل تفشل:

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf
sudo rmmod algif_aead 2>/dev/null || true

ما الذي يكسر هذا — تقريبًا لا شيء

الأنظمة الفرعية في صف "لا" تستخدم واجهة برمجة التشفير داخل النواة مباشرة — لا تمر أبدًا عبر AF_ALG. يعود الأداء إلى مكتبات التشفير العادية في مساحة المستخدم، وهو ما تستخدمه تقريبًا كل الأشياء الأخرى بالفعل.

للتحقق مما إذا كان أي شيء على نظامك يستخدم AF_ALG بنشاط قبل تعطيله:

lsof | grep AF_ALG
ss -xa | grep alg

3. الحظر عبر seccomp (الحاويات، بيئات العزل، CI)

امنع إنشاء socket(AF_ALG, ...) لأحمال العمل غير الموثوقة بغض النظر عن حالة التصحيح. أضف AF_ALG (العائلة 38) إلى قائمة الحظر seccomp الخاصة بك، أو استخدم سياسة AppArmor/SELinux تقيد استدعاءات socket للعمليات غير المميزة.

4. المراقبة باستخدام detect.bt

انشر سكربت الكشف المرفق على أي مضيف لا يمكن تصحيحه أو تقييده فورًا. سينبه على أي عملية تنفذ بدائية الاستغلال الكاملة المكونة من ثلاث خطوات.

بيئة الاختبار (اختياري)

يقوم run-vm.sh بأتمتة إنشاء جهاز افتراضي Ubuntu 24.04 QEMU للاختبار في بيئة خاضعة للتحكم. يعمل exploit.py و detect.bt مباشرة على أي مضيف ضعيف — QEMU غير مطلوب.

متطلبات المضيف

تثبيت QEMU

# Ubuntu/Debian
sudo apt install qemu-system-x86 cloud-image-utils wget

# Fedora/RHEL
sudo dnf install qemu-system-x86 wget

# Arch
sudo pacman -Sy qemu

# Alpine
sudo apk add qemu-system-x86 qemu-ui-gtk wget

التشغيل

sh run-vm.sh

القائمة التفاعلية

1. بدء/إنشاء الجهاز الافتراضي
2. الاتصال عبر SSH
3. رفع الملفات إلى الجهاز الافتراضي  (exploit.py, detect.bt)
4. تشغيل الاستغلال داخل الجهاز الافتراضي
5. تشغيل detect.bt داخل الجهاز الافتراضي
6. التحقق من حالة الجهاز الافتراضي
7. إيقاف الجهاز الافتراضي
8. تنظيف ملفات الجهاز الافتراضي
0. خروج

بيانات اعتماد الجهاز الافتراضي

المراجع

• التقرير الفني — xint.io
• تحليل ترميز الحمولة — تفصيل hex → zlib → ELF → shellcode
• crypto/af_alg.c — مصدر النواة
• mm/splice.c — مصدر النواة

الترخيص

هذا المشروع مرخص بموجب رخصة جنو العمومية العامة الإصدار 3.0 أو الأحدث. راجع LICENSE للنص الكامل.

إخلاء مسؤولية: هذا المستودع مقدم لأغراض البحث الأمني المصرح به، واختبار الاختراق، والتعليم فقط. لا يتحمل المؤلفون أي مسؤولية عن أي إساءة استخدام أو ضرر ناتج عن هذا البرنامج.