CVE-2016-5195: Dirty COW حالة سباق في نواة لينكس

بحث دفاعي، وتحقق غير مُسلَّح، وتحليل تصحيح لثغرة CVE-2016-5195 (Dirty COW)، وهي حالة سباق في النسخ عند الكتابة (copy-on-write) في نواة لينكس يمكن أن تسمح لمستخدم محلي بتعديل بيانات مرتبطة بتعيين للقراءة فقط والحصول على امتيازات مرتفعة.

نظرة عامة

Dirty COW هي حالة سباق في معالجة نواة لينكس للكتابات القسرية وتعيينات النسخ عند الكتابة (COW). يمكن لمستخدم محلي أن يجري سباقًا بين إبطال الصفحات وكتابة عبر /proc/self/mem. في نواة متأثرة، قد يتسبب السباق في كتابة بيانات مرتبطة بتعيين خاص للقراءة فقط من الناحية الاسمية مرة أخرى إلى الملف الأساسي.

الأثر العام هو تصعيد الامتيازات محليًا عندما يتمكن المهاجم من تطبيق الأداة على ملف حساس أمنيًا. تم استغلال الثغرة في الهجمات الفعلية في أكتوبر 2016. لا يقوم هذا المستودع بأتمتة مسار التصعيد هذا.

بنية المستودع

منصة التحقق الآمنة

منصة التحقق الافتراضية مقيدة عمدًا:

• لا تقبل أي مسار هدف ولا أي حمولة يتحكم بها المهاجم؛
• تنشئ ملفًا مؤقتًا بوضع 0600 وتفصل رابطه فورًا؛
• تجري السباق فقط على inode المؤقت الذي لا يزال مفتوحًا؛
• لا تُنشئ أي اتصال شبكة ولا تنفذ أي أمر؛ و
• تُبلغ عن علامة حميدة ثابتة.

البناء

cc -std=c11 -Wall -Wextra -Wpedantic -Werror -O2 \
  poc.c -o dirtycow-safe -pthread

يمكن بناء الأداة البدائية للاستغلال المخصصة للمختبر فقط بشكل منفصل:

cc -std=c11 -Wall -Wextra -Wpedantic -Werror -O2 \
  exploit.c -o dirtycow-exploit -pthread

التشغيل على نظام اختبار لينكس معزول

./dirtycow-safe

عدد تكرارات اختياري محدد:

./dirtycow-safe --iterations 5000000

النتائج المحتملة:

• marker-observed: تمت ملاحظة سلوك معرض للخطر على inode المؤقت.
• marker-not-observed: غير حاسم. عدم نجاح السباق لا يُثبت أن النواة مُصلحة.
• الخروج 77: واجهة /proc/self/mem المطلوبة في لينكس غير متاحة.

لا تستخدم نتيجة الـ PoC كفحص أساسي لحالة التصحيح. ارجع إلى نشرة حزمة النواة للتوزيعة قيد التشغيل وتأكد من أن النواة المصلحة نشطة بعد إعادة التشغيل.

الأداة البدائية للاستغلال

exploit.c يقبل ملفًا صريحًا وبادئة استبدال ويوضح الأداة البدائية للكتابة في ملف عشوائي على نواة متأثرة. ويتطلب تأكيدًا حرفيًا --i-understand، ويطبق حدودًا محدودة على الحمولة وعدد التكرارات، ولا يبني حمولة تصعيد امتيازات.

قد يتم تعديل الملف المحدد بشكل دائم. استخدمه فقط في مختبر معزول وقابل للتصرف تملكه أو مصرَّح لك باختباره صراحةً. التحليل الكامل للسباق وانتقالات الحالة موجود في ROOT_CAUSE.md.

الأدلة

evidence/evidence.json يسجل تواقيع المصدر التي لوحظت في مراجعات لينكس الرسمية قبل التصحيح وبعده، ونتيجة بناء PoC الخالي من التحذيرات، وخصائص أمان التحقق. evidence/validation.log يقدم ملخصًا موجزًا. التحقق المُلتقط لم ينفّذ السباق.

المعالجة

ثبّت تحديث النواة المقدم من البائع وأعد التشغيل على النواة المصلحة. لا تحدد مستوى التعرض من سلسلة إصدار المنبع وحدها: نوى المؤسسات والتوزيعات عادةً ما تعيد تطبيق الإصلاح على إصداراتها دون اعتماد رقم إصدار المنبع. تستخدم الحاويات نواة المضيف، لذلك يجب أن تغطي المعالجة المضيف.

انظر PATCH_ANALYSIS.md للحصول على التغيير الدقيق في المنبع و VULNERABILITY_REPORT.md لإرشادات التحقق.

المراجع

• NVD: CVE-2016-5195
• إصلاح لينكس في المنبع
• سجل تغييرات Linux 4.8.3
• كتالوج CISA للثغرات المستغلة المعروفة
• سجل Red Hat للثغرة CVE

استخدم هذه المواد فقط على أنظمة تملكها أو مصرَّح لك باختبارها صراحةً.