CVE-2026-31431 — فشل النسخ

中文版

732 بايت للوصول إلى صلاحيات الجذر على كل توزيعات لينكس الرئيسية

CVE-2026-31431 (فشل النسخ) هو خطأ منطقي في قالب التشفير authencesn في نواة لينكس. يسمح لمستخدم محلي غير مميز بتشغيل كتابة حتمية ومضبوطة بحجم 4 بايت في ذاكرة التخزين المؤقت للصفحات لأي ملف قابل للقراءة على النظام.

نظرة عامة

• معرف CVE: CVE-2026-31431
• النوع: تصعيد صلاحيات محلي / هروب من الحاوية
• المتأثر: أنوية لينكس مع CONFIG_CRYPTO_AUTHENC (عمليًا جميع التوزيعات الرئيسية منذ 2017)
• اكتُشف بواسطة: فريق أبحاث Xint Code، مع رؤية أولية من الباحث في Theori تايانغ لي

كيف يعمل

الخطأ يربط سلوكين:

1. AF_ALG + splice: splice() ينقل صفحات ذاكرة التخزين المؤقت بالمرجع إلى قائمة التشتت الخاصة بمقبس AF_ALG. في وضع فك التشفير في المكان لـ AEAD، تبقى صفحات العلامة (من ذاكرة التخزين المؤقت للملف الهدف) مرتبطة بقائمة التشتت الناتجة عبر sg_chain().

2. كتابة مساحة مؤقتة في authencesn: crypto_authenc_esn_decrypt() يستخدم dst[assoclen + cryptlen] (بعد العلامة، داخل صفحات ذاكرة التخزين المؤقت) كمساحة مؤقتة لإعادة ترتيب رقم تسلسل ESN، ويكتب 4 بايت يتحكم بها المهاجم ولا يستعيدها أبدًا.

الصفحة التالفة لا تُعلَّم أبدًا كمتسخة، لذا يبقى الملف على القرص دون تغيير. لكن ذاكرة التخزين المؤقت للصفحات في الذاكرة هي ما يُقرأ فعليًا — مما يجعل التلف مرئيًا فورًا على مستوى النظام بأكمله.

الاستغلال

الاستغلال يفسد ذاكرة التخزين المؤقت للصفحات لـ /usr/bin/su (أو أي ثنائي setuid) بحمولة شيلكود صغيرة، 4 بايت في كل مرة. بعد كل التكرارات، تشغيل su ينفذ الحمولة ويمنح صلاحيات جذر.

بايثون (exp.py)

python3 exp.py

غولانغ (exp.go)

go run exp.go
go build -ldflags "-w -s" -trimpath -o exp exp.go

tinygo build -o exp exp.go

التأثير

المراجع

• copy.fail — النشرة الرسمية
• مدونة Xint — فشل النسخ: 732 بايت إلى الجذر
• إدخال NVD
• إعادة كتابة بلغة C

إخلاء مسؤولية

يُنشر هذا المستودع لأغراض تعليمية وبحثية دفاعية فقط. لا تستخدم هذا الكود على أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها.