CVE-2026-31431 "Copy Fail" — سكريبت اكتشاف الثغرة الأمنية

ماسح ضوئي قائم على الصدفة (Shell) لثغرة CVE-2026-31431 "Copy Fail"، وهي ثغرة تصعيد صلاحيات محلية في النظام الفرعي للتشفير في نواة لينكس (algif_aead / واجهة AF_ALG). يمكن لمستخدم محلي غير مميّز كتابة 4 بايتات في ذاكرة التخزين المؤقت للصفحات لعملية ثنائية setuid (مثل /usr/bin/su) والحصول على شل بصلاحيات root — دون لمس الملف الموجود على القرص.

• CVSS: 7.8 (عالية)
• موجودة في النواة منذ: 2017 (4.14)
• التزام إصلاح المنبع (Upstream): a664bf3d603d
• CISA KEV: أُضيف في 1 مايو 2026
• مزيد من المعلومات: copy.fail

التوزيعات المدعومة

يتم أيضًا اكتشاف التوزيعات المشتقة من أوبونتو المبنية على الإصدارات المذكورة أعلاه (Pop!_OS، Linux Mint، Elementary OS، إلخ) عبر ID_LIKE في /etc/os-release.

ما يفحصه السكريبت

الاستخدام

# فحص أساسي
bash cve-2026-31431-detect.sh

# بدون ألوان في المخرجات (ملفات السجلات، CI)
bash cve-2026-31431-detect.sh --no-colour

# مخرجات JSON (قابلة للقراءة آليًا، للأنابيب)
bash cve-2026-31431-detect.sh --json

# الوضع الصامت — طباعة الملخص فقط
bash cve-2026-31431-detect.sh --quiet

# دمج العلامات
bash cve-2026-31431-detect.sh --json --quiet

لا يتطلب صلاحيات root. لا توجد حزم يجب تثبيتها إلى جانب شل قياسي (bash ≥ 4.3) واختياريًا python3 لاختبار مقبس AF_ALG المباشر.

رموز الخروج

مصمم للاستخدام في خطوط DevSecOps — مرّر مخرجات JSON إلى نظام SIEM أو نظام التذاكر أو لوحة الامتثال لديك.

المخرجات

يطبع السكريبت النتائج بلغتين:

• الإنجليزية — ملخص تفصيلي كامل مع الحالة وتحليل المخاطر ومعالجة خطوة بخطوة
• الهنغارية (Magyar) — محتوى مطابق بالهنغارية

تُطبع كلتا الفقرتين على stdout بعد نتائج كل فحص.

مثال (نظام نظيف)

=== Kernel Version ===
  [INFO] Distro flavour : ubuntu (id=ubuntu, codename=jammy, version=22.04)
  [INFO] Kernel release : 5.15.0-135-generic
  [OK] Kernel version
       Reason : Ubuntu jammy: kernel 5.15.0-135.145 >= patched version 5.15.0-135.145

...

  ✅ PROTECTED — SYSTEM IS NOT VULNERABLE

مثال (نظام معرّض للثغرة)

  ❌ VULNERABLE — IMMEDIATE ACTION REQUIRED

  ✗ Kernel version
  ✗ Patch presence
  ✗ algif_aead module
  ✗ AF_ALG socket
  ✗ Setuid binaries

المعالجة

دبيان

sudo apt update && sudo apt full-upgrade && sudo reboot
# بعد إعادة التشغيل: uname -v  →  يجب أن يُظهر >= 6.1.170-1 (Bookworm)

أوبونتو

sudo apt update && sudo apt full-upgrade && sudo reboot
# بعد إعادة التشغيل: cat /proc/version_signature

تخفيف مؤقت (إذا لم يكن تحديث النواة ممكنًا فورًا)

فعال فقط عندما يكون CONFIG_CRYPTO_USER_API_AEAD=m (مُجمَّعًا كوحدة). لا تأثير له إذا كان الخيار مُضمّنًا في النواة (=y).

echo 'install algif_aead /bin/false' | sudo tee /etc/modprobe.d/disable-algif-aead.conf
sudo rmmod algif_aead 2>/dev/null || true

هذا لا يؤثر على SSH أو dm-crypt/LUKS أو OpenSSL أو GnuTLS أو NSS أو خوادم الويب أو تشفير القرص.

ملاحظات مهمة

• لا ينفذ هذا السكريبت أي كود استغلال — فقط فحوصات إعدادات وإصدارات.
• "Copy Fail" هي تصعيد صلاحيات محلي فقط — لا يمكن الاستغلال عن بُعد عبر الإنترنت.
• تعدّل الثغرة ذاكرة التخزين المؤقت للصفحات؛ ولا يتم لمس الملفات الموجودة على القرص أبدًا، لذلك لن تكتشف أدوات سلامة الملفات (AIDE، Tripwire، إلخ) أي هجوم نشط.
• إعادة التشغيل تمسح ذاكرة التخزين المؤقت للصفحات لكن الثغرة تبقى — التصحيح هو الحل الدائم الوحيد.
• قد ينتج عن تشغيل السكريبت بصلاحيات root نتائج سلبية خاطئة في فحص مقبس AF_ALG (يمكن للجذر دائمًا فتح مقابس AF_ALG).

المراجع

• متتبع أمان دبيان: https://security-tracker.debian.org/tracker/CVE-2026-31431
• أمان أوبونتو: https://ubuntu.com/security/CVE-2026-31431
• أوبونتو USN-7523-1: https://ubuntu.com/security/notices/USN-7523-1
• إصلاح المنبع: https://github.com/torvalds/linux/commit/a664bf3d603dc3bdcf9ae47cc21e0daec706d7a5
• تفاصيل الاستغلال: https://copy.fail
• السكريبت الأصلي للاكتشاف: https://github.com/liamromanis101/CVE-2026-31431-Copy-Fail---Vulnerability-Detection-Script

الترخيص

MIT