فحص Itsumma AF_ALG

أداة تشخيصية لنظام Linux تتحقق من:

• توفر AF_ALG / algif_aead وتساعد في تقييم المخاطر المتعلقة بـ CVE-2026-31431 (فشل النسخ)؛
• وجود سطح الهجوم لفئة الثغرات Dirty Frag (سلسلة xfrm-ESP Page-Cache Write + RxRPC Page-Cache Write) عبر المكونات esp4، esp6، rxrpc وتطبع إجراءات التخفيف.

الأداة مخصصة للفحص الدفاعي وليست استغلالًا.

الميزات

• تنفذ اختبارًا تشغيليًا socket + bind لـ AF_ALG AEAD؛
• تحلل مكونات النواة عبر /proc/modules، modules.builtin، modules.builtin.modinfo؛
• تحاول تحديد وجود إصلاح backport من المورّد عبر سجل التغييرات (rpm/سجل تغييرات Debian)؛
• تعرض العمليات التي تحتفظ بمقابس AF_ALG (/proc/*/fd، بأفضل جهد)؛
• تطبع توصيات التخفيف لعائلات توزيعات مختلفة.

بالإضافة إلى ذلك لـ Dirty Frag:

• تتحقق من وجود esp4، esp6، rxrpc (محملة / مدمجة / غير معروفة)؛
• تنفذ اختبارات تشغيلية socket(AF_NETLINK, NETLINK_XFRM) و socket(AF_RXRPC) دون تغيير إعدادات النظام؛
• تطبع تخفيفًا طارئًا (تعطيل تحميل الوحدات + محاولة إلغاء التحميل) إذا كانت المكونات موجودة.

المتطلبات

• Linux؛
• Go 1.24+؛
• للفحص الكامل لـ /proc/*/fd يُفضَّل التشغيل بصلاحيات root.

البناء

نقطة الدخول موجودة في جذر المشروع، ويتم البناء من الجذر:

go build -o itsumma-afalg-check .

التشغيل

./itsumma-afalg-check

ما تخرجه الأداة

عند البدء:

Itsumma Security Check — AF_ALG / CVE-2026-31431

بعد ذلك:

• نتيجة الاختبار التشغيلي لـ AF_ALG (socket + bind)؛
• إصدار النواة وتوفر modules.builtin؛
• حالة af_alg و algif_aead (محملة / مدمجة / غير معروفة)؛
• التقييم النهائي لـ CVE-2026-31431 (بما في ذلك محاولة تحديد backport من المورّد)؛
• قائمة العمليات الحالية التي تحتفظ بمقابس AF_ALG (إذا وُجدت)؛
• أوامر التخفيف خطوة بخطوة والفحوصات اللاحقة بعد إعادة التشغيل.

الفحص الأساسي اللاحق بعد التخفيف

cat /proc/cmdline
echo 3 | sudo tee /proc/sys/vm/drop_caches
modprobe -n -v algif_aead
lsmod | grep '^algif_aead\b' || echo 'algif_aead not loaded'
./itsumma-afalg-check

بالنسبة لسيناريو المدمج (built-in)، بدلاً من modprobe/lsmod من المفيد أيضًا التحقق من:

dmesg | grep -i 'algif_aead\|initcall_blacklist'

Dirty Frag: أمر التخفيف الأساسي

الأمر من دليل التشغيل العام لـ Dirty Frag (يعطل تحميل esp4، esp6، rxrpc ويحاول إلغاء تحميل الوحدات المحملة بالفعل).

إذا كان IPSec / XFRM قيد الاستخدام (على سبيل المثال عبر strongSwan)، يُنصح بتنفيذ flush قبل إلغاء تحميل الوحدات:

sudo ip xfrm state flush
sudo ip xfrm policy flush
echo 3 | sudo tee /proc/sys/vm/drop_caches

إذا كانت esp4/esp6/rxrpc مدمجة (built-in) (تظهر فقط في modules.builtin)، فإن modprobe blacklist و rmmod لن يعطلاها: في هذه الحالة يلزم تحديث/إعادة بناء النواة.

بالنسبة لـ strongSwan بعد تثبيت libcharon-extra-plugins، فعّل kernel-libipsec:

sudo sed -i 's/^\s*load\s*=\s*no/load = yes/' /etc/strongswan.d/charon/kernel-libipsec.conf
sudo systemctl restart strongswan || sudo systemctl restart strongswan-starter

lsmod | egrep '^(esp4|esp6|rxrpc)\b' || echo 'esp4/esp6/rxrpc not loaded'
sudo modprobe esp4 esp6 rxrpc || true
sudo modprobe -r esp6 rxrpc
sudo modprobe -r esp4 || true
sudo rmmod -f esp4
sudo sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp6 rxrpc 2>/dev/null; rmmod -f esp4 2>/dev/null; true"

الفحص اللاحق:

modprobe -n -v esp4 esp6 rxrpc
lsmod | egrep '^(esp4|esp6|rxrpc)\b' || echo 'esp4/esp6/rxrpc not loaded'
./itsumma-afalg-check

مهم

• الأداة ذات طابع تشخيصي ولا تغني عن تحديث النواة من المورّد.
• وجود algif_aead يعني وجود سطح هجوم، لكن الاستنتاج النهائي يعتمد على إصدار النواة وترقيعات backport الخاصة بالتوزيعة.
• إذا لم ينجح الاختبار التشغيلي لـ AF_ALG AEAD، يُعتبر المتجه غير متاح ضمن هذا الفحص.