copyfail-guard

أداة للكشف والتخفيف الآلي للثغرة CVE-2026-31431 ("Copy Fail")، وهي تصعيد صلاحيات محلي (LPE) في وحدة algif_aead (واجهة AF_ALG) في نواة لينكس.

⚠️ النطاق: هذا المشروع دفاعي بحت. لا يحتوي على، ولا يولّد ولا يشير إلى أي كود استغلال. الهدف هو تمكين فرق الأمان ومسؤولي الأنظمة من (1) تحديد المضيفين المكشوفين و(2) تطبيق التخفيف الموصى به (حظر الوحدة algif_aead) حتى يتم تثبيت النواة المصححة.

ماذا تفعل الأداة

1. الكشف (--check)

   • يقرأ إصدار النواة قيد التشغيل (uname -r)
   • يتحقق مما إذا كانت الوحدة algif_aead محمّلة أو متاحة للتحميل
   • يفحص سجل التغييرات لحزمة النواة المثبتة (apt/dpkg, rpm, zypper) بحثًا عن مرجع للتصحيح/الثغرة CVE
   • يحدد التوزيعة عبر /etc/os-release
   • يعيد حكمًا: VULNERÁVEL، MITIGADO (الوحدة محظورة)، CORRIGIDO (النواة تتضمن التصحيح بالفعل) أو INDETERMINADO

2. التخفيف (--mitigate, يتطلب صلاحيات root)

   • ينشئ /etc/modprobe.d/disable-algif-aead-cve-2026-31431.conf مع install algif_aead /bin/false و blacklist algif_aead
   • يزيل الوحدة من الذاكرة إذا كانت محمّلة بالفعل (rmmod)
   • يعيد تنفيذ فحص الكشف لتأكيد أن التخفيف أثّر فعليًا
   • عملية idempotent: يمكن تنفيذها أي عدد من المرات دون آثار جانبية

3. التقرير (--report json|text)

   • مخرجات مقروءة للبشر أو JSON مهيكل، جاهزة لتغذية أنظمة SIEM أو خطوط تدقيق الأصول أو لوحات المعلومات

الاستخدام السريع

# Apenas diagnosticar (não requer root)
sudo ./bin/copyfail-guard --check

# Diagnosticar e aplicar mitigação temporária
sudo ./bin/copyfail-guard --mitigate

# Saída em JSON para integração com outras ferramentas
sudo ./bin/copyfail-guard --check --report json

المتطلبات: Python 3.8+، Bash، وصول root فقط لـ --mitigate (يعمل الفحص بدون امتيازات مرتفعة، بمعلومات محدودة).

تنبيه مهم

• التخفيف (حظر algif_aead) مؤقت. فهو يقلل سطح الهجوم لكنه لا يغني عن تحديث النواة. بمجرد توفّر حزمة النواة المصححة (التي تحتوي على الالتزام a664bf3d603d أو backport مكافئ) لتوزيعتك، يجب تطبيقها وإعادة تشغيل النظام.
• البيئات التي تعتمد على algif_aead (استخدام مباشر لـ AF_ALG لـ AEAD عبر userspace) قد تتأثر وظيفيًا بالتخفيف. dm-crypt/LUKS، وkTLS، وIPsec، وSSH، والبناءات الافتراضية لـ OpenSSL/GnuTLS عادةً لا تعتمد على AF_ALG وبالتالي لا تتأثر.

هيكل المستودع

copyfail-guard/
├── bin/
│   └── copyfail-guard        # entrypoint (bash) -> chama o módulo Python
├── copyfail_guard/
│   ├── __init__.py
│   ├── detect.py              # lógica de detecção
│   ├── mitigate.py            # lógica de mitigação
│   └── report.py              # formatação de saída (texto/JSON)
├── tests/
│   └── test_detect.py
├── LICENSE
└── README.md

المراجع

• copy.fail
• NVD — CVE-2026-31431
• Red Hat RHSB-2026-002
• Ubuntu Security Notices (discourse.ubuntu.com)
• Sysdig / Unit 42 / Tenable / Microsoft Security Blog (تحليلات فنية)

الرخصة

MIT — انظر LICENSE.