ansible-role-cve-2026-31431

دور Ansible لتطبيق (وإزالة لاحقًا) التخفيف عبر modprobe.d لثغرة CVE-2026-31431 ("Copy Fail") في نظام AF_ALG / algif_aead الفرعي في نواة Linux.

تم اختباره على Debian. طلبات السحب للتوزيعات الأخرى، أو الحالات الحدية، أو التحسينات مرحب بها جدًا.

ماذا يفعل

يقوم الدور بإسقاط مقتطف إعداد في /etc/modprobe.d/ يمنع تحميل وحدة النواة algif_aead:

install algif_aead /bin/false

ثم يتحقق من أن التخفيف فعال فعليًا من خلال:

1. التأكد من أن المضيف من عائلة Debian (المكان الوحيد الذي تعمل فيه هذه التقنية بشكل موثوق — انظر التحذير أدناه).
2. قراءة /boot/config-$(uname -r) ورفض التشغيل إذا كان AEAD مدمجًا في النواة (CONFIG_CRYPTO_USER_API_AEAD=y) — لا يمكن لـ modprobe.d حظر الكود المدمج.
3. التحذير إذا كانت أي عملية تحتفظ حاليًا بمقابس AF_ALG مفتوحة (تلك تُبقي الوحدة مثبتة في الذاكرة حتى يتم تحريرها).
4. التأكد من أن algif_aead غير موجود حاليًا في lsmod.
5. تشغيل سكربت Python صغير يفتح مقبس AF_ALG ويحاول bind() إلى aead/gcm(aes). بعد التخفيف، يجب أن يفشل bind مع FileNotFoundError.

لا حاجة لإعادة التشغيل.

للتراجع (مثلًا بمجرد تثبيت نواة مصححة)، قم بتعيين cve_2026_31431_state=absent.

تحذير: حل modprobe.d لا يعمل في كل مكان

التخفيف المتداول على oss-security — إسقاط install algif_aead /bin/false في /etc/modprobe.d/ وتنفيذ rmmod للوحدة — لا يعمل على CloudLinux أو AlmaLinux أو RHEL أو أي توزيعة أخرى من عائلة RHEL، ولا يعمل على النوى المخصصة المبنية مع AEAD مدمجًا.

على تلك الأنظمة، algif_aead مدمج في النواة (CONFIG_CRYPTO_USER_API_AEAD=y)، لذلك:

• لا يمكن لقواعد modprobe.d حظر التحميل (لا يوجد شيء لتحميله — الكود موجود بالفعل في صورة النواة).
• لا يمكن لـ rmmod algif_aead إزالة الكود المدمج.

تبدو الأوامر ناجحة لكنها تترك النظام دون تغيير، مما يعطي إحساسًا زائفًا بالحماية. يمكنك التأكد مما إذا كانت نواتك متأثرة:

zgrep '^CONFIG_CRYPTO_USER_API_AEAD=' /boot/config-$(uname -r)

• =m → وحدة، يمكن لهذا الدور التخفيف.
• =y → مدمج، تحتاج إلى تحديث النواة + إعادة تشغيل أو اشتراك livepatch. سيكتشف هذا الدور ذلك ويرفض التشغيل.

المتغيرات

الاستخدام

من Ansible Galaxy (موصى به)

ansible-galaxy install joltcan.cve_2026_31431
ansible-playbook -i <your-inventory> ~/.ansible/roles/joltcan.cve_2026_31431/playbook.yml

التنظيف بمجرد تشغيل النواة المصححة:

ansible-playbook -i <your-inventory> ~/.ansible/roles/joltcan.cve_2026_31431/playbook.yml -e cve_2026_31431_state=absent

من playbook خاص بك

- hosts: all
  become: true
  roles:
    - role: joltcan.cve_2026_31431

المساهمة

المشكلات وطلبات السحب مرحب بها — خاصة:

• دعم مُختبر للتوزيعات غير Debian حيث يكون algif_aead قابلًا للتحميل (Arch و Gentoo و Alpine وغيرها).
• منطق لتفريغ algif_aead المُحمّل بالفعل بأمان عندما لا يوجد مستخدمون نشطون لـ AF_ALG.
• سيناريوهات Molecule للـ CI.

الترخيص

MIT — انظر LICENSE.