CVE-2026-31431 (Copy Fail) أداة الكشف والتخفيف

يوفر هذا المشروع مجموعة من نصوص Bash للكشف عن وتخفيف ثغرة CVE-2026-31431 (المعروفة أيضًا باسم "Copy Fail") في نواة Linux لتصعيد الصلاحيات محليًا.

نظرة عامة على الثغرة

• رقم CVE: CVE-2026-31431
• نوع الثغرة: تصعيد صلاحيات محلي (Local Privilege Escalation)
• المكوّن المتأثر: نواة Linux - واجهة AF_ALG socket / تشفير AEAD
• الالتزام المُصلِح: a664bf3d603d والتصحيحات اللاحقة
• الاسم العام: Copy Fail

توجد هذه الثغرة في تنفيذ AF_ALG socket في نواة Linux، حيث قد يتمكن المهاجم من تحقيق تصعيد صلاحيات محلي من خلال إنشاء عملية ربط authencesn محددة.

ملفات المشروع

البدء السريع

1. فحص ما إذا كان النظام متأثرًا

bash check_cve_2026_31431.sh

يقوم النص بفحص العناصر التالية عنصرًا بعنصر:

• حالة إعداد النواة CONFIG_CRYPTO_USER_API_AEAD
• حالة تحميل الوحدات algif_aead / af_alg
• القدرة على إنشاء AF_ALG socket
• وجود إعدادات تخفيف حالية
• التحقق من ربط authencesn (لتحديد ما إذا تم التخفيف)
• ما إذا كان التوزيع ضمن قائمة التوزيعات المعروفة المتأثرة

يُخرج النص في النهاية مستوى المخاطر الإجمالي: UNKNOWN / LOW / MEDIUM / HIGH.

2. تنفيذ إجراءات التخفيف

ملاحظة: يتطلب نص التخفيف صلاحيات root للتشغيل.

sudo bash cve-2026-31431-mitigate.sh

تشمل عمليات التخفيف:

• كتابة /etc/modprobe.d/disable-algif-aead.conf لمنع تحميل وحدة algif_aead
• إذا كانت algif_aead محمّلة بالفعل، محاولة إلغاء تحميلها (rmmod)
• تنفيذ depmod -a لتحديث تبعيات الوحدات
• التحقق تلقائيًا من القدرة على إنشاء AF_ALG socket وربطها قبل وبعد التخفيف

معاملات اختيارية

sudo bash cve-2026-31431-mitigate.sh --verify-only          # تحقق فقط، دون كتابة إعدادات
sudo bash cve-2026-31431-mitigate.sh --write-seccomp        # إنشاء إعدادات Docker seccomp إضافية
sudo bash cve-2026-31431-mitigate.sh --seccomp-path /path   # تحديد مسار إخراج seccomp

التحقق من فعالية التخفيف

المعيار الذهبي لتحديد ما إذا كان التخفيف فعالًا: فشل ربط authencesn.

يحاول "البند 5: التحقق من التخفيف (ربط authencesn)" في نص الكشف تنفيذ:

import socket
s = socket.socket(38, 5, 0)  # AF_ALG
s.bind(("aead", "authencesn(hmac(sha256),cbc(aes))"))

• إذا تم إرجاع خطأ (فشل الربط) → تم التخفيف أو تم حظر القدرة
• إذا تم إرجاع نجاح → لم يتم التخفيف، يلزم اتخاذ إجراءات إضافية

القيود المعروفة

1. غير فعال في سيناريو الترجمة الثابتة: إذا كان إعداد النواة CONFIG_CRYPTO_USER_API_AEAD=y (مترجمة ثابتًا داخل النواة)، فإن طريقة تعطيل الوحدة عادةً لا تكون فعالة، ولا بد من ترقية النواة.
2. احتلال الوحدة: إذا كانت algif_aead قيد الاستخدام، فقد يفشل rmmod في إلغاء التحميل، ويُنصح بإعادة التشغيل في نافذة الصيانة ثم التحقق.
3. بيئة الحاويات: يُنصح بإضافة إعدادات seccomp لمنع استدعاء socket(AF_ALG).

توصيات لاحقة

1. الإصلاح الجذري: الترقية إلى إصدار نواة رسمي يتضمن الالتزام المُصلِح a664bf3d603d والتصحيحات اللاحقة.
2. متابعة الإعلانات:
   • Ubuntu: https://ubuntu.com/security/CVE-2026-31431
   • RHEL: https://access.redhat.com/security/cve/CVE-2026-31431
   • SUSE: راجع إعلانات الأمان الخاصة بالتوزيعة
3. إعادة الفحص للتأكيد: بعد الترقية أو التخفيف، أعد تشغيل نص الكشف للتأكد من فشل التحقق من الربط.

التوافق

تم اختبار النصوص في البيئات التالية بنجاح:

• Bash 4.x / 5.x
• التبعيات: أدوات GNU القياسية (grep, sed, lsmod, modprobe, rmmod, depmod)
• تبعيات اختيارية: python3 أو python (للتحقق من AF_ALG socket)

الترخيص

MIT License

إخلاء المسؤولية

النصوص المقدمة في هذا المشروع مخصصة فقط للكشف الأمني والتخفيف المؤقت، ولا يمكن أن تحل محل ترقية تصحيحات النواة الرسمية. قبل استخدام هذه النصوص، يرجى فهم عملياتها جيدًا (مثل تعطيل وحدات النواة) والتحقق منها في بيئة اختبار أولاً. لا يتحمل المؤلف أي مسؤولية عن أي خسائر مباشرة أو غير مباشرة ناتجة عن استخدام هذه الأداة.