CVE-2026-31431 — فشل النسخ

中文版

732 بايت للوصول إلى صلاحيات الجذر على كل توزيعات لينكس الرئيسية

CVE-2026-31431 (فشل النسخ) هو خطأ منطقي في قالب التشفير authencesn في نواة لينكس. يسمح لمستخدم محلي غير مميز بتشغيل كتابة حتمية ومضبوطة بحجم 4 بايت في ذاكرة التخزين المؤقت للصفحات لأي ملف قابل للقراءة على النظام.

نظرة عامة

• معرف CVE: CVE-2026-31431
• النوع: تصعيد صلاحيات محلي / هروب من الحاوية
• المتأثر: نواة لينكس مع CONFIG_CRYPTO_AUTHENC (عمليًا جميع التوزيعات الرئيسية منذ 2017)
• اكتُشف بواسطة: فريق أبحاث Xint Code، مع رؤية أولية من الباحث في Theori تايانغ لي

كيف يعمل

الخطأ يربط سلوكين:

1. AF_ALG + splice: splice() ينقل صفحات ذاكرة التخزين المؤقت بالمرجع إلى قائمة التشتت الخاصة بمقبس AF_ALG. في وضع فك التشفير في المكان لـ AEAD، تبقى صفحات العلامة (من ذاكرة التخزين المؤقت لصفحات الملف الهدف) مرتبطة بقائمة التشتت الناتجة عبر sg_chain().

2. كتابة مساحة العمل في authencesn: crypto_authenc_esn_decrypt() يستخدم dst[assoclen + cryptlen] (بعد العلامة، داخل صفحات ذاكرة التخزين المؤقت) كمساحة عمل لإعادة ترتيب رقم تسلسل ESN، ويكتب 4 بايت يتحكم بها المهاجم ولا يستعيدها أبدًا.

الصفحة المتضررة لا تُعلَّم أبدًا كمتسخة، لذا يبقى الملف على القرص دون تغيير. لكن ذاكرة التخزين المؤقت للصفحات في الذاكرة هي ما يُقرأ فعليًا — مما يجعل التلف مرئيًا فورًا على مستوى النظام بأكمله.

الاستغلال

الاستغلال يفسد ذاكرة التخزين المؤقت للصفحات لـ /usr/bin/su (أو أي ثنائي setuid) بحمولة شيلكود صغيرة، 4 بايت في كل مرة. بعد كل التكرارات، تشغيل su ينفذ الحمولة ويهبط إلى قشرة جذر.

بايثون (exp.py)

python3 exp.py

سي (exp.c)

gcc -o exp exp.c
./exp

التأثير

المراجع

• copy.fail — النشرة الرسمية
• مدونة Xint — فشل النسخ: 732 بايت إلى الجذر
• إدخال NVD

إخلاء مسؤولية

هذا المستودع نُشر لأغراض تعليمية وبحثية دفاعية فقط. لا تستخدم هذا الكود على أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها.