CVE-2026-31431 (Copy Fail) Detection Toolkit

مجموعة أدوات الكشف والتحليل لثغرة CVE-2026-31431 "Copy Fail" - وهي ثغرة حرجة في تصعيد الامتيازات المحلية على نظام لينكس تؤثر على التوزيعات منذ عام 2017 فصاعدًا.

نظرة عامة على الثغرة

تستغل CVE-2026-31431 خللًا منطقيًا في تنفيذ algif_aead في نواة لينكس، مما يتيح تصعيدًا موثوقًا للامتيازات المحلية من خلال:

• خلل منطقي في واجهة برمجة تطبيقات التشفير بالنواة (algif_aead)
• ناقل استغلال عبر واجهة مقبس AF_ALG واستدعاء النظام splice()
• بدائية كتابة من 4 بايت تستهدف ذاكرة التخزين المؤقت لملفات setuid الثنائية
• موثوقية 100% - لا تتطلب حالات سباق أو إزاحات خاصة بالنواة

سيناريوهات التأثير الحرجة

• الهروب من الحاوية: تصعيد الامتيازات من الحاوية إلى جذر المضيف
• اختراق متعدد المستأجرين: تصعيد الامتيازات عبر المستأجرين في البيئات المشتركة
• البنية التحتية للتكامل المستمر/النشر المستمر: تنفيذ تعليمات برمجية خبيثة في خطوط البناء
• أنظمة التطوير المشتركة: تصعيد من أي مستخدم محلي إلى الجذر

أدوات الكشف

1. السكربت الأساسي للكشف (copy_fail_detect.py)

محرك كشف شامل مبني على بايثون للتحليل النشط والجنائي.

القدرات:

• تعداد وتحليل مقابس AF_ALG
• التحقق من سلامة ملفات setuid الثنائية (مقارنة القرص بالذاكرة)
• تقييم حالة وحدات التشفير بالنواة
• تحليل سجلات النظام لمؤشرات الاستغلال
• تحليل سلوك العمليات لإساءة استخدام واجهة التشفير
• ربط سجلات المصادقة

الاستخدام:

sudo sudo										# الوضع المميز يكتشف المزيد من الآثار
python3 copy_fail_detect.py                    	# فحص كامل للنظام
python3 copy_fail_detect.py --monitor          	# وضع المراقبة المستمرة

2. قواعد كشف YARA (copy_fail_detection.yar)

كشف قائم على التوقيعات لتحليل نظام الملفات والذاكرة.

تغطية القواعد:

• CopyFail_Exploit_Python: كشف متغيرات استغلال بايثون
• CopyFail_Exploit_Generic: أنماط تقنيات الاستغلال العامة
• CopyFail_InMemory_Artifacts: كشف آثار الذاكرة أثناء التشغيل
• CopyFail_Modified_SetUID: كشف ملفات setuid المعدلة
• CopyFail_C_Implementation: كشف تنفيذات الاستغلال بلغة C/C++

الاستخدام:

yara copy_fail_detection.yar /path/to/scan
yara copy_fail_detection.yar /proc/*/mem

3. ماسح بيئة ويندوز (Copy-Fail-Windows-Detect.ps1)

كشف قائم على PowerShell لأنظمة ويندوز التي تحتوي على WSL أو Docker أو أجهزة لينكس الافتراضية. ¡غير مختبر بالكامل!

البيئات المستهدفة:

• مثيلات نظام ويندوز الفرعي للينكس (WSL)
• حاويات Docker التي تعمل على ويندوز
• تحليل سجلات أحداث ويندوز
• ربط البيئات عبر المنصات المختلفة

الاستخدام:

.\Copy-Fail-Windows-Detect.ps1 -All
.\Copy-Fail-Windows-Detect.ps1 -WSL
.\Copy-Fail-Windows-Detect.ps1 -Docker

الترخيص والإشعار القانوني

تم توفير هذه المجموعة لأغراض الأمن السيبراني الدفاعية فقط. يجب أن يتوافق الاستخدام مع القوانين المعمول بها وسياسات المؤسسات. يتحمل المستخدمون مسؤولية الحصول على التفويض المناسب قبل النشر في أي بيئة.

المراجع

• تفاصيل CVE: CVE-2026-31431
• الإفصاح الأصلي: https://copy.fail/
• التحليل الفني: Theori Security Research