CopyFail (CVE-2026-31431)

نظرة عامة

CopyFail هو استغلال إثبات مفهوم لثغرة CVE-2026-31431، يستهدف ثغرة تلف في الذاكرة في واجهة برمجة تطبيقات التشفير في نواة لينكس (AF_ALG). يستغل الاستغلال استدعاء النظام splice لتنفيذ تعديل غير مصرح به لذاكرة التخزين المؤقت للصفحات (page-cache) لملف /usr/bin/su، مما يتيح تصعيد الصلاحيات إلى الجذر بدون كلمة مرور.

التحليل الفني

السبب الجذري

تكمن الثغرة في معالجة نواة لينكس لعمليات نقل البيانات بنسخ صفري (zero-copy) بين مآخذ AF_ALG وملفات واصفات أخرى عبر splice. بسبب عدم كفاية المزامنة أو فحص الحدود في تنفيذ aead، يمكن كتابة البيانات المعالجة بواسطة محرك التشفير مرة أخرى إلى ذاكرة التخزين المؤقت للصفحات الخاصة بالملف المصدر.

منهجية الاستغلال

1. مشغل تلف الذاكرة: يقوم الاستغلال بتهيئة مقبس AF_ALG ويستخدم sendmsg لوضع حمولة خبيثة في المخازن المؤقتة الداخلية للمقبس.
2. حقن ذاكرة التخزين المؤقت للصفحات: من خلال استدعاء splice لنقل البيانات من ملف /usr/bin/su إلى مقبس AF_ALG، تتسبب الثغرة في قيام محتويات مخزن المقبس المؤقت بالكتابة فوق ذاكرة التخزين المؤقت للصفحات الخاصة بالملف في الذاكرة.
3. تجاوز المصادقة: يستبدل الاستغلال منطق المصادقة في su بحمولة ELF صغيرة تفتح قشرة جذر. نظرًا لأن ذاكرة التخزين المؤقت للصفحات تم تعديلها، فإن عمليات تنفيذ su اللاحقة تشغّل كود المهاجم بدلاً من الملف الأصلي.

الميزات

• صفر تبعيات: تنفيذ بلغة Go خالصة باستخدام RawSyscall لجميع التفاعلات مع النواة.
• تعديل ذاكرة التخزين المؤقت للصفحات: معالجة مباشرة لذاكرة التخزين المؤقت للملفات في النواة عبر تفاعل AF_ALG/splice.
• حجم صغير: حجم ثنائي محسّن بدون حمل إضافي من المكتبة القياسية (بدون حزم fmt أو os).

التثبيت والاستخدام

البناء

قم بتجميع الاستغلال للبنية الحالية:

go build -ldflags="-s -w" -o CopyFail CVE-2026-31431.go

التنفيذ

قم بتشغيل الملف الثنائي المُجمَّع:

./CopyFail

عند التنفيذ الناجح، سيتم تعديل ملف su في الذاكرة وتنفيذه، مما يمنح قشرة جذر.

إثبات المفهوم (Kali Linux)

يوضح العرض التالي التالي تجميع الاستغلال وتنفيذه على تثبيت Kali Linux قياسي.

# 1. تحقق من المستخدم الحالي غير المميز
kali@kali:~$ whoami
kali

# 2. قم بتجميع الاستغلال
kali@kali:~$ go build -ldflags="-s -w" -o CopyFail CVE-2026-31431.go

# 3. قم بتنفيذ استغلال CopyFail
kali@kali:~$ ./CopyFail
[+] Triggering AF_ALG memory corruption...
[+] Patching /usr/bin/su in page-cache...
[+] Executing patched binary...

# 4. النجاح: التصعيد إلى قشرة جذر
root@kali:/home/kali# id
uid=0(root) gid=0(root) groups=0(root)

root@kali:/home/kali# whoami
root

المعالجة

للتخفيف من هذه الثغرة، يُنصح بالخطوات التالية:

1. تحديث النواة: قم بالترقية إلى إصدار نواة لينكس يتضمن الإصلاح لثغرة CVE-2026-31431.
2. تعطيل AF_ALG: إذا لم تكن واجهة برمجة تطبيقات التشفير القائمة على المقابس مطلوبة، قم بتعطيل وحدة af_alg والوحدات ذات الصلة:
   root@kitploit:~

   modprobe -r af_alg
   

3. مراقبة Splice: استخدم أدوات تدقيق الأمان (مثل auditd) لمراقبة استدعاءات splice المشبوهة التي تستهدف ملفات النظام الحساسة.

اعتبارات أمنية

⚠️ تحذير: هذه الأداة مخصصة للبحث الأمني المصرح به والأغراض التعليمية فقط. تعديل ذاكرة التخزين المؤقت للصفحات هو عملية غير مستقرة وقد تسبب عدم استقرار في النظام. لا يتحمل المؤلف أي مسؤولية عن سوء الاستخدام.

الاعتمادات

تم اكتشاف ثغرة CVE-2026-31431 ("Copy Fail") والإفصاح عنها بواسطة فريق البحث في Theori.

الترخيص

هذا المشروع مرخص بموجب رخصة MIT LICENSE.