CVE-2026-43284 (Dirty Frag) – بحث حول ثغرة في نواة لينكس

نظرة عامة

يوثّق هذا المستودع مشروع بحث أمني دفاعي متكامل يركّز على CVE-2026-43284 (Dirty Frag)، وهي ثغرة في نواة لينكس تؤثر على نظام الشبكات الفرعي XFRM/IPsec.

الهدف من هذا المشروع ليس تسليح الثغرة، بل فهم كيفية عملها، وإعادة إنتاجها بأمان في مختبر خاضع للتحكم، وتحليل الكود المصدري لنواة لينكس، ودراسة التصحيح الأمني، وبناء تقنيات عملية للكشف والاستجابة للحوادث يمكن أن يستخدمها المتخصصون في الأمن السيبراني.

يجمع المشروع بين أبحاث نواة لينكس، والشبكات، وعمليات مركز العمليات الأمنية (SOC)، وهندسة الكشف، والاستجابة للحوادث في ملف عملي واحد متكامل.

أهداف المشروع

أُنشئ هذا المشروع من أجل:

• فهم نظام الشبكات الفرعي في لينكس.
• تعلّم البنية الداخلية لنواة لينكس.
• دراسة معالجة الحزم داخل النواة.
• تحليل السبب الجذري لثغرة Dirty Frag.
• مقارنة الكود المصدري الضعيف والمصحّح.
• بناء مختبر بحثي آمن وقابل لإعادة الإنتاج.
• تطوير قواعد كشف باستخدام auditd وSplunk وWazuh.
• تنفيذ عمليات صيد التهديدات.
• ممارسة الاستجابة للحوادث.
• ربط سلوكيات المهاجمين بإطار MITRE ATT&CK.
• إنتاج توثيق مفيد لفرق VAPT وSOC وDFIR ومدراء لينكس.

حول CVE-2026-43284

Dirty Frag هي ثغرة في نواة لينكس تقع داخل نظام الشبكات الفرعي XFRM/IPsec.

بدلاً من مجرد إعادة إنتاج إثبات المفهوم (PoC)، يركز هذا المستودع على فهم:

• لماذا توجد الثغرة.
• مكونات النواة المعنية.
• كيفية تحرك الحزم عبر مكدس الشبكات.
• لماذا فشلت حماية النسخ عند الكتابة (Copy-on-Write).
• كيف أصلح مطوّرو لينكس المشكلة.
• كيف يمكن للمدافعين اكتشاف النشاط المشبوه.
• كيف يجب على مستجيبي الحوادث فحص الأنظمة المتأثرة.

المهارات المُبرزة

يُظهر هذا المشروع خبرة عملية في:

• إدارة لينكس
• أبحاث نواة لينكس
• تحليل الكود المصدري
• Git وتحليل التصحيحات
• الشبكات
• IPsec / XFRM
• Docker
• هندسة الكشف
• SIEM
• Splunk
• Wazuh
• auditd
• صيد التهديدات
• الاستجابة للحوادث
• MITRE ATT&CK
• التوثيق الفني

هيكل المستودع

.
├── README.md
│
├── Lab
│   ├── 01-Environment.md
│   ├── 02-Docker-Setup.md
│   ├── 03-Recon-Scanning.md
│   ├── 04-Exploitation.md
│   ├── 05-Network-Configuration.md
│   ├── 06-Attacker-Does.md
│
├── Research
│   ├── 01-Kernel-Version.md
│   ├── 02-Source-Code-Notes.md
|   └── 03.Detection-Engineering.md
│
│
└── references

خارطة التعلّم

صُمم التوثيق ليُقرأ بالترتيب التالي.

المرحلة 1 – بناء المختبر

تعلّم كيفية إعداد بيئة بحث على لينكس باستخدام Docker وتكوين مختبر قابل لإعادة الإنتاج.

تشمل المواضيع:

• تجهيز البيئة
• Docker
• الشبكات
• كود النواة المصدري
• تجميع النواة

المرحلة 2 – البحث

دراسة نواة لينكس نفسها.

تشمل المواضيع:

• تحليل إصدار النواة
• شجرة كود لينكس المصدري
• نظام XFRM الفرعي
• sk_buff
• النسخ عند الكتابة (Copy-on-Write)
• تحليل الكود المصدري
• مقارنة التصحيحات

المرحلة 3 – هندسة الكشف

تعلّم كيف يكتشف المدافعون النشاط المشبوه المحيط بثغرة Dirty Frag.

تشمل المواضيع:

• auditd
• Splunk
• Wazuh
• إطار تدقيق لينكس (Linux Audit Framework)
• ربط أحداث SIEM
• قواعد الكشف
• سير عمل التحقيق

المرحلة 4 – صيد التهديدات

تنفيذ عمليات بحث استباقية عن مؤشرات الاختراق.

تشمل المواضيع:

• ربط السجلات
• تنفيذ العمليات
• نشاط وحدات النواة
• أحداث المصادقة
• سلامة الملفات
• النشاط الشبكي

بيئة المختبر

أُجري البحث في بيئة مختبرية معزولة.

تشمل المكونات المثال:

• Kali Linux (محطة عمل بحثية)
• Ubuntu Linux
• Docker
• الكود المصدري لنواة لينكس
• Git
• Python
• auditd
• Splunk
• Wazuh

لم تُستخدم أي أنظمة إنتاج أثناء هذا البحث.

الأدوات المستخدمة

الجمهور المستهدف

هذا المستودع موجّه إلى:

• محللي SOC
• مهندسي الكشف
• صيادي التهديدات
• مستجيبي الحوادث
• مدراء لينكس
• باحثي الأمن
• مهندسي VAPT
• الطلاب المتعلمين لأمن لينكس

ما لا يغطيه هذا المستودع

يركّز هذا المشروع على البحث الأمني الدفاعي.

لا يقدّم:

• أدلة استغلال هجومية
• حمولات خبيثة
• إثباتات مفهوم مسلّحة
• تعليمات لاستهداف أنظمة الإنتاج

الهدف هو تحسين فهم أمن نواة لينكس وتعزيز القدرات الدفاعية.

المراجع

• توثيق نواة لينكس
• توثيق XFRM في لينكس
• MITRE ATT&CK
• النشرات الأمنية للمورّدين
• سجل CVE الرسمي

الترخيص

صدر هذا المشروع بموجب رخصة MIT.

شكر وتقدير

شكر خاص إلى:

• مطوّري نواة لينكس
• باحثي الأمن الذين كشفوا الثغرة بمسؤولية
• مجتمع الأمن مفتوح المصدر