التفاصيل الفنية

• المكوّن المتأثر: وحدة نواة algif_aead (واجهة تشفير AF_ALG)
• نوع الثغرة: خلل منطقي في معالجة عمليات النسخ
• ناقل الهجوم: محلي
• الامتيازات المطلوبة: لا شيء (مستخدم غير مميز)
• تفاعل المستخدم: لا شيء
• التأثير: اختراق كامل للنظام (وصول الجذر)

الأنظمة المتأثرة

إصدارات النواة: نواة لينكس >= 4.10 (صدرت عام 2017)

التوزيعات المتأثرة:

• Red Hat Enterprise Linux 7, 8, 9
• CentOS 7, 8, 9 (و Stream)
• Fedora (جميع الإصدارات المدعومة حاليًا)
• Ubuntu 17.04 والإصدارات الأحدث
• Debian 9 (Stretch) والإصدارات الأحدث
• SUSE Linux Enterprise 12, 15

ملاحظة: أي توزيعة لينكس بنواة 4.10 أو أحدث معرضة للخطر.

لماذا هذا مهم؟

هذه الثغرة خطيرة بشكل خاص للأسباب التالية:

1. لا تتطلب امتيازات - يمكن لأي حساب مستخدم استغلالها
2. تصعيد فوري - وصول الجذر في ثوانٍ
3. تأثير واسع النطاق - تؤثر على أكثر من 7 سنوات من إصدارات النواة
4. تنفيذ محلي - لا حاجة لوصول عن بُعد، لكن المهاجمين الذين يحصلون على موطئ قدم أولي يمكنهم التصعيد فورًا
5. استغلال نشط - توجد أدوات استغلال عامة

التأثير في العالم الحقيقي

بمجرد حصول المهاجم على أي شكل من أشكال الوصول المحلي (SSH، قشرة ويب، هروب حاوية، إلخ)، يمكنه:

• الحصول على سيطرة كاملة على النظام
• تثبيت أبواب خلفية دائمة
• الوصول إلى البيانات الحساسة
• التنقل إلى أنظمة أخرى على الشبكة
• نشر برامج الفدية أو عمال تعدين العملات المشفرة

المعالجات المتاحة

أثناء انتظار تصحيحات النواة المقدمة من الموردين، تتوفر عدة استراتيجيات تخفيف. cfDr ينفذها جميعًا، مع توصيات ذكية بناءً على تكوين نظامك.

فهم مستويات الحماية

ليست جميع المعالجات متساوية. إليك ما تحتاج معرفته:

النهج الموصى به: الدفاع المتعمق

التوصية الافتراضية لـ cfDr: الخيار 3 (قائمة حظر الوحدات + SELinux)

يوفر هذا طبقتين حماية مستقلتين:``` ┌─────────────────────────────────────────────────┐ │ Layer 1: Module Blacklist │ │ • Prevents modprobe algif_aead │ │ • Persists across reboots │ │ • CAN be bypassed by malicious root (insmod) │ ├─────────────────────────────────────────────────┤ │ Layer 2: SELinux Policy │ │ • Blocks AF_ALG socket() at syscall level │ │ • Works even if module is loaded │ │ • CANNOT be bypassed from userspace │ │ • Covers user_t, unconfined_t (majority cases) │ └─────────────────────────────────────────────────┘

Result: If either layer fails, the other still protects

ومع ذلك، هذا مقبول للأسباب التالية:

1. الثغرة تستهدف تصعيد الامتيازات (من مستخدم غير مميز → الجذر)
2. إذا كان المهاجم يمتلك صلاحيات الجذر بالفعل، يمكنه الاستغلال مباشرة دون تحميل الوحدة
3. القائمة السوداء للوحدات تحمي من ناقل الهجوم الأساسي

استراتيجية الحماية الكاملة

للحصول على حماية كاملة غير قابلة للتجاوز، تحتاج إلى:

القائمة السوداء للوحدات + واحد على الأقل من:

• سياسة SELinux (موصى بها لأنظمة Enterprise Linux)
• مرشحات systemd seccomp (حماية لكل خدمة)
• برنامج eBPF LSM (RHEL 9+ فقط، على مستوى النظام)

مرجع أعلام التخفيف

يستخدم cfDr أعلامًا بتاتية لتمكين تخفيفات متعددة:

حساب الأعلام: 1 (قائمة سوداء) + 2 (SELinux) + 4 (seccomp) + 8 (eBPF) = المجموع

فجوات التغطية التي يجب الانتباه إليها

حماية SELinux:

• تغطي فقط النطاقات المحددة في السياسة: user_t, unconfined_t, httpd_t, postgresql_t, mysqld_t
• العمليات التي تعمل في نطاقات SELinux أخرى قد لا تكون محمية
• عمليًا، يغطي user_t و unconfined_t الغالبية العظمى من سيناريوهات الهجوم

حماية systemd seccomp:

• تحمي فقط الخدمات المكوّنة صراحةً
• التكوين الافتراضي يغطي: httpd, nginx, postgresql, mariadb, redis, memcached
• العمليات خارج هذه الخدمات غير محمية

حماية eBPF LSM:

• تتطلب نواة 5.7+ (RHEL 9, Fedora 34+)
• التعقيد يتطلب خبرة لتنفيذها بشكل صحيح
• يمكن أن توفر حماية شاملة على مستوى النظام إذا تم تكوينها بشكل صحيح

منهجية الكشف

كيف يكتشف cfDr الثغرة

يجري cfDr تقييمًا شاملًا عبر أبعاد متعددة:

1. فحص إصدار النواة```bash

uname -r

• يتحقق من وجود وحدة algif_aead في النواة
• يفحص موقع الوحدة وبياناتها الوصفية

3. حالة تحميل الوحدة```bash

lsmod | grep algif_aead

• يحدد مآخذ AF_ALG النشطة
• يشير إلى احتمالية استغلال نشط

5. كشف التخفيفات الحالية

قائمة حظر الوحدات (Module Blacklist):```bash grep -E "blacklist algif_aead|install algif_aead" /etc/modprobe.d/*.conf

systemd seccomp:```bash systemctl show | grep RestrictAddressFamilies

كيف يعمل cfDr

البنية

تم بناء cfDr كدور Ansible حديث مع نقاط دخول متعددة لـ playbook:``` cfDr/ ├── roles/ │ └── cve_2026_31431/ # Main role │ ├── tasks/ │ │ ├── main.yml # Role orchestration │ │ ├── assessment.yml # Vulnerability detection │ │ ├── remediation_module_blacklist.yml │ │ ├── remediation_selinux.yml │ │ ├── remediation_seccomp.yml │ │ ├── remediation_ebpf.yml │ │ ├── reporting.yml # Status reporting │ │ └── inventory_update.yml # Inventory generation │ ├── templates/ # Config file templates │ ├── defaults/ # Default variables │ └── handlers/ # Service restarts, etc. ├── quickstart.yml # Simplest usage ├── sample_playbook.yml # Multiple examples └── cve_2026_31431_playbook.yml # Full-featured playbook

وضع المعالجة (apply_remediation=true)```

1-8. [Same as Assessment Mode] ↓ 9. Apply Module Blacklist (if flag 1) • Unload module if loaded • Create blacklist config • Update initramfs/initrd • Verify blacklist works ↓ 10. Apply SELinux Policy (if flag 2) • Install policy packages • Compile policy module • Install policy • Verify policy active ↓ 11. Apply systemd seccomp (if flag 4) • Create drop-in files • Reload systemd • Restart services • Verify filters active ↓ 12. Apply eBPF LSM (if flag 8) • Compile eBPF program • Load into kernel • Verify program attached ↓ 13. Re-assess protection status ↓ 14. Generate reports ↓ 15. Create summary

3. تحديث initramfs/initrd ليبقى بعد إعادة التشغيل:
   • Debian/Ubuntu: update-initramfs -u
   • RHEL/Fedora: dracut -f
4. التحقق من عدم إمكانية تحميل الوحدة عبر modprobe

الحماية: فورية، لا تتطلب إعادة تشغيل الاستمرارية: يبقى بعد إعادة التشغيل وتحديثات النواة

سياسة SELinux (العلم 2)

ما تقوم به:

1. تثبيت الحزم المطلوبة:
   • policycoreutils
   • policycoreutils-python-utils
   • selinux-policy-devel
   • checkpolicy
2. إنشاء وحدة سياسة SELinux تمنع إنشاء مقبس AF_ALG
3. تجميع السياسة باستخدام نظام بناء SELinux
4. تثبيت وحدة السياسة: semodule -i cve_2026_31431_af_alg_deny.pp
5. التحقق من أن السياسة نشطة

المجالات المحمية (افتراضيًا):

• user_t - عمليات المستخدم العادية
• unconfined_t - العمليات غير المقيدة
• httpd_t - خادم الويب Apache
• postgresql_t - قاعدة بيانات PostgreSQL
• mysqld_t - قاعدة بيانات MySQL/MariaDB

الحماية: يحجب عند طبقة LSM، لا يمكن تجاوزه الاستمرارية: السياسة تبقى بعد إعادة التشغيل

systemd seccomp (العلم 4)

ما تقوم به:

1. إنشاء ملفات drop-in الخاصة بـ systemd: /etc/systemd/system/<service>.service.d/90-cve-2026-31431-block-af-alg.conf
2. إضافة توجيه RestrictAddressFamilies=~AF_ALG
3. إعادة تحميل برنامج systemd الخفي
4. إعادة تشغيل الخدمات المتأثرة
5. التحقق من أن عوامل التصفية نشطة

الخدمات المحمية (افتراضيًا):

• httpd, nginx - خوادم الويب
• postgresql, mariadb - قواعد البيانات
• redis, memcached - خوادم التخزين المؤقت

الحماية: يحجب إنشاء المقابس على مستوى استدعاءات النظام لكل خدمة الاستمرارية: يبقى بعد إعادة التشغيل وتحديثات الخدمات

eBPF LSM (العلم 8)

ما تقوم به:

1. تجميع برنامج eBPF لحجب إنشاء مقبس AF_ALG
2. تحميل البرنامج إلى النواة
3. الربط بخطافات LSM
4. التحقق من أن البرنامج نشط

المتطلبات:

• نواة 5.7+ مع CONFIG_BPF_LSM=y
• RHEL 9، Fedora 34+، أو نواة مخصصة مُجمّعة

الحماية: سياسة ديناميكية قابلة للبرمجة على مستوى النظام بأكمله الاستمرارية: يتطلب خدمة نظام لإعادة التحميل عند الإقلاع

توليد قائمة الجرد

يمكن لـ cfDr توليد ملفات قائمة جرد جاهزة للاستخدام تحتوي فقط على المضيفين المعرضين للخطر:

الملفات المولّدة:``` inventory_output/ ├── vulnerable_hosts.yml # YAML inventory ├── vulnerable_hosts.ini # INI inventory ├── group_vars_vulnerable_hosts.yml # Group variables └── host_vars/ ├── host1.yml # Per-host details └── host2.yml

ما قد يتأثر (حالات حافة نادرة)

وفقًا لـ تحليل R-fx Networks:

"بالنسبة لمعظم بيئات HPC، لن يكسر هذا أي شيء – AF_ALG هو بوابة أمامية من مساحة المستخدم إلى تشفير النواة لا يستخدمها أي شيء تقريبًا."

فقط هذه التكوينات النادرة للغاية قد تتأثر:

1. OpenSSL مع تمكين محرك afalg صراحةً

ليس افتراضيًا على RHEL. يجب تكوين محرك afalg صراحةً:```bash

Check if afalg engine is enabled (rare)

openssl engine afalg

If this returns "afalg is not available", you're safe

النتيجة المتوقعة: تستمر جميع الخدمات في العمل بشكل طبيعي.

إجماع مجتمع الأمن المهني

تؤكد العديد من منظمات الأمن الموثوقة تقييمنا:

CERT-EU (30 أبريل 2026):

"إن إصدارات dm-crypt / LUKS وkTLS وIPsec وSSH والإصدارات الافتراضية من OpenSSL / GnuTLS لا تعتمد على AF_ALG"

Sysdig (29 أبريل 2026):

يوثق أن عمليات التشفير القياسية تستخدم واجهات برمجة التطبيقات داخل النواة، وليس مآخذ AF_ALG

R-fx Networks (2 مايو 2026):

"أحمال عمل الاستضافة لا تستخدم AF_ALG بشكل مشروع، مما يجعل تعطيلها آمنًا كإجراء تخفيف دون التأثير على الخدمات الإنتاجية"

HPCsec (30 أبريل 2026):

"بالنسبة لمعظم بيئات HPC، لن يكسر هذا أي شيء – AF_ALG هو بوابة أمامية لمساحة المستخدم إلى تشفير النواة ولا يستخدمه أي شيء تقريبًا"

التوصية للنشر في الإنتاج

لبيئات RHEL/CentOS/Fedora القياسية:

1. ✅ قم بنشر علم cfDr رقم 3 فورًا - صفر تأثير تشغيلي
2. ✅ ستستمر جميع الخدمات الحرجة في العمل - تم التحقق من ذلك من قبل مجتمع الأمن
3. ✅ لا حاجة لتغييرات في التطبيقات - مسارات التشفير القياسية غير متأثرة
4. ✅ راقب Red Hat لتصحيحات النواة - لكن لا تنتظر للتخفيف
5. ✅ حافظ على الدفاع المتعمق بعد التصحيح - طبقة أمان إضافية بدون تكلفة

مصفوفة القرار:

الملخص

إصلاحات cfDr آمنة لجميع عمليات نشر RHEL القياسية. وحدة algif_aead وواجهة مآخذ AF_ALG لا تُستخدم من قبل أي تشفير نظام حرج على أنظمة Enterprise Linux.

ماذا يعني هذا:

• ✅ تشفير القرص لديك (LUKS) يستمر في العمل
• ✅ شبكات VPN لديك (IPsec) تستمر في العمل
• ✅ اتصالات SSH لديك تستمر في العمل
• ✅ خوادم الويب لديك (HTTPS) تستمر في العمل
• ✅ قواعد البيانات لديك تستمر في العمل
• ✅ جميع أنظمة المصادقة تستمر في العمل

الخطر النظري الوحيد هو على التطبيقات المخصصة المبرمجة صراحةً لاستخدام مآخذ AF_ALG - وهو سيناريو نادر لدرجة أن العديد من منظمات الأمن أكدت بشكل مستقل أنه من الآمن حظر AF_ALG في بيئات المؤسسات.

سير العمل الموصى به

سير عمل المؤسسات القياسي

يوازن هذا سير العمل بين الدقة والسلامة التشغيلية:

الخطوة 1: التقييم الأولي (للقراءة فقط)```bash

Scan all hosts without making changes

ansible-playbook -i inventory quickstart.yml

الخطوة 2: إنشاء جرد الثغرات الأمنية```bash

Create inventory of vulnerable hosts with recommendations

ansible-playbook -i inventory quickstart.yml -e generate_inventory=true -e inventory_output_dir=./vulnerable_hosts

الخطوة 3: اختبار المعالجة على بيئة غير إنتاجية```bash

Apply to test/dev hosts first

ansible-playbook -i vulnerable_hosts/vulnerable_hosts.yml cve_2026_31431_playbook.yml
-e apply_remediation=true
--limit 'dev*:test*'

تطبيقات الاختبار:

• التحقق من عمل الخدمات الحرجة
• فحص وظائف التطبيق
• مراقبة السجلات بحثًا عن المشكلات

الخطوة 4: المعالجة في بيئة الإنتاج (على مراحل)```bash

Apply to production in stages

Stage 1: Web tier

ansible-playbook -i vulnerable_hosts/vulnerable_hosts.yml cve_2026_31431_playbook.yml
-e apply_remediation=true
--limit 'web*'

Stage 2: Application tier

ansible-playbook -i vulnerable_hosts/vulnerable_hosts.yml cve_2026_31431_playbook.yml
-e apply_remediation=true
--limit 'app*'

Stage 3: Database tier (most critical)

ansible-playbook -i vulnerable_hosts/vulnerable_hosts.yml cve_2026_31431_playbook.yml
-e apply_remediation=true
--limit 'db*'

المستند:

• سجّل المضيفات التي تمت معالجتها
• دوّن أي مشكلات تمت مواجهتها
• حدّث سجلات إدارة التغيير

المخرجات النهائية المتوقعة:``` CVE-2026-31431 Summary Report

Total hosts scanned: 50 Vulnerable hosts: 0

All hosts protected with defense-in-depth mitigations

استخدم هذا الأسلوب عندما:

• يتم اكتشاف استغلال نشط
• أنظمة حرجة في خطر فوري
• الوقت أكثر أهمية من العملية

تحذير: يطبّق هذا الإجراءات التخفيفية على جميع المضيفين المعرضين للخطر في وقت واحد. راقب عن كثب.

سير عمل المراقبة المستمرة

لـ الامتثال المستمر و اكتشاف الأنظمة الجديدة:```bash

Weekly automated scan

0 2 * * 0 ansible-playbook -i inventory quickstart.yml -e generate_inventory=true

Alert on new vulnerabilities

(integrate with monitoring system)

سير عمل التحقق

بعد المعالجة، تحقق من الحماية:```bash

On remediated host:

sudo lsmod | grep algif_aead

Should return nothing (module not loaded)

sudo modprobe algif_aead

Should fail: "modprobe: ERROR: could not insert 'algif_aead'"

cat /etc/modprobe.d/blacklist-algif_aead-cve-2026-31431.conf

Should show blacklist configuration

Check SELinux policy

sudo semodule -l | grep cve_2026_31431

Should show: cve_2026_31431_af_alg_deny

Check seccomp (for services)

systemctl show httpd | grep RestrictAddressFamilies

Should show: RestrictAddressFamilies=~AF_ALG

استخدام مع قائمة الأصول المخصصة```bash

Assess with your inventory

ansible-playbook -i /path/to/your/inventory quickstart.yml

Remediate vulnerable hosts

ansible-playbook -i /path/to/your/inventory quickstart.yml
--limit vulnerable_hosts
-e apply_remediation=true

التكوين المتقدم

تخصيص علامات التخفيف

تجاوز التخفيفات الافتراضية لكل تشغيل لـ playbook:```bash

Module blacklist only

ansible-playbook quickstart.yml -e apply_remediation=true -e mitigation_flags=1

SELinux only

ansible-playbook quickstart.yml -e apply_remediation=true -e mitigation_flags=2

Module blacklist + SELinux (default recommended)

ansible-playbook quickstart.yml -e apply_remediation=true -e mitigation_flags=3

Enhanced: Blacklist + SELinux + seccomp

ansible-playbook quickstart.yml -e apply_remediation=true -e mitigation_flags=7

Maximum: All mitigations (RHEL 9+ only)

ansible-playbook quickstart.yml -e apply_remediation=true -e mitigation_flags=15

تخصيص خدمات seccomp

قم بتحرير roles/cve_2026_31431/defaults/main.yml:```yaml

Add additional services to protect

seccomp_protected_services:

• httpd
• nginx
• postgresql
• mariadb
• redis
• memcached
• your-custom-service # Your service

استخدام قوالب دليل التشغيل النموذجية

يحتوي sample_playbook.yml على أمثلة متعددة:```yaml

Example 1: Assessment only

• hosts: all roles:
  • cve_2026_31431

Example 2: Module blacklist only

• hosts: all vars: apply_remediation: true mitigation_flags: 1 roles:
  • cve_2026_31431

Example 3: Recommended (Blacklist + SELinux)

• hosts: all vars: apply_remediation: true mitigation_flags: 3 roles:
  • cve_2026_31431

4. المراقبة الآلية: ```bash

   Install Red Hat Security Advisories plugin for yum

   sudo yum install yum-plugin-security

   Check for security updates

   sudo yum updateinfo list security

   Check specifically for kernel updates

   sudo yum updateinfo list security kernel

   root@kitploit:~

ما الذي يجب البحث عنه:

• RHSA (نشرة أمان Red Hat) الخاصة بالنواة
• عنوان النشرة الذي يحتوي على "CVE-2026-31431"
• إصدارات RHEL المتأثرة المطابقة لبيئتك

مثال على تنسيق النشرة:``` RHSA-2026:XXXX - Important: kernel security update Severity: Important CVEs: CVE-2026-31431 Affected Products: RHEL 7, 8, 9

أوبونتو

المصدر الأساسي: إشعارات أمان أوبونتو

• قاعدة بيانات USN: https://ubuntu.com/security/notices
• متتبع CVE: https://ubuntu.com/security/CVE-2026-31431

طرق الإشعار:```bash

Subscribe to security announcements

Visit: https://lists.ubuntu.com/mailman/listinfo/ubuntu-security-announce

Check for security updates

sudo apt update sudo apt list --upgradable | grep security

Ubuntu Security Notices tool

sudo apt install ubuntu-security-tools usn list --cve CVE-2026-31431

SUSE / openSUSE

المصدر الأساسي: SUSE Security

• تحديثات الأمان: https://www.suse.com/support/update/
• قاعدة بيانات CVE: https://www.suse.com/security/cve/CVE-2026-31431.html

طرق الإشعار:```bash

Check for security patches

sudo zypper list-patches --category security

Specific CVE check

sudo zypper info --cve CVE-2026-31431

سكربت مراقبة التصحيحات الآلي

أنشئ سكربت مراقبة لبيئتك:```bash #!/bin/bash

check-cve-2026-31431-patch.sh

Monitors for CVE-2026-31431 kernel patches

DISTRO=$(grep ^ID= /etc/os-release | cut -d= -f2 | tr -d '"')

case $DISTRO in rhel|centos|rocky|alma) yum updateinfo list security kernel 2>/dev/null | grep -i CVE-2026-31431 ;; fedora) dnf updateinfo list security kernel 2>/dev/null | grep -i CVE-2026-31431 ;; ubuntu|debian) apt-get update -qq apt-cache show linux-image-$(uname -r) | grep CVE-2026-31431 ;; sles|opensuse*) zypper info --cve CVE-2026-31431 kernel-default ;; esac

Check Red Hat Security Data API

curl -s "https://access.redhat.com/labs/securitydataapi/cve/CVE-2026-31431.json" |
jq -r '.affected_release[] | select(.package | startswith("kernel")) | "(.product_name): (.advisory) - (.package)"'

ماذا تفعل عند إصدار التصحيحات

1. تحقق من توفر التصحيح: ```bash

   Check your distribution's update mechanism

   sudo yum check-update kernel # RHEL/CentOS/Fedora sudo apt update && apt list --upgradable linux-image-* # Ubuntu/Debian

   root@kitploit:~

2. مراجعة ملاحظات الإصدار:

   • اقرأ إرشادات البائع للحصول على تعليمات التثبيت
   • تحقق من أي مشكلات معروفة أو متطلبات مسبقة
   • تحقق من أرقام إصدارات النواة

3. الاختبار في بيئة غير إنتاجية: ```bash

   Apply kernel update to test systems first

   sudo yum update kernel # RHEL/CentOS/Fedora sudo apt upgrade linux-image-* # Ubuntu/Debian sudo reboot

   root@kitploit:~

4. التحقق من فعالية التصحيح: ```bash

   After reboot, verify kernel version

   uname -r

   Run cfDr assessment to confirm patch

   ansible-playbook -i inventory quickstart.yml

   root@kitploit:~

5. خطة الطرح للإنتاج:

   • جدولة نوافذ الصيانة
   • مراحل تحديثات النواة
   • التخطيط لإعادة تشغيل الخدمات/الأنظمة

6. إزالة التخفيفات المؤقتة (اختياري): ```bash

   After patching, temporary mitigations can be removed

   However, defense-in-depth recommends keeping them

   If you choose to remove:

   sudo rm /etc/modprobe.d/blacklist-algif_aead-cve-2026-31431.conf sudo semodule -r cve_2026_31431_af_alg_deny # SELinux policy

   Remove seccomp drop-in files

   Update initramfs/initrd

   root@kitploit:~

توصية: حتى بعد تطبيق تصحيحات النواة، يُنصح بالاحتفاظ بـإجراءات التخفيف الدفاعية المتعمقة كحماية ضد الثغرات المستقبلية.

الدعم والمساهمات

الإبلاغ عن المشكلات

وجدت خطأً أو لديك طلب ميزة؟

1. تحقق من المشكلات الحالية: https://github.com/parmstro/cfDr/issues
2. أنشئ مشكلة جديدة: قم بتضمين:
   • إصدار cfDr
   • إصدار Ansible
   • نظام التشغيل المستهدف وإصداره
   • رسائل الخطأ الكاملة
   • خطوات إعادة الإنتاج

المساهمة

نرحب بالمساهمات! راجع docs/CONTRIBUTORS.md لمعرفة:

• كيفية المساهمة في الكود
• تحسينات التوثيق
• الاختبار والإبلاغ عن الأخطاء
• اقتراحات الميزات

الحصول على المساعدة

• المشكلات: https://github.com/parmstro/cfDr/issues
• المناقشات: https://github.com/parmstro/cfDr/discussions

المساهمون

تم بناء cfDr على الخبرة الجماعية لمتخصصي الأمن:

• Paul Armstrong (@parmstro) - قائد المشروع، قائمة حظر الوحدات وتطبيقات seccomp
• Anthony Green (@atgreen) - تطبيق تخفيف eBPF LSM
• Greg Procunier (@gprocunier) - تطبيق تخفيف سياسة SELinux
• Claude Sonnet 4.5 - المساعدة في التطوير والتوثيق والبحث

راجع docs/CONTRIBUTORS.md للحصول على تفاصيل المساهمة الكاملة.

الترخيص

يُقدَّم هذا المشروع بموجب رخصة MIT لأغراض تقييم الثغرات ومعالجتها.

راجع LICENSE للحصول على التفاصيل.

إخلاء المسؤولية

هام: توفر هذه الأداة تخفيفات مؤقتة أثناء انتظار تصحيحات النواة المقدمة من البائعين. تقلل هذه التخفيفات من المخاطر بشكل كبير ولكنها قد لا توفر حماية كاملة في جميع السيناريوهات.

يُقدَّم cfDr "كما هو" دون أي ضمان. دائماً:

• اختبر في بيئة غير إنتاجية أولاً
• افهم تغطية الحماية والفجوات
• راقب قنوات البائعين للحصول على التصحيحات الرسمية
• طبّق تصحيحات البائعين عند توفرها
• حافظ على الدفاع المتعمق حتى بعد التصحيح

المساهمون والمشرفون على cfDr غير مسؤولين عن أي ضرر أو فقدان بيانات ناتج عن استخدام هذه الأداة.

آخر تحديث: 2026-05-02T23:30:00Z