فحص مختبري لـ CVE-2026-99999

أداة فحص مكتوبة بلغة Go لثغرة مجموع التحقق (checksum-offload) في IPv4 على Linux والمعروفة باسم PwnEscape. تتصل بواجهة TAP قمت بإعدادها مسبقًا وتتحقق مما إذا كان مجزّئ الحزم (fragmenter) على المضيف يثق برأس IPv4 أُعيدت كتابته بواسطة skb_checksum_help.

تتولى الأداة حقن الحزم والتقاطها. يُجهّز scripts/setup.sh واجهات المختبر وإعدادات sysctl وقاعدة nftables داخل فضاء الشبكة pwnesc. ويُزيل scripts/teardown.sh المختبر.

ما الذي تتحقق منه

على نواة لا تزال تُكمل مجموع تحقق جزئيًا قبل قراءة ihl (أُعيد إنتاج ذلك هنا على 6.18.54؛ وأُصلح في 6.18.57):

1. يُقبل رأس checksum من نوع virtio بقيمة csum_start=22. ثم تُزال وسمتا VID-0 (14+4+4)، فتقع كتابة مجموع التحقق على بايت الإصدار/IHL في IPv4.
2. يتغير البايت الأول من 0x45 إلى 0x4f. ويستخدم المجزّئ رأسًا بحجم 60 بايت.
3. مع conntrack defrag والقيمة الافتراضية -head 8، يكون الرأس الخطي 28 بايت، لذا تقرأ نسخة الرأس البالغة 60 بايت مقدار 32 بايت بعد skb_headlen داخل خيارات IPv4 في حزم الإخراج.

يمارس هذا البدائية الخاصة بالكشف (disclosure primitive) الموصوفة في مقال PwnEscape من PWN.AI. مع CONFIG_INIT_ON_ALLOC_DEFAULT_ON، قد تظهر المساحة الخلفية (tailroom) الجديدة في slab كأصفار في البايتات المنسوخة.

المتطلبات المسبقة

• مضيف اختبار Linux أو جهاز ظاهري بنواة تُكمل المجاميع الجزئية قبل قراءة ihl
• Go 1.27.1 أو أحدث
• صلاحيات الجذر لإعداد المختبر وتشغيل الأداة
• ip وnft وsysctl
• nf_conntrack وnf_defrag_ipv4 مضمّنة أو قابلة للتحميل
• /dev/net/tun

البناء والتشغيل

من دليل المستودع على المضيف:

go build -o poc .
sudo ./scripts/setup.sh
sudo ip netns exec pwnesc ./poc

تفتح الأداة pwntap باستخدام IFF_TAP|IFF_NO_PI|IFF_VNET_HDR وتلتقط الإخراج على pwnv1. احتفظ بـ pwntap مخصصًا للأداة. تُفعّل قاعدة ct في nftables إعادة تجميع conntrack، ويستخدم pwnv0 وحدة MTU بقيمة 200 لتجزئة مخطط البيانات المُعاد تجميعه مرة أخرى عند الإخراج.

عند نجاح فحص الرأس تُطبع verify: first byte 0x4f ihl=15. ثم تُبلغ الأداة عن حزم الإخراج وخيارات IPv4 فيها والبايتات المنسوخة بعد الرأس الخطي.

الخيارات

• -head (الافتراضي 8): حمولة الحزمة المجزأة عند الإزاحة 0 بالبايت؛ مضاعف للعدد 8 من 8 حتى 40. النسخ المتوقع بعد الرأس الخطي هو 40 - head بايت.
• -rest (الافتراضي 400): حمولة الحزمة المكمّلة بالبايت؛ 16 على الأقل.
• -spray (الافتراضي 0): عدد الإطارات متساوية الحجم المخصصة مباشرة قبل الحزمة المجزأة عند الإزاحة 0.
• -spray-fill (الافتراضي 0xee): البايت المستخدم لملء تلك الإطارات.
• -page: استخدام رأس page_frag، الذي قد تحتوي مساحته الخلفية على بيانات skb الوصفية. الافتراضي هو رأس slab.
• -skip-verify: الانتقال مباشرة إلى فحص مخطط البيانات المجزأ.

يحدد PWN_TAP واجهة TAP (الافتراضي pwntap). ويحدد PWN_CAP واجهة الالتقاط (الافتراضي pwnv1). يستخدم سكربت الإعداد هذه الأسماء الافتراضية.

التنظيف

بعد انتهاء الأداة، اخرج من أي أوامر طرفية (shells) في pwnesc ونفّذ من المضيف:

sudo ./scripts/teardown.sh

يحذف هذا الأمر pwnesc مع واجهاته وجدول nftables الخاص بـ ip pwn وإعدادات sysctl المحلية لفضاء الشبكة.