⚠️ تنبيه مهم: مخاطر التقوية الهيكلية

تنفذ هذه الأداة الحظر الهيكلي للتخفيف من CVE-2026-31431 عن طريق إعادة تسمية وحدات النواة فعليًا وتطهيرها من الذاكرة. قبل الاستخدام، يرجى الانتباه إلى المخاطر المعمارية التالية:

• تقلب تحديثات النواة: تأثيرات التقوية مؤقتة. سيؤدي تحديث النواة إلى نشر وحدات جديدة ضعيفة تحت دليل /lib/modules/ جديد، مما يبطل الحظر السابق.
• الآثار الجانبية الوظيفية: قد يؤدي تعطيل AF_ALG (واجهة برمجة تطبيقات التشفير للنواة) إلى كسر تطبيقات أو خدمات معينة تعتمد على تسريع الأجهزة على مستوى النواة (مثل شبكات VPN المتخصصة، أو أدوات تشفير الأقراص، أو أدوات الأمان المخصصة).[cite: 3]
• التخفيف مقابل التصحيح: هذا حل مؤقت، وليس تصحيحًا دائمًا. وهو مصمم لسد الفجوة حتى يتوفر تصحيح نواة من الموزع.

استخدم على مسؤوليتك الخاصة. تحقق دائمًا من الوظائف الحرجة لنظامك بعد تشغيل solution.sh.[cite: 3]

SSIA - تدقيق السلامة الهيكلية للنظام

مجموعة أدوات لاكتشاف وتشخيص واحتواء نواقل تصعيد الامتيازات المحلية (LPE) عبر واجهة برمجة تطبيقات التشفير للنواة في لينكس (AF_ALG).

⚠️ تنبيه مهم: مخاطر التقوية الهيكلية

تستخدم الأداة الحظر الهيكلي لمعالجة CVE-2026-31431 عن طريق إعادة تسمية وحدات النواة وتطهيرها من الذاكرة. تشمل المخاطر المعمارية الرئيسية:

• تقلب تحديثات النواة: التأثيرات مؤقتة. يؤدي تحديث النواة إلى نشر وحدات جديدة ضعيفة تحت دليل /lib/modules/ جديد، مما يبطل الحظر السابق.
• الآثار الجانبية الوظيفية: قد يؤدي تعطيل AF_ALG إلى تعطيل الخدمات التي تعتمد على تسريع الأجهزة على مستوى النواة، مثل شبكات VPN المتخصصة، أو أدوات تشفير الأقراص، أو أدوات الأمان المخصصة.
• التخفيف مقابل التصحيح: هذا حل مؤقت، وليس تصحيحًا دائمًا يهدف إلى العمل كجسر حتى يتوفر نواة مصححة.

استخدم على مسؤوليتك الخاصة.

نظرة عامة

يوفر هذا المستودع سكربتين يشكلان سير عمل تشخيص ← احتواء ← تحقق ضد هجمات تصعيد الامتيازات عبر AF_ALG (socket(38, 5, 0)):

• check.sh — تدقيق متعدد الطبقات لوضع الأمان (يعمل بدون صلاحيات)
• solution.sh — يطرد وحدات AF_ALG قسريًا من الذاكرة + يتحقق من وجود ملفات الوحدات الفعلية (يتطلب صلاحيات الجذر)
• restore.sh — يعيد تحميل وحدات AF_ALG ويستعيد النظام إلى حالته قبل تشغيل solution.sh (يتطلب صلاحيات الجذر)

الفحوصات

الاستخدام

التدقيق (بدون صلاحيات)

./check.sh

الاحتواء (يتطلب صلاحيات الجذر)

sudo ./solution.sh

الاستعادة (يتطلب صلاحيات الجذر)

sudo ./restore.sh

الاستعادة

يعكس restore.sh تأثيرات solution.sh عن طريق إعادة تحميل وحدات نواة AF_ALG (af_alg, algif_rng, algif_aead, algif_skcipher, algif_hash). إذا تمت إعادة تسمية ملف الوحدة الفعلي (af_alg.ko.xz) أو إزالته، سيحذرك السكربت ويطالبك بالاستعادة اليدوية قبل محاولة تحميل الوحدات.

⚠️ تحذير

تشغيل solution.sh على نظام حي يستخدم AF_ALG بنشاط (مثل نظام يحتوي على IPsec أو dm-crypt/LUKS أو أي تفريغ تشفير عبر الأجهزة) سيكسر فورًا جميع عمليات التشفير في النواة. يشمل ذلك:

• اتصالات VPN عبر IPsec وWireGuard
• تشفير الأقراص (LUKS/dm-crypt)
• إنهاء TLS باستخدام تشفير مدعوم من النواة
• أي حاوية أو تطبيق يعتمد على واجهات مقابس algif_*

يقوم السكربت بإلغاء تحميل وحدات نواة AF_ALG قسريًا. ستفشل عمليات التشفير في النواة حتى إعادة التشغيل. هذا السكربت مخصص فقط للأنظمة المعزولة أو غير الإنتاجية أو القابلة للتخلص لأغراض الاختبار والتحليل. لا تقم بتشغيله على البنية التحتية الإنتاجية أو الحرجة.

المتطلبات

• لينكس (أي توزيعة)
• check.sh لا يتطلب أي تبعيات بخلاف قشرة POSIX و /proc//sys
• solution.sh يتطلب صلاحيات الجذر
• restore.sh يتطلب صلاحيات الجذر
• af_alg_block.so يتطلب صلاحيات الجذر للتثبيت عبر /etc/ld.so.preload

ملاحظات WSL2

تم اختبار هذا الإثبات المفاهيمي على WSL2. يرجى الانتباه إلى ما يلي:

• يعيد WSL2 تعيين كل الحالة عند إعادة التشغيل (wsl --shutdown). يشمل ذلك تغييرات حالة وحدات النواة من solution.sh، وإعادة تسمية الملفات، ونتائج check.sh، وأي تعديلات ملفات محلية في هذا المستودع.
• للتقوية الدائمة على WSL2، فكر في تكوين .wslconfig أو /etc/wsl.conf أو سكربت بدء تلقائي (مثل /etc/rc.local) بشكل منفصل.
• WSL2 مناسب لأغراض الاختبار والتحقق ولكن ليس للاستخدام الإنتاجي أو التخفيف الأمني المستمر.

التخفيف

لإغلاق ناقل هجوم AF_ALG نهائيًا:

1. ضع الوحدة في القائمة السوداء (الأكثر موثوقية):

   root@kitploit:~

   echo "blacklist af_alg" | sudo tee /etc/modprobe.d/af_alg-blacklist.conf
   

   أو أعد تسمية الملف الفعلي:

   root@kitploit:~

   sudo mv /lib/modules/$(uname -r)/kernel/crypto/af_alg.ko.xz \
           /lib/modules/$(uname -r)/kernel/crypto/af_alg.ko.xz.bak
   

2. عطّل AF_ALG عبر sysctl:

   root@kitploit:~

   sudo sysctl -w net.core.af_alg_disabled=1
   

3. احظر إنشاء مقبس AF_ALG عبر سياسة SELinux / AppArmor

4. عطّل مساحات أسماء المستخدمين غير المميزة (بيئات الحاويات):

   root@kitploit:~

   sudo sysctl -w kernel.unprivileged_userns_clone=0
   

5. احظر AF_ALG عند استدعاء نظام socket() عبر LD_PRELOAD (حل بديل لـ WSL2):

   root@kitploit:~

   # التثبيت على مستوى النظام (يتطلب صلاحيات الجذر)
   echo /absolute/path/to/af_alg_block.so | sudo tee -a /etc/ld.so.preload
   

   يتم تضمين مكتبة مشتركة مبنية مسبقًا (af_alg_block.so) في المستودع. تعترض وتُرجع عندما يكون المجال (38). جميع استدعاءات المقابس الأخرى تمر إلى التنفيذ الحقيقي دون تغيير.

الترخيص

MIT