dirtyfrag-audit

سكربت تدقيق لـ CVE-2026-43284 + CVE-2026-43500 "Dirty Frag" — ثغرة تصعيد امتيازات محلية متسلسلة في نواة Linux، أُفصح عنها في 2026-05-07 مع استغلال عام فعّال، قبل توفّر تصحيحات التوزيعات.

تُعرف أيضًا باسم "Copy Fail 2: Electric Boogaloo" — نفس مسارات الشيفرة، لكن بمؤلف استغلال مختلف.

---

ما هو Dirty Frag؟

تسلسل Dirty Frag بين خللين متمايزين في النواة اكتشفهما Hyunwoo Kim (@v4bel)، وكلٌّ منهما يستهدف نفس فئة الثغرات — فك التشفير في المكان (in-place) فوق مخازن مؤقتة مقسّمة إلى صفحات (paged buffers) لا تملكها النواة حصريًا.

CVE-2026-43284 — كتابة xfrm-ESP في ذاكرة الصفحات المؤقتة (Page-Cache)

AF_INET / AF_INET6 socket (IPsec ESP)
  └── In-place decryption path (commit cac2661c53f3, Jan 2017)
        └── splice() feeds page cache pages as destination buffers
              └── Plaintext write at attacker-controlled offset in page cache
                    └── Target SUID binary in memory → root

• CVSS: 8.8 عالي
• الوحدات: esp4، esp6
• تاريخ الإدخال: يناير 2017 (نفس الـ commit الخاص بـ CVE-2022-27666)
• إصلاح mainline: f4c50a4034e6

CVE-2026-43500 — كتابة RxRPC في ذاكرة الصفحات المؤقتة

AF_RXRPC socket (Andrew File System / RxRPC protocol)
  └── Same in-place pattern added to rxrpc (June 2023)
        └── Same page-cache write primitive
              └── root

• CVSS: 7.8 عالي
• الوحدة: rxrpc
• أُدخلت: يونيو 2023
• إصلاح mainline: aa54b1d27fe0

لماذا هذا مهم

الخاصية	Dirty Cow (2016)	Dirty Pipe (2022)	Copy Fail (2026)	Dirty Frag (2026)
حالة السباق	✅ مطلوبة	❌ لا	❌ لا	❌ لا
دقة الكتابة	عشوائية	بايت واحد محاذى	4 بايت ثابتة	نص صريح كامل، أي إزاحة
تعديل القرص	✅	❌	❌	❌
أثر جنائي	✅	❌	❌	❌
الهروب من الحاوية	محدود	محدود	ممكن	نعم (ذاكرة تخزين مؤقت مشتركة للصفحات)
استغلال عام	✅	✅	✅	✅ قبل التصحيحات
نواقل الهجوم	1	1	1	2 (esp + rxrpc)

---

النوى المتأثرة

CVE-2026-43284 (esp4/esp6)

نطاق النواة	الحالة
< 4.14	✅ غير متأثرة
4.14 – أحدث إصدار غير مصحح	❌ عرضة للثغرة
mainline مع f4c50a4034e6	✅ مصححة

CVE-2026-43500 (rxrpc)

نطاق النواة	الحالة
< 6.4	✅ غير متأثرة (لم يُدخل النمط بعد)
6.4 – أحدث إصدار غير مصحح	❌ عرضة للثغرة
mainline مع aa54b1d27fe0	✅ مصححة

حالة تصحيح التوزيعات

التوزيعة	CVE-2026-43284	CVE-2026-43500	الإصدار المصحح
AlmaLinux / RHEL 8	❌ متأثرة	✅ غير مشمولة	kernel-4.18.0-553.123.2.el8_10
AlmaLinux / RHEL 9	❌ متأثرة	⚠ فقط إذا كان kernel-modules-partner (مستودع Devel) مثبتًا	عبر dnf upgrade
AlmaLinux / RHEL 10	❌ متأثرة	❌ متأثرة	عبر dnf upgrade
Ubuntu 20.04–24.04	❌ متأثرة	⚠ يعتمد على النواة	عبر apt dist-upgrade
Debian stable	❌ متأثرة	⚠ يعتمد على النواة	الإصلاح فقط في sid (linux ≥ 7.0.4-1)
SUSE / openSUSE	❌ متأثرة	❌ متأثرة	عبر zypper update kernel-default
Arch Linux	❌ متأثرة	❌ متأثرة	عبر pacman -Syu linux

---

الاستخدام

git clone https://github.com/Quaerendir/dirtyfrag-audit
cd dirtyfrag-audit
chmod +x audit_dirtyfrag.sh
./audit_dirtyfrag.sh

أمر سطر واحد عن بُعد (تحقق قبل التشغيل في بيئة الإنتاج):

curl -fsSL https://raw.githubusercontent.com/Quaerendir/dirtyfrag-audit/main/audit_dirtyfrag.sh | bash

رموز الخروج

الرمز	المعنى
0	آمن — لا ينطبق أي من CVE
1	معرّض للخطر — ثغرة CVE واحدة على الأقل نشطة دون تخفيف
2	مُخفَّف — حل بديل نشط، ولا يزال التصحيح مطلوبًا

---

ما الذي يفحصه السكربت

الفحص	CVE
نطاق إصدار النواة (4.14+ لـ ESP، 6.4+ لـ rxrpc)	كلاهما
إصدارات النواة المُصحَّحة الخاصة بكل توزيعة	كلاهما
وحدة esp4 / esp6 محمّلة (lsmod)	CVE-2026-43284
وحدة rxrpc محمّلة (lsmod)	CVE-2026-43500
اكتشاف الوحدة المدمجة مقابل القابلة للتحميل	كلاهما
قواعد القائمة السوداء في modprobe.d (لكل وحدة)	كلاهما
حالة/سياسة IPsec XFRM — الجلسات النشطة التي قد تنقطع	CVE-2026-43284
وحدة kAFS / AFS قيد الاستخدام — مستهلكو rxrpc النشطون	CVE-2026-43500
حالة التصحيح الحيّ KernelCare	كلاهما
إمكانية الوصول إلى /proc/sys/vm/drop_caches	كلاهما
سياق الحاويات / Docker / Kubernetes	كلاهما
المستخدمون المسجّلون النشطون (خطر تعدد المستأجرين)	كلاهما
حالة SELinux / AppArmor	كلاهما
اكتشاف واجهة IPsec/VTI/XFRM	CVE-2026-43284

---

التخفيف

الخيار أ — تحديث النواة (الإصلاح النهائي)

# RHEL / AlmaLinux
dnf clean metadata && dnf upgrade && reboot

# Ubuntu / Debian
apt-get update && apt-get dist-upgrade && reboot

# SUSE
zypper update kernel-default && reboot

# Arch
pacman -Syu linux && reboot

الخيار ب — وحدات القائمة السوداء + تفريغ ذاكرة التخزين المؤقت للصفحات

أولاً، تحقق من الاستخدام النشط:

ip xfrm state          # IPsec — if output non-empty, blacklisting breaks IPsec
lsmod | grep kafs      # AFS — if loaded, rxrpc is in use

تطبيق الحل البديل:

printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' \
  > /etc/modprobe.d/dirtyfrag.conf

rmmod esp4 esp6 rxrpc 2>/dev/null || true

# IMPORTANT: flush page cache to evict any poisoned pages
echo 3 > /proc/sys/vm/drop_caches

الخيار C — الترقيع الحي (بدون إعادة تشغيل، KernelCare)

kcarectl --update
kcarectl --patch-info | grep -iE 'CVE-2026-43284|CVE-2026-43500|dirtyfrag'

ما الذي لا يؤثر عليه الحظر

dm-crypt / LUKS · WireGuard · OpenVPN · SSH · TLS/kTLS · OpenSSL · GnuTLS
تستمر برامج IKE الخفية (strongSwan، libreswan) في العمل — يتم تعطيل معالجة حزم ESP داخل النواة فقط.

---

ذو صلة

• copyfail-audit — سكربت تدقيق لـ CVE-2026-31431 (Copy Fail)

المراجع

• إفصاح oss-security — Hyunwoo Kim
• إعلان AlmaLinux
• الأسئلة الشائعة من Tenable
• تحليل Sysdig + قاعدة Falco
• TuxCare / KernelCare
• مدونة Wiz
• The Hacker News
• مدونة Microsoft Security (هجوم نشط)

---

الترخيص

MIT — انظر LICENSE

---

Quaerendir / Kostur IT SERVICES