🧬 ROSN-LR5 – مجموعة أدوات PoC لتصعيد الامتيازات على مستوى النواة والتخفيف (CVE-2026-31431)

أداة هجومية ودفاعية لثغرة CVE-2026-31431 في أنظمة Linux.
تجمع بين إثبات مفهوم لتصعيد الامتيازات المحلية (LPE) وأدوات لفحص وتخفيف مؤقت لمتجه الهجوم القائم على AF_ALG.

⚖️ للاستخدام الأخلاقي حصريًا: يتم توزيع هذا البرنامج لأغراض تعليمية وتدقيق أمني فقط. يجب تشغيله فقط على أنظمتك الخاصة أو على أنظمة لديك إذن صريح لاختبارها. لا يتحمل المؤلف أي مسؤولية عن سوء الاستخدام.

✳️ الميزات

🔥 استغلال LPE

• PoC كاملة ترفع الامتيازات إلى root عبر التلاعب بمقبس AF_ALG.
• حقن حمولة باستخدام os.splice() وفك ضغط zlib على /usr/bin/su.
• شل root دائم بعد اكتمال الاستغلال.

🛡️ التخفيف

• فحص حالة النظام:
  • توفر وتحميل وحدة algif_aead.
  • وجود ملف الحظر في /etc/modprobe.d/disable-algif.conf.
  • معلومات نظام التشغيل والنواة.
• تطبيق تخفيف مؤقت (يتطلب صلاحيات root):
  • إنشاء ملف الحظر install algif_aead /bin/false.
  • محاولة إلغاء تحميل الوحدة باستخدام rmmod.
  • احتواء مؤقت حتى تطبيق التصحيح الرسمي للنواة.
• إزالة التخفيف (يتطلب صلاحيات root):
  • حذف ملف الحظر لاستعادة التحميل الطبيعي للوحدة.

🔍 تدقيق الامتيازات

• عرض UID والمستخدم والمجموعات والعضوية في sudo أو wheel.

🧪 المتطلبات

• نظام التشغيل: Linux (أي توزيعة بنواة يحتمل أن تكون عرضة للثغرة).
• Python: الإصدار 3.8 أو أحدث.
• الصلاحيات:
  • الاستغلال: يتطلب فقط صلاحية قراءة على /usr/bin/su.
  • التخفيف (تطبيق/إزالة): يتطلب root (sudo).

📦 التثبيت

استنسخ المستودع وادخل إلى الدليل:

git clone https://github.com/ROSNLR5/MitigationToolkit-ROSN-LR5-Full.git
cd MitigationToolkit-ROSN-LR5-Full
chmod +x rosnlr5_full.py

🚀 الاستخدام

شغّل السكربت باستخدام Python 3:

python3 rosnlr5_full.py

تقدم القائمة الرئيسية أربعة خيارات:

1. تدقيق امتيازات المستخدم – معلومات أساسية عن الجلسة الحالية.
2. تشغيل استغلال ROOT (CVE-2026-31431) – إطلاق PoC لتصعيد الامتيازات.
3. أدوات التخفيف – قائمة فرعية تتضمن الفحص والتطبيق والإزالة.
4. حول – الاعتمادات ووصف الأداة.

🔧 القائمة الفرعية للتخفيف

داخل الخيار 3 ستجد:

• فحص حالة النظام – يعرض ما إذا كانت وحدة algif_aead متوفرة/محملة وما إذا كان ملف الحظر موجودًا.
• تطبيق تخفيف مؤقت – إنشاء /etc/modprobe.d/disable-algif.conf وإلغاء تحميل الوحدة. يتطلب sudo.
• إزالة التخفيف المؤقت – حذف ملف الحظر. يتطلب sudo.
• العودة إلى القائمة الرئيسية.

⚠️ تنبيه مهم بشأن التخفيف

التخفيف المؤقت لا يغني عن تصحيح النواة. فهو يمنع فقط تحميل الوحدة المعرضة للثغرة حتى يتم تحديث النظام.
بعد تطبيق التخفيف، يُنصح بتحديث النواة باستخدام التصحيحات الرسمية من توزيعتك.

👤 الاعتمادات

• البحث الأصلي عن الثغرة وPoC الأساسية: Copyfile
• تطوير السكربت والتوسعة بأدوات التخفيف: ROSNLR5

📜 الترخيص

يُوزَّع هذا المشروع دون ترخيص صريح. يُقدَّم الكود "كما هو"، دون أي ضمانات. يقع الاستخدام على مسؤوليتك الخاصة ويجب عليك احترام القوانين المحلية.

ROSN LR5 – فهم واحتواء CVE 2026 31431