Copy Fail MCP

📖 دليل التثبيت — بدء سريع، إعداد يدوي، واستكشاف الأخطاء وإصلاحها

CVE-2026-31431 — أسوأ ثغرة في لينكس اكتُشفت على الإطلاق. أصبحت الآن قابلة للتحكم عبر MCP.

732 بايت من بايثون. لا حاجة للتجميع. لا حالة سباق. لا إزاحات خاصة بالتوزيعات. طلقة واحدة، صلاحيات جذر شاملة على كل نواة لينكس بُنيت منذ 2017.

هذه الأداة عبارة عن خادم MCP ولوحة تحكم ويب تختبر أي نظام لينكس يمكن الوصول إليه للتحقق من وجود الثغرة. بُنيت لأن الـ PoC الأصلي سهل الاستخدام بالفعل — هذه الأداة تضيف فقط واجهة مستخدم، وفحصًا للشبكة، وتتبّعًا للأساطيل.

تحذير: هذه ثغرة تصعيد صلاحيات حقيقية على مستوى النواة. استخدمها فقط على أنظمة تملكها أو لديك إذن كتابي صريح لاختبارها. الاستخدام غير المصرّح به جناية في معظم الولايات القضائية.

لماذا تُعدّ أسوأ ثغرة في القرن

الأمور الأربعة التي تجعلها غير مسبوقة

1. اكتشفها ذكاء اصطناعي في ساعة واحدة. منصة Xint Code التابعة لـ Theori فحصت النظام الفرعي crypto/ في لينكس بمطالبة واحدة من المُشغِّل. وبعد ساعة واحدة، أصبح لديها ثغرة تصعيد صلاحيات محلية (LPE) شاملة أفلتت من كل المراجعين البشريين، وأدوات التحليل الساكن، وأدوات fuzzing طوال تسع سنوات. الثغرة موجودة منذ 2017 وتطلبت استدلالًا عبر الأنظمة الفرعية (أصل مقبس AF_ALG + سلوك الكتابة الخدشية في authencesn) — تحديدًا نوع الروابط الذي تتفوق فيه الأدوات المبنية أصلاً على نماذج اللغة الكبيرة (LLM). كانت تكلفة الاكتشاف ضئيلة. والآثار المترتبة على مشهد الثغرات وجودية.

2. الاستغلال 732 بايت من بايثون خالص، بلا اعتماديات. لا حاجة لسلسلة أدوات تجميع. لا مكتبات لتثبيتها. لا إزاحات خاصة ببنية المعالج. يعمل بشكل متطابق على خوادم x86_64، وموجّهات aarch64، وأجهزة NAS بأنظمة ARM، وأي عتاد لينكس آخر يعمل ببايثون 3.10+. يمكنك لصقه في صدفة ويب، أو تمريره عبر netcat، أو كتابته من ذاكرة USB. حاجز تحويله إلى سلاح يساوي صفرًا فعليًا.

3. لا يترك أي أثر على القرص. الاستغلال يُفسد فقط ذاكرة التخزين المؤقت للصفحات داخل النواة. الملف الثنائي لـ /usr/bin/su على القرص لا يُعدَّل أبدًا. كل أداة تكامل ملفات تعمل بمقارنة المجاميع الاختبارية على القرص — AIDE، Tripwire، dm-verity — لا ترى أي خطأ. الفساد يختفي عند إعادة التشغيل. الطريقة الوحيدة لاكتشاف أن الاستغلال نُفِّذ هي الإمساك به أثناء تنفيذه عبر auditd أو eBPF. لأغراض الطب الشرعي، الاستغلال غير مرئي.

4. مليارات الأجهزة لن تُصحَّح أبدًا. أصدرت التوزيعات الكبرى (أوبونتو، RHEL، دبيان، SUSE) تصحيحات خلال 72 ساعة. لكن خلل النواة مدمج في كل جهاز لينكس بُني منذ 2017 ويحتوي على CONFIG_CRYPTO_USER_API_AEAD=y — وهو عمليًا جميعها. موجّهات OpenWrt (لا تصحيح حتى 2026-05-02). كاميرات IP تعمل بنواة من البائعين من 2019. تلفزيونات ذكية بفروع برمجيات مجمّدة. مضخات طبية تتطلب إعادة اعتماد من إدارة الغذاء والدواء (FDA) لكل تحديث. وحدات تحكم صناعية بدورات دعم تمتد 10 سنوات. أجهزة أندرويد محمية بقيود سياسة SELinux عرضية — وليس بإصلاح من النواة — والأجهزة ذات صلاحيات الجذر/أنظمة ROM المخصصة، وأجهزة Fire اللوحية القديمة، وعصي أندرويد التلفزيونية مكشوفة بالكامل. الرقم الإجمالي ليس بالملايين. إنه بالمليارات. وبالنسبة لمعظمها، لن يأتي التصحيح أبدًا.

ما الذي تفعله هذه الأداة

هذه أداة اختبار أمني وتوعية مبنية حول الـ PoC العام. لا تفعل شيئًا لا يفعله السكربت الأصلي المكوَّن من 732 بايت بالفعل. ما تضيفه:

• فحص الشبكة — استكشاف شبكة فرعية /24 بحثًا عن مضيفات SSH، وتحديد لينكس من لافتة الترحيب (banner)
• نظرة عامة على الأسطول — لوحة تحكم دائمة للمضيفات المكتشفة مع حالة الثغرة
• اختبار بنقرة واحدة — فحص النواة، تشغيل الاستغلال، تطبيق التخفيف من واجهة ويب
• إعدادات افتراضية آمنة — تجربة جافة للتخفيف، تنظيف بعد الاستغلال، لافتات تحذير في كل مكان
• مسارات دخول متعددة — وكيل SSH، النقل عبر netcat، صدفة ويب، وصول فعلي

الاستغلال نفسه عام، ويمكن نسخه بسهولة تامة، ولا يمكن إلغاء اكتشافه. هذه الأداة موجودة لجعل الاختبار سريعًا وآمنًا لمن لديهم إذن بالاختبار.

بدء سريع

git clone https://github.com/sandraschi/copy-fail-mcp
cd copy-fail-mcp
just

يفتح هذا لوحة تحكم تفاعلية تعرض جميع الأوامر المتاحة. شغّل just bootstrap لتثبيت الاعتماديات، ثم just serve أو just dev للبدء.

إعداد يدوي

إذا لم يكن لديك just مثبّتًا:

Install

pip install copy-fail-mcp

Check a target

copy-fail check --host 192.168.1.100

Start web dashboard

copy-fail serve --http --port 10955

Then open http://localhost:10954

جميع أدوات MCP

كيف يعمل الاستغلال (في 30 ثانية)

User → AF_ALG socket (authencesn) → splice() target file → HMAC fails
                                                                  ↓
                                     4 bytes written past AEAD boundary
                                               ↓
                                      Into page cache of /usr/bin/su
                                               ↓
                                      su is now corrupted in memory
                                               ↓
                                      Run su → root shell

الخلل: سلوكان على مستوى الأنظمة الفرعية كانا غير مؤذيين كلٌّ على حدة، ويصبحان قاتلَين عند دمجهما. مسار الـ splice في AF_ALG يعرض صفحات ذاكرة التخزين المؤقت كخرج قابل للكتابة. authencesn يكتب 4 بايتات بعد حدود AEAD الشرعية كمساحة خدش. اجمعهما معًا ويمكنك إفساد التمثيل في الذاكرة لأي ملف قابل للقراءة ببيانات مضبوطة بدقة. يستهدف الاستغلال فحص الصلاحيات في /usr/bin/su.

الترخيص

MIT. سكربت الاستغلال من إعداد Taeyang Lee / Theori / فريق أبحاث Xint Code (الـ PoC الأصلي).