sqzer-x/cve-2026-99999-scannerيتحقق مما إذا كان نظام Linux متأثرًا بـ CVE-2026-99999 (PwnEscape) ويطبع إصلاح النواة الخاص بالتوزيعة أو يطبّقه
English | 한국어
سكربت شل واحد يتحقق مما إذا كان نظام Linux متأثرًا بـ CVE-2026-99999 ("PwnEscape"). يشرح الحكم، ثم إما يطبع خطوات الترقيع الخاصة بذلك التوزيع أو يقوم بترقيع النظام وإعادة تشغيله نيابةً عنك.
بيانات المورّد المضمّنة في السكربت محدّثة اعتبارًا من 2026-10-20. تتغير التنبيهات بسرعة، لذا تحقق دائمًا من متتبع الأمان الخاص بتوزيعك.
| المكوّن | حزمة IPv4 في نواة Linux (skb_checksum_help → ip_do_fragment) |
| السبب | لا يتم التحقق من checksum_start / csum_offset المقدَّمة عبر ترويسة virtio-net أو مقابس الحزم مقابل ترويسة IPv4. عندئذٍ قد يؤدي إكمال المجموع الاختباري إلى الكتابة فوق طول الترويسة الذي تم التحقق منه بالفعل (CWE-20). |
| التأثير | الجهاز الضيف VM → المضيف: الكشف عن ذاكرة المضيف، تعطّل المضيف، تنفيذ تعليمات برمجية بصلاحيات root على المضيف |
| الخطورة | CVSS 3.1 9.3 حرجة (kernel CNA) · 8.8 مهمة (Red Hat) |
| المتأثر | كل نواة منذ 2.6.27 |
| الإصلاح | الالتزام في المنبع 6785011f8b16 "ipv4: validate checksum_start before completing checksum" |
| حل بديل | لا يوجد منشور. الإصلاح الوحيد هو الإقلاع بنواة مُرقَّعة. |
الخطر الرئيسي يهدد مضيفي المحاكاة الافتراضية الذين يشغّلون أجهزة ضيفة غير موثوقة (KVM/QEMU، Firecracker، Proxmox، مضيفي السحابة وVPS). ترقيع نواة الجهاز الضيف لا يحمي المضيف.
| الملف | الوصف |
|---|---|
scanner-cve-2026-99999.sh | الماسح، مخرجات بالإنجليزية |
scanner-cve-2026-99999_kr.sh | نفس الماسح، مخرجات بالكورية |
يحتوي كلا الملفين على المنطق نفسه؛ تختلف الرسائل والتعليقات فقط.
| الملف | SHA-256 | MD5 |
|---|---|---|
scanner-cve-2026-99999.sh | 65c3c226487d5bd80d436c06cc5256304cfa17011be82d8404c54355998801a6 | 8ab38c22ed737986775f6f64f5a800aa |
scanner-cve-2026-99999_kr.sh | 05d4af248ab2cab26566c81067ed35dd0a8c966f7fa8459867597c56ac43a805 | 6223f8db3c1a8dec361fe301a7193ff4 |
تحقق من الملف قبل تشغيله:
echo "65c3c226487d5bd80d436c06cc5256304cfa17011be82d8404c54355998801a6 scanner-cve-2026-99999.sh" | sha256sum -c
echo "8ab38c22ed737986775f6f64f5a800aa scanner-cve-2026-99999.sh" | md5sum -c
هذه القيم تخص الملفات الموجودة في إصدار v1.0.0. قد تختلف الملفات في الالتزامات اللاحقة.
من الإصدار (موصى به):
curl -LO https://github.com/sqzer-x/cve-2026-99999-scanner/releases/download/v1.0.0/scanner-cve-2026-99999.sh
echo "65c3c226487d5bd80d436c06cc5256304cfa17011be82d8404c54355998801a6 scanner-cve-2026-99999.sh" | sha256sum -c
sudo bash scanner-cve-2026-99999.sh
أو من المستودع:
git clone https://github.com/sqzer-x/cve-2026-99999-scanner.git
cd cve-2026-99999-scanner
sudo bash scanner-cve-2026-99999.sh
شغّله على المضيف، وليس داخل حاوية. يعمل الفحص كمستخدم عادي؛ ولا يلزم صلاحيات الجذر (عبر sudo) إلا للخيار 1 في القائمة.
يكتشف التوزيعة (/etc/os-release) ونواة النظام قيد التشغيل (/proc).
يحكم على النواة:
يتحقق من وجود livepatch مطبّق (kpatch، Canonical Livepatch، SUSE kernel-livepatch، Ksplice)، ومن وجود نواة مُصلحة مثبّتة لكن لم تُقلع بعد، وما إذا كانت نواة الإقلاع التالي مُصلحة.
يبلّغ عن مؤشرات التعرّض: /dev/kvm، وvhost_net، وأجهزة TUN/TAP، وعمليات الأجهزة الافتراضية (QEMU، Firecracker، Proxmox kvm، ...)، وإعدادات فضاءات أسماء المستخدمين.
إذا لم يكن النظام آمنًا، يعرض قائمة:
1. Patch now (install the fixed kernel and reboot)
2. Patch manually later (show the commands)
3. Exit
عند عدم التشغيل من طرفية (cron، أو أنابيب، أو إعادة توجيه المخرجات إلى ملف)، لا تُعرض أي قائمة وتتصرف كالخيار 2.
| الخيار | الوصف |
|---|---|
-l، --list | طباعة جدول الحالة لكل توزيعة فقط |
--no-color | تعطيل المخرجات الملوّنة (يُحترم NO_COLOR أيضًا) |
--os-release FILE | استخدام ملف os-release هذا بدلًا من /etc/os-release |
--uname-r STRING | الحكم على إصدار النواة هذا بدلًا من النواة قيد التشغيل (يتخطى الفحوصات المحلية) |
--uname-v STRING | سلسلة بناء النواة (uname -v)، مطلوبة لنوى Debian مع --uname-r |
-h، --help | عرض المساعدة |
| الرمز | المعنى |
|---|---|
| 0 | آمن (مُصلَح، أو غير متأثر، أو مُرقَّع حيًّا) |
| 1 | معرّض للخطر — تتوفر نواة مُصلَحة |
| 2 | نواة مُصلَحة مثبّتة — يلزم إعادة التشغيل |
| 3 | معرّض للخطر — لا يوجد إصلاح من المورّد بعد، أو انتهى عمر الدعم |
| 4 | غير محدَّد (نواة غير معروفة، أو التشغيل داخل حاوية، ...) |
تجعل رموز الخروج الأداة قابلة للاستخدام من إدارة التهيئة أو المراقبة:
bash scanner-cve-2026-99999.sh --no-color > report.txt; echo "exit code: $?"
يمكن حساب الحكم على القيم المجمّعة في مكان آخر، على سبيل المثال من حاوية أو من جرد:
# On the target: uname -r ; uname -v ; cat /etc/os-release > os-release.txt
bash scanner-cve-2026-99999.sh --uname-r 5.14.0-570.12.1.el9_6.x86_64 --os-release os-release.txt
bash scanner-cve-2026-99999.sh --uname-r 6.1.0-38-amd64 \
--uname-v '#1 SMP PREEMPT_DYNAMIC Debian 6.1.176-1 (2026-08-02)' --os-release os-release.txt
bash scanner-cve-2026-99999.sh --list يطبع الجدول نفسه.
| التوزيعة | الحالة | الإصدار المُصلَّح |
|---|---|---|
| المنبع (kernel.org) | مُصلَّح | 5.10.272 · 5.15.223 · 6.1.190 · 6.6.159 · 6.12.113 · 6.18.57 · 7.2.11 · 7.3-rc7. الفروع الأخرى انتهى عمرها الافتراضي. |
| AlmaLinux 8 / 9 / 10 | مُصلَّح (مستودع almalinux-testing، 2026-10-16) | kernel-4.18.0-553.174.2.el8_10 · kernel-5.14.0-687.57.2.el9_8 · kernel-6.12.0-211.66.2.el10_2 |
| AlmaLinux Kitten 10 | تحديث النواة العادي التالي | — |
| RHEL 7 / 8 / 9 / 10 | متأثرة، لا إصلاح بعد | — |
| Rocky Linux، CentOS Stream، توزيعات RHEL المتوافقة الأخرى | لم يُنشر إصلاح | — |
| Oracle Linux UEK | مُصلَّح | UEK R6 5.4.17-2136.360.3.1 (ELSA-2026-500397) · UEK R7 5.15.0-325.221.6.4 (ELSA-2026-500398) · UEK R8 6.12.0-207.111.5.4 (ELSA-2026-500399) |
| Oracle Linux RHCK | لا يوجد إشعار | — |
| Amazon Linux 2 | مُصلَّح | 4.14 4.14.355-287.753 (ALAS2-2026-3962) · 5.4 5.4.302-229.498 (ALAS2KERNEL-5.4-2026-131) · 5.10 5.10.269-270.1108 (ALAS2KERNEL-5.10-2026-133) · 5.15 5.15.221-157.262 (ALAS2KERNEL-5.15-2026-117) |
| Amazon Linux 2023 | مُصلَّح | kernel 6.1.188-233.385 (ALAS2023-2026-3197) · kernel6.12 6.12.110-135.201 (ALAS2023-2026-3196) · kernel6.18 6.18.54-121.166 (ALAS2023-2026-3192) |
| Debian | مُصلَّح | bookworm 6.1.190-1 (DLA-4841-1) · trixie 6.12.113-1 (DSA-6568-1) · forky/sid 7.2.11-1. bullseye والإصدارات الأقدم غير متتبَّعة. |
| Ubuntu 14.04 – 26.04 | تحتاج تقييمًا، لا إصلاح بعد | — |
| SLES 12 SP5 / 15 SP4–SP7 / 16.x، SLE Micro، openSUSE Leap 16 | متأثرة، قيد الانتظار | — |
| openSUSE Leap 15.x، SLES 15 SP1–SP3 | انتهى عمرها الافتراضي | — |
| Fedora، Arch، openSUSE Tumbleweed، Alpine، Gentoo | تتبع المنبع المستقر | انظر صف المنبع |
تُصرّح AWS بأن البنية التحتية المضيفة لـ EC2 وLambda وFargate غير متأثرة؛ ومع ذلك لا تزال نسخ Amazon Linux بحاجة إلى تحديث نواتها الخاصة.