أداة تدقيق ومعالجة CVE-2026-31431 للأساطيل

中文说明

هذا المشروع عبارة عن منسّق على نطاق الأساطيل لتدقيق ومعالجة CVE-2026-31431 على مضيفات Linux في الشبكات المؤسسية/الداخلية.

• تسجيل دخول SSH دفعة واحدة إلى مضيفات متعددة
• جمع أدلة المخاطر وتصنيف الحالة
• تخفيف مؤقت (تعطيل algif_aead)
• سير عمل ترقية/تصحيح النواة حسب التوزيعة
• تقارير JSON / CSV / Markdown

1. المتطلبات

• Python: >=3.13
• مدير الحزم: uv
• الشبكة: يجب أن يصل المُنفِّذ إلى المضيفات المستهدفة عبر SSH

2. البدء السريع

2.1 تثبيت التبعيات

uv sync

تم تكوين مرآة Tsinghua في pyproject.toml:

[tool.uv]
index-url = "https://pypi.tuna.tsinghua.edu.cn/simple"

2.2 تجهيز ملف إعداد الأسطول

cp fleet.env.example fleet.env

ثم قم بتحديث fleet.env بمضيفاتك وبيانات اعتمادك الفعلية.

2.3 التشغيل

uv run python main.py fleet.env

3. هيكل المشروع

.
├── main.py
├── pyproject.toml
├── uv.lock
├── fleet.env.example
├── reports/
└── src/
    ├── main.py
    ├── models.py
    ├── config.py
    ├── executor.py
    ├── collector.py
    ├── analyzer.py
    ├── adapters.py
    ├── remediator.py
    ├── orchestrator.py
    └── reporter.py

4. مرجع إعداد fleet.env

الصيغة هي KEY=VALUE. يتم تجاهل الأسطر الفارغة وتعليقات #.

4.1 المفاتيح العامة

MODE

• وضع التشغيل.
• القيم:
  • audit: كشف فقط، بدون معالجة.
  • fix: كشف وتشغيل سير المعالجة.
• الافتراضي: audit

AUTO_REBOOT

• ما إذا كان سيتم إعادة تشغيل المضيف تلقائيًا بعد المعالجة الناجحة.
• القيم: 0 أو 1
• الافتراضي: 0
• فعّال فقط عندما يكون MODE=fix.

SSH_TIMEOUT

• مهلة اتصال/مصادقة SSH (بالثواني).
• النوع: عدد صحيح
• الافتراضي: 12

MAX_WORKERS

• حجم التزامن للأسطول (عدد عمال تجمع الخيوط).
• النوع: عدد صحيح
• الافتراضي: 8

REPORT_DIR

• دليل الإخراج للتقارير المُنشأة.
• النوع: مسار نسبي أو مطلق
• الافتراضي: ./reports

PROGRESS_HEARTBEAT_SECONDS

• فترة نبضات القلب لسجلات التقدم في الوقت الفعلي.
• النوع: عدد صحيح (بالثواني)
• الافتراضي: 5

DEVICE_MAX_DURATION_SECONDS

• أقصى مدة تنفيذ إجمالية لكل جهاز قبل تحذيرات المهلة/التعليق.
• النوع: عدد صحيح (بالثواني)
• الافتراضي: 1800

PROGRESS_LOG_TO_FILE

• ما إذا كان سيتم حفظ سجلات التقدم في REPORT_DIR.
• القيم: 0 أو 1
• الافتراضي: 1

FLEET_COUNT

• عدد فتحات الأجهزة. يقوم المُحمِّل بتحليل 1..FLEET_COUNT.
• النوع: عدد صحيح
• إذا كان DEVICE_n_HOST فارغًا، يتم تخطي تلك الفتحة.

4.2 مفاتيح كل جهاز

يستخدم كل مضيف بادئة DEVICE_{n}_، مثل DEVICE_1_*، DEVICE_2_*.

DEVICE_n_NAME

• اسم العرض في التقارير.
• اختياري. إذا كان فارغًا، يتم الرجوع تلقائيًا إلى device_n.

DEVICE_n_HOST

• عنوان IP أو اسم DNS للمضيف المستهدف.
• مطلوب لتلك الفتحة.

DEVICE_n_PORT

• منفذ SSH.
• الافتراضي: 22

DEVICE_n_USER

• اسم مستخدم SSH.
• الافتراضي: root

DEVICE_n_PASSWORD

• مصادقة كلمة مرور SSH.
• يُستخدم مع أو بدلاً من DEVICE_n_KEY.
• يستخدم البرنامج النصي فقط بيانات الاعتماد المحددة صراحةً في fleet.env.

DEVICE_n_KEY

• مسار مفتاح SSH الخاص.
• مثال: ./keys/node-1_ed25519
• إذا كان كل من DEVICE_n_PASSWORD و DEVICE_n_KEY فارغين، يفشل الاتصال فورًا.

DEVICE_n_SUDO_PASSWORD

• كلمة مرور sudo للمستخدمين غير الجذر.
• تُستخدم لأوامر المعالجة.

4.3 مثال كامل

# =========================
# عام
# =========================
MODE=audit
AUTO_REBOOT=0
SSH_TIMEOUT=12
MAX_WORKERS=8
REPORT_DIR=./reports
PROGRESS_HEARTBEAT_SECONDS=5
DEVICE_MAX_DURATION_SECONDS=1800
PROGRESS_LOG_TO_FILE=1
FLEET_COUNT=3

# =========================
# الجهاز 1
# =========================
DEVICE_1_NAME=pve-node-1
DEVICE_1_HOST=192.168.1.10
DEVICE_1_PORT=22
DEVICE_1_USER=root
DEVICE_1_PASSWORD=
DEVICE_1_KEY=./keys/pve-node-1_ed25519
DEVICE_1_SUDO_PASSWORD=

# =========================
# الجهاز 2
# =========================
DEVICE_2_NAME=web-1
DEVICE_2_HOST=192.168.1.20
DEVICE_2_PORT=22
DEVICE_2_USER=admin
DEVICE_2_PASSWORD=your_ssh_password
DEVICE_2_KEY=
DEVICE_2_SUDO_PASSWORD=your_sudo_password

# =========================
# الجهاز 3
# =========================
DEVICE_3_NAME=
DEVICE_3_HOST=192.168.1.30
DEVICE_3_PORT=22
DEVICE_3_USER=ops
DEVICE_3_PASSWORD=
DEVICE_3_KEY=./keys/db-1_ed25519
DEVICE_3_SUDO_PASSWORD=

5. أوضاع التشغيل

5.1 وضع التدقيق (يُنصح به كمرور أول)

MODE=audit
uv run python main.py fleet.env

السلوك:

• الاتصال بالمضيفات
• جمع تلميحات النواة/الوحدة/التصحيح
• تصنيف حالة المخاطر
• إنشاء التقارير

5.2 وضع الإصلاح

MODE=fix
AUTO_REBOOT=0
uv run python main.py fleet.env

السلوك:

• تطبيق التخفيف المؤقت أولاً:
  • كتابة /etc/modprobe.d/disable-cve-2026-31431-algif-aead.conf
  • محاولة إلغاء تحميل algif_aead
• تشغيل تحديث النواة الخاص بالتوزيعة
• إعادة تشغيل اختيارية بناءً على AUTO_REBOOT

6. تعريفات الحالة

SAFE

• تم العثور على تلميحات تصحيح و algif_aead غير محمّل.

MITIGATED

• تم العثور على تلميحات تخفيف بينما تلميحات التصحيح لا تزال غير واضحة.

NEEDS_PATCH

• algif_aead متاح/محمّل وتلميحات التصحيح مفقودة.

UNKNOWN

• لا توجد أدلة كافية للتصنيف.

FAILED

• فشل تسجيل دخول SSH/تنفيذ الأوامر.

7. مخرجات التقارير

ينشئ كل تشغيل 3 ملفات في REPORT_DIR:

• cve_2026_31431_<timestamp>.json
• cve_2026_31431_<timestamp>.csv
• cve_2026_31431_<timestamp>.md
• progress_<timestamp>.log (سجلات التقدم ونبضات القلب في الوقت الفعلي)

الحقول الأساسية:

• name, host
• status
• kernel, os
• algif_loaded, algif_available
• patch_hint
• fixed, rebooted
• error

8. ملاحظات أمنية

• لا تقم بإرسال fleet.env أو المفاتيح الخاصة إلى نظام التحكم بالإصدارات.
• استخدم حسابات تشغيلية بأقل صلاحيات ممكنة عند الإمكان.
• خذ لقطات/نسخ احتياطية قبل المعالجة في بيئة الإنتاج.
• النشر الموصى به: audit -> fix -> إعادة تدقيق.

9. استكشاف الأخطاء وإصلاحها

ModuleNotFoundError: No module named 'paramiko'

• قم بتشغيل uv sync.

العديد من المضيفات بحالة FAILED

• تحقق من الاتصال، وبيانات اعتماد SSH، وصلاحيات sudo، وحالة مفتاح المضيف.

BadHostKeyException

• بصمة المضيف تتعارض مع سجل known_hosts الحالي.
• هذا ليس تراجعًا لمصادقة مفتاح النظام؛ لا تزال المصادقة تستخدم فقط بيانات اعتماد fleet.env.
• تحقق من هوية المضيف خارج النطاق، ثم حدّث known_hosts:
  • ssh-keygen -R <host>
  • ssh-keyscan -H <host> >> $env:USERPROFILE\.ssh\known_hosts

Server ... not found in known_hosts

• وضع مفتاح المضيف الصارم مفعّل، وبصمة المضيف مفقودة.
• أضف مفتاح المضيف إلى known_hosts، ثم أعد التشغيل.

تم تحديث النواة لكن الحالة لا تزال محفوفة بالمخاطر

• قد تكون إعادة التشغيل مطلوبة للإقلاع إلى النواة المُصححة.