Copy Fail - كاشف ومخفف CVE-2026-31431

اكتشاف التعرض لثغرة CVE-2026-31431 (Copy Fail) وتطبيق تخفيف اختياري على مستوى المضيف عن طريق تعطيل وحدة النواة algif_aead على الأنظمة المعرضة للخطر.

ما يوفره هذا المستودع

• copyfail-check.sh — يتحقق من حالة تصحيح النواة، والتعرض لوحدة التشغيل، وحالة التخفيف.
• تخفيف تلقائي اختياري عبر --mitigate.
• نتائج قابلة للقراءة البشرية: NOT AFFECTED، PATCHED، NOT EXPLOITABLE، MITIGATED، MITIGATED (REBOOT PENDING)، أو AFFECTED.

ملخص الثغرة

تحسين AEAD في المكان الذي أُجري عام 2017 (الالتزام 72548b093ee3، النواة 4.14) يسمح لمهاجم محلي غير مميز بالحصول على بدائية كتابة في ذاكرة التخزين المؤقت للصفحات ضد أي ملف قابل للقراءة، مما يتيح تصعيد الصلاحيات إلى الجذر. في بيئات الحاويات، قد تسهل نفس البدائية الهروب من الحاوية.

الأنوية قبل 4.14 غير متأثرة. يشمل ذلك نواة Ubuntu 3.13 (Trusty 14.04 GA) ونواة 4.4 (Xenial 16.04 GA، Trusty HWE) — فهي تسبق الالتزام المعرض للخطر.

مراجع الالتزامات

تقوم التوزيعات بنقل التصحيحات مع معرّفات التزامات خاصة بها. يبحث السكربت عن معرّف CVE في سجلات تغييرات الحزم، وهو أكثر موثوقية من تجزئات المصدر العلوية للأنوية المنقولة.

إصدارات Ubuntu المتأثرة

يوزع فريق أمان Ubuntu تحديثًا لحزمة kmod يكتب install algif_aead /bin/false إلى /etc/modprobe.d/disable-algif_aead.conf. ينشئ هذا السكربت نفس الملف بنفس المحتوى وهو متوافق تمامًا مع هذا النهج. تطبيق تحديث الحزمة الرسمي (sudo apt install --only-upgrade kmod) هو المسار الموصى به على Ubuntu؛ يوفر هذا السكربت تغطية مكافئة للأنظمة غير القائمة على Ubuntu أو للفرز قبل التحديث.

بدء سريع

محليًا

chmod +x copyfail-check.sh
sudo ./copyfail-check.sh                # كشف فقط
sudo ./copyfail-check.sh --mitigate     # كشف + تطبيق تخفيف إذا كان متأثرًا

عن بُعد (تشغيل مباشر من GitHub، بدون تنزيل)

قم ببث السكربت مباشرة من main وتنفيذه. صيغة bash -s -- تمرر الوسائط بعد -- إلى السكربت نفسه، لذا يصل --mitigate إلى السكربت وليس إلى bash.

# كشف فقط
curl -fsSL https://raw.githubusercontent.com/Webhosting4U/Copy-Fail_Detect_and_mitigate_CVE-2026-31431/main/copyfail-check.sh | sudo bash

# كشف + تخفيف
curl -fsSL https://raw.githubusercontent.com/Webhosting4U/Copy-Fail_Detect_and_mitigate_CVE-2026-31431/main/copyfail-check.sh | sudo bash -s -- --mitigate

معادلات wget:

wget -qO- https://raw.githubusercontent.com/Webhosting4U/Copy-Fail_Detect_and_mitigate_CVE-2026-31431/main/copyfail-check.sh | sudo bash
wget -qO- https://raw.githubusercontent.com/Webhosting4U/Copy-Fail_Detect_and_mitigate_CVE-2026-31431/main/copyfail-check.sh | sudo bash -s -- --mitigate

ملاحظة أمنية. تمرير سكربت عن بُعد مباشرة إلى قشرة مميزة يثق في ما يخدمه عنوان URL في لحظة التنفيذ. للفرز لمرة واحدة هذا مقبول؛ للاستخدام المتكرر أو الإنتاجي، ثبّت على التزام محدد وافحص السكربت أولاً:

root@kitploit:~

curl -fsSL https://raw.githubusercontent.com/Webhosting4U/Copy-Fail_Detect_and_mitigate_CVE-2026-31431/<commit-sha>/copyfail-check.sh -o copyfail-check.sh
less copyfail-check.sh
sudo bash copyfail-check.sh --mitigate

ما يتم فحصه

1. التشغيل كجذر
2. فحص مسبق لإصدار النواة — الأنوية قبل 4.14 تخرج فورًا كـ NOT AFFECTED
3. أدلة تصحيح النواة، بهذا الترتيب — أي إشارة إيجابية كافية:
   • سجل تغييرات حزمة نواة Debian/Ubuntu (يبحث عن جميع تجزئات التزامات الإصلاح الثلاثة ومعرّف CVE)
   • سجل تغييرات حزمة نواة RHEL/Fedora (نفس الأنماط)
   • التصحيحات الحية للنواة المحملة تحت /sys/kernel/livepatch/، بالإضافة إلى kpatch list وcanonical-livepatch status
   • أدوات CVE الخاصة بالتوزيعة: ubuntu-security-status --cves، dnf updateinfo list cves، zypper patch-check
4. توفر وحدة algif_aead (modinfo) وحالة التحميل (lsmod)
5. قواعد الحظر القائمة على modprobe تحت /etc/modprobe.d/ — تقبل المعادلات المحايدة (install … /bin/false|/bin/true|/sbin/nologin) و؛ تحدد ما إذا كان الحظر جاء من حزمة kmod الخاصة بـ Ubuntu

معاني النتائج

ما يفعله التخفيف

عند استخدام --mitigate على نظام متأثر، يقوم السكربت بما يلي:

• ينشئ /etc/modprobe.d/disable-algif_aead.conf يحتوي على install algif_aead /bin/false
• يحاول إلغاء تحميل algif_aead إذا كان محملاً حاليًا
• يترك حظرًا دائمًا عند الإقلاع

اسم الملف /etc/modprobe.d/disable-algif_aead.conf يطابق الملف المكتوب بواسطة تحديث حزمة kmod الرسمي لـ Ubuntu، لذا فإن كلا النهجين قابلان للتبادل ومتوافقان.

ملاحظات مهمة

• التخفيف هو تقليل مؤقت للمخاطر، وليس بديلاً عن تصحيح النواة.
• تعطيل algif_aead آمن لمسارات التشفير الشائعة: dm-crypt، LUKS، kTLS، IPsec، استخدام OpenSSL/GnuTLS الافتراضي، SSH، وتشفير حلقة المفاتيح في النواة غير متأثرة.
• التطبيقات التي تحمّل محرك afalg الخاص بـ OpenSSL صراحةً ستفقد تسريع الأجهزة؛ يجب أن تتراجع إلى التشفير البرمجي، لكن قد يكون إعادة التشغيل مطلوبة لتفعيل التراجع.
• أعباء عمل الحاويات: قد تمكن الثغرة من الهروب من الحاوية حتى بدون PoC منشور. يُوصى بتطبيق التخفيف أو تصحيح النواة بغض النظر عن نوع عبء العمل.

الجدول الزمني للإفصاح

المتطلبات

• مضيف Linux
• صلاحيات الجذر (sudo أو قشرة جذر)
• أدوات أساسية (مطلوبة دائمًا): uname، modinfo، lsmod، awk، grep
• أدوات اختيارية (تُستخدم عند توفرها، بترتيب السلطة):
  • dpkg — فحص سجل تغييرات Debian/Ubuntu والتحقق من إصدار kmod
  • lsb_release — اكتشاف إصدار Ubuntu لتلميح kmod
  • rpm — فحص سجل تغييرات RHEL/Fedora
  • kpatch / canonical-livepatch و/sys/kernel/livepatch/ — اكتشاف التصحيح الحي
  • ubuntu-security-status، dnf updateinfo، — أدوات CVE الخاصة بالتوزيعة

هيكل المستودع

.
├── copyfail-check.sh
└── README.md

المراجع

• copy.fail — صفحة الثغرة الرسمية
• Copy Fail عبر توزيعات Linux — تحليل تغطية التوزيعات
• إفصاح oss-security — الإفصاح التقني الكامل
• نشرة أمان Ubuntu — إرشادات خاصة بـ Ubuntu وإصدارات الحزم المُصلحة
• سجل CVE — إدخال CVE الرسمي