CVE-2026-31431 المعروف أيضًا باسم Copy.Fail حل مؤقت عبر eBPF

لماذا هو مهم

تسمح هذه الثغرة الأمنية للمستخدم المصرح له بتغيير النسخة المخزنة مؤقتًا (cache) من أي ملف قابل للقراءة، مما يؤدي إلى تصعيد الامتيازات المحلية (المعروف أيضًا باستغلال الجذر المحلي)، والهروب من بيئة الحماية/الحاوية، ومشكلات أخرى. تعمل هذه الثغرة عن طريق إنشاء مقبس AF_ALG الذي توفره وحدات kernel الخاصة بـ algif*.

يوصي الحل المؤقت المعروف حاليًا بتعطيل وحدة algif_aead، وهو أمر غير ممكن إذا كانت الوحدة مدمجة في النواة، كما هو الحال في Fedora Linux وOracle Linux وغيرها من الأنظمة المبنية على RHEL. أيضًا، لا تزال بعض التوزيعات العلوية (upstreams) تفتقر إلى التصحيح. هذا يعني أن أنظمتك ستظل عرضة للخطر حتى تقوم بتحديث نواتك.

الحل

توفر لك هذه الحزمة برنامجين من eBPF:

• ebpf-alg-socket-filter، الذي يقوم بتصفية إنشاء مقابس AF_ALG عبر آلية نواة eBPF/LSM
• ebpf-alg-socket-killer، الذي يقتل أي برنامج يقوم بإنشاء مقبس AF_ALG

أنصح باستخدام الأول إذا كانت وحدة eBPF LSM مفعّلة في نواتك. يمكنك التحقق من ذلك عن طريق تنفيذ

cat /sys/kernel/security/lsm

والتحقق من وجود bpf في الناتج.

إذا لم تكن لديك وحدة eBPF LSM، فاستخدم البرنامج الثاني، فهو أكثر فظاظة لكنه يحمي أيضًا.

البناء

• ثبّت clang و kernel-headers و libbpf-devel و bpftool
• انسخ vmlinux.h من رؤوس نواتك
• نفّذ build.sh build

التشغيل

• نفّذ apply.sh load للتحميل
• نفّذ apply.sh unload للإلغاء
• نفّذ apply.sh status للتحقق من الحالة