CVE-2026-31431 — Copy Fail

تصعيد صلاحيات محلي في قالب التشفير authencesn في نواة لينكس عبر AF_ALG + splice().
تم الكشف عنه في 29 أبريل 2026 بواسطة Theori (Xint Code).

نظرة عامة

ملخص الثغرة

يسمح خلل منطقي في غلاف AEAD الخاص بـ authencesn في النواة لمستخدم محلي بدون صلاحيات بتنفيذ كتابة محكومة وحتمية من 4 بايت في ذاكرة التخزين المؤقت للصفحات لأي ملف قابل للقراءة على النظام — بما في ذلك الملفات الثنائية setuid مثل /usr/bin/su.

السبب الجذري هو تحسين معالجة موضعية من عام 2017 وضع صفحات ذاكرة التخزين المؤقت في قائمة تشتت قابلة للكتابة. يكتب خوارزم authencesn 4 بايت من بيانات مؤقتة خارج منطقة الإخراج المقصودة أثناء إعادة ترتيب رقم التسلسل الممتد. بسبب بنية قائمة التشتت التي أدخلها التحسين، تهبط تلك الـ 4 بايت في ذاكرة التخزين المؤقت للصفحات لملف يتم تغذيته عبر splice() — متجاوزةً صلاحيات الملفات تمامًا.

لا يوجد شرط سباق. لا إعادة محاولة. لا خطر تعطل. حتمي عبر جميع التوزيعات المختبرة.

مقارنة بالأعمال السابقة

الإصدارات المتأثرة

قابلة للاختراق: نواة لينكس 4.14 حتى 6.18.21 و 6.19.x قبل 6.19.12.

جميع التوزيعات الرئيسية التي تشحن نواة ضمن هذا النطاق متأثرة، بما في ذلك:

غير متأثرة: Ubuntu 26.04 (Resolute) والإصدارات الأحدث.

التخفيف

الخيار 1 — التصحيح (موصى به)

قم بالتحديث إلى نواة تحتوي على الالتزام الرئيسي a664bf3d603d، الذي يتراجع عن تحسين المعالجة الموضعية لعام 2017.

# Ubuntu / Debian
sudo apt update && sudo apt upgrade -y && sudo reboot

# RHEL / AlmaLinux / Amazon Linux
sudo dnf clean metadata && sudo dnf upgrade && sudo reboot

# SUSE
sudo zypper refresh && sudo zypper update kernel-default && sudo reboot

الخيار 2 — تعطيل algif_aead (مؤقت)

إذا لم يكن التصحيح الفوري ممكنًا، قم بتعطيل الوحدة القابلة للاختراق لإغلاق سطح الهجوم.

ملاحظة لأنظمة عائلة RHEL: algif_aead مدمجة في النواة على RHEL/AlmaLinux/CentOS (CONFIG_CRYPTO_USER_API_AEAD=y). الحل عبر modprobe.d لا يعمل على هذه الأنظمة. استخدم طريقة initcall_blacklist بدلاً من ذلك.

Debian/Ubuntu (الوحدة قابلة للتحميل):

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf
sudo rmmod algif_aead 2>/dev/null || true

عائلة RHEL (مدمجة في النواة — يتطلب إعادة تشغيل):

sudo grubby --update-kernel=ALL --args="initcall_blacklist=algif_aead_init"
sudo reboot

تأكد بعد إعادة التشغيل:

grep initcall_blacklist /proc/cmdline

ما يتأثر بهذا الحل البديل

الخيار 3 — seccomp (دفاع متعمق)

لأحمال العمل غير الموثوقة — الحاويات، مشغّلات CI، البيئات المعزولة — قم بحظر إنشاء مقابس AF_ALG عبر سياسة seccomp بغض النظر عن حالة التصحيح. هذا يحد من سطح الهجوم حتى على النوى القابلة للاختراق.

الاكتشاف

تحقق مما إذا كانت algif_aead محمّلة حاليًا أو قيد الاستخدام:

# تحقق مما إذا كانت الوحدة محمّلة
lsmod | grep algif_aead

# تحقق مما إذا كانت أي عملية لديها مقبس AF_ALG مفتوح
lsof | grep AF_ALG
ss -xa | grep alg

توقيعات الاكتشاف في وقت التشغيل متاحة في Sysdig Secure (القاعدة: AF_ALG Page Cache Poisoning Leading to Privilege Escalation).

المراجع

الجدول الزمني للكشف

المؤلف

xD The Watcher — مخترق أخلاقي، فريق أحمر وباحث في أمن الذكاء الاصطناعي
GitHub: @xd20111
المدونة: yourhacker

ملاحظات

يوثق هذا المستودع الثغرة لأغراض البحث والدفاع. للحصول على التقرير الفني الموثوق وPoC الرسمي، راجع كشف Theori المرتبط أعلاه.

إذا كان نموذج التهديد الخاص بك يتضمن تعدد الإيجارات على نواة مشتركة — حاويات على مضيف مشترك، مشغّلات CI، مزارع بناء — فإن حدود العزل أصبحت أضعف بشكل ملحوظ حتى يتم التصحيح. العزل على مستوى العتاد أو الآلة الافتراضية هو الاستجابة الصحيحة، وليس حدود مساحات الأسماء.