CVE-2026-31431 (Copy Fail) – أدوات التخفيف التقني

1. نظرة عامة

توفر هذه الحزمة حلاً آلياً لاكتشاف وتخفيف الثغرة الأمنية CVE-2026-31431 (المعروفة باسم Copy Fail) على أنظمة لينكس التي تشغل النوى المتأثرة (الإصدارات 4.14 حتى 6.12.84، و6.13 حتى 6.18.21، وغيرها).

تتكون الأدوات من:

• نص Bash موحد (mitigate_copyfail.sh) يقوم بـ:
  • تشغيل Phalanx-CCS (فحص سطح الهجوم النشط) و Silent4Labs (تقييم المخاطر).
  • كشف تهيئة النواة (CONFIG_CRYPTO_USER_API_AEAD=m|y).
  • تطبيق التخفيف المناسب:
    • الوحدة القابلة للتحميل (=m): ينشئ ملف /etc/modprobe.d/disable-algif-aead.conf بمحتوى install algif_aead /bin/false ويفرغ الوحدة (rmmod).
    • الوحدة المدمجة (=y): يضيف معامل إقلاع النواة initcall_blacklist=algif_aead_init (يتطلب إعادة تشغيل).
  • التحقق من الحالة النهائية واستخراج درجة Silent4Labs ومستوى المخاطر.
• دفتر Ansible (mitigation.yml) يقوم بـ:
  • نسخ النصوص إلى الخوادم البعيدة.
  • تنفيذ نص التخفيف والتقاط مخرجاته.
  • إزالة رموز الألوان ANSI.
  • تحليل حالة Phalanx النهائية وقيم Silent4Labs.
  • عرض ملخص قابل للقراءة وحفظ سجل مفصل على جهاز التحكم.

ملاحظة مهمة: التخفيف مؤقت. الإصلاح الدائم هو ترقية النواة إلى إصدار يتضمن التصحيح a664bf3d603d (≥6.18.22, ≥6.19.12 أو ≥7.0).

---

2. المتطلبات

2.1. جهاز التحكم (حيث يعمل Ansible)

• Ansible 2.9 أو أحدث
• Python 3.6 أو أحدث
• وصول SSH إلى الخوادم المستهدفة (مع become: yes)

2.2. الخوادم البعيدة

• Bash 4+
• Python 3 (لـ Phalanx-CCS)
• صلاحيات sudo (لتطبيق التخفيف)
• نواة متأثرة (اختياري؛ إذا كانت النواة مصححة بالفعل، لن يقوم النص بإجراء تغييرات)

نصوص الكشف (Phalanx-CCS و Silent4Labs) آمنة ولا تستغل الثغرة؛ فهي تتحقق فقط من سطح الهجوم.

---

3. هيكل المستودع

cve-2026-31431-mitigation/
├── README.md
├── scripts/
│   ├── mitigate_copyfail.sh      # النص الموحد (كشف + تخفيف)
│   ├── check_copyfail.py         # Phalanx-CCS (مدقق الوصول)
│   └── check-copyfail.sh         # Silent4Labs (تقييم المخاطر)
├── ansible/
│   ├── ansible.cfg               # (اختياري) تكوين Ansible
│   ├── inventory.ini             # قائمة الخوادم
│   └── mitigation.yml            # الدفتر الرئيسي
└── resultados_cve/               # مجلد يتم إنشاؤه تلقائياً للسجلات

---

4. التثبيت والتكوين

4.1. استنساخ المستودع

git clone https://github.com/your-username/cve-2026-31431-mitigation.git
cd cve-2026-31431-mitigation/ansible

4.2. تحضير قائمة الخوادم (inventory.ini)

مثال لخادم بعيد:

[servers]
server1 ansible_host=192.168.1.10 ansible_user=root

[localhost]
localhost ansible_connection=local

[all:vars]
ansible_become=yes
# ansible_become_password=my_password  # إذا تم استخدام كلمة مرور لـ sudo

4.3. التحقق من مسارات النصوص

في mitigation.yml، مهمة Copy scripts to remote تستخدم src: "../scripts/{{ item }}". تأكد من صحة المسار النسبي، أو قم بتعديله وفقاً لترتيب ملفاتك.

---

5. التنفيذ

من داخل مجلد ansible/:

ansible-playbook -i inventory.ini mitigation.yml -k -K

• -k يطلب كلمة مرور SSH.
• -K يطلب كلمة مرور become (sudo).

عند استخدام localhost مع ansible_connection=local، لا حاجة لـ SSH.

5.1. المخرجات المتوقعة

يعرض الدفتر ملخصاً نصياً مشابهاً لما يلي:

==========================================
MITIGATION RESULTS
==========================================
Host: server1
------------------------------------------
  - Status: SYSTEM SECURE
  - Code: (not applicable)
------------------------------------------
  - Final score: 40 / 100
  - Risk level: MEDIUM
==========================================

بالإضافة إلى ذلك، يتم حفظ ملف سجل في resultados_cve/<hostname>_mitigation.log يحتوي على مخرجات النص الكاملة (التاريخ، إصدار النواة، رسائل الكشف، إلخ).

---

6. وضع التصحيح

إذا كانت القيم المستخرجة تظهر ? أو Not detected، قم بتمكين مهام التصحيح في mitigation.yml:

• غيّر when: false إلى when: true في مهام DEBUG الثلاث (أو اضبط when: true لعرض clean_stdout ومخرجات regex).
• أعد تشغيل الدفتر ولاحظ المخرجات لضبط أنماط البحث إذا لزم الأمر.

---

7. التخصيص

7.1. تغيير مجلد السجلات

قم بتحرير مهمتي Create local results directory و Save full output to local file:

path: /absolute/path/resultados_cve
dest: "/absolute/path/resultados_cve/{{ inventory_hostname }}_mitigation.log"

7.2. تعطيل نسخ النصوص (إذا كانت موجودة مسبقاً)

قم بتعليق مهام النسخ وعدّل المسار في مهمة Run mitigation script ليشير إلى الموقع الموجود.

7.3. التنظيف التلقائي للنصوص البعيدة

غيّر when: false إلى when: true في المهمة الأخيرة (Clean up remote scripts).

---

8. القيود والتحذيرات

• التخفيف عبر معامل الإقلاع (initcall_blacklist) يتطلب إعادة تشغيل ليصبح ساري المفعول. لا يقوم الدفتر بإعادة التشغيل تلقائياً؛ يجب التخطيط لنافذة صيانة.
• على الأنظمة التي تحتوي على CONFIG_CRYPTO_USER_API_AEAD=y (وحدة مدمجة في النواة)، لا يمكن تفريغ الوحدة باستخدام rmmod؛ الطريقة الوحيدة هي معامل الإقلاع.
• درجة Silent4Labs إرشادية؛ القيمة المتوسطة (مثل 40/100) لا تعني أن النظام قابل للاستغلال إذا كان التخفيف نشطاً.
• قد تحتاج نصوص الكشف إلى صلاحيات لقراءة /proc/crypto و /boot/config-*؛ فهي تعمل مع become: yes.

---

9. المراجع

• CVE-2026-31431 على NVD
• التحليل الفني والإصدارات المتأثرة
• Phalanx-CCS (أداة الكشف)
• Silent4Labs (تقييم المخاطر)

---

10. الترخيص

يُوزع هذا المشروع بموجب ترخيص MIT. النصوص البرمجية من طرف ثالث (Phalanx-CCS و Silent4Labs) تحتفظ بتراخيصها الخاصة.

---

دعم المشروع

إذا وجدت هذه الأداة مفيدة، يرجى التفكير في منحها نجمة على GitHub!

---