CVE-2026-32746: Продвинутый инструмент для устранения уязвимостей в Linux-сетях

🚨 ТЕХНИЧЕСКОЕ ПРЕДУПРЕЖДЕНИЕ

CVE-2026-32746 — это гипотетическая уязвимость, используемая для учебных демонстраций. Данный инструмент рассматривает сценарий «Идеального шторма»: небезопасный с точки зрения памяти демон Telnet (telnetd) в сочетании с состоянием гонки при повышении привилегий, что приводит к удалённому перехвату указателя инструкций (IP) с правами root.

🛠 Возможности (v3.1 — производственный уровень)

Инструмент эволюционировал в модульную систему безопасности со следующими возможностями:

• 🔄 Атомарная система отката:
  • Предварительный захват состояния: Автоматически сериализует текущее состояние системы (службы и правила межсетевого экрана) в JSON до любого исправления.
  • Отмена одной командой: Используйте --rollback, чтобы восстановить систему в исходное состояние при возникновении конфликта.
• 🛡️ Стратегия множественных межсетевых экранов:
  • Поддержка разнородных систем: Автоматически определяет и поддерживает UFW, firewalld, nftables и iptables.
• 🧱 Многоуровневая защита (Defense-in-Depth):
  • Маскирование служб: Использует systemctl mask для предотвращения непреднамеренных перезапусков зависимыми службами.
  • Аудит портов: Проверка прослушиваемых портов в реальном времени с помощью ss и netstat.

📐 Системная архитектура

Модульная конструкция компонентов

Инструмент использует паттерн Strategy для работы с разнородными средами Linux.

classDiagram
    class MitigationTool {
        +args
        +run() int
    }
    class StateManager {
        +save_state()
        +rollback()
    }
    class FirewallManager {
        +backend: FirewallBackend
        +block_port(port)
    }
    class FirewallBackend {
        <<interface>>
        +is_available() bool
        +is_active() bool
        +block_port(port)
    }
    
    MitigationTool *-- StateManager
    MitigationTool *-- FirewallManager
    FirewallManager o-- FirewallBackend
    FirewallBackend <|-- UFWBackend
    FirewallBackend <|-- FirewalldBackend
    FirewallBackend <|-- IptablesBackend
    FirewallBackend <|-- NftablesBackend

Процесс устранения уязвимости

Следующая последовательность описывает атомарную логику «захват-до-исправления»:

sequenceDiagram
    participant User
    participant Tool as MitigationTool
    participant SM as StateManager
    participant FM as FirewallManager
    participant SV as ServiceManager

    User->>Tool: --apply-fixes
    Tool->>SM: save_state(POTENTIAL_SERVICES, firewall, port)
    activate SM
    SM->>SM: Capture systemd states
    SM->>SM: Save to .cve_2026_32746_state.json
    SM-->>Tool: State Captured
    deactivate SM

    Tool->>SV: remediate(active_services)
    SV->>SV: stop / disable / mask
    
    Tool->>FM: block_port(23)
    FM->>FM: Apply Firewall Strategy (UFW/Firewalld/etc)
    
    Tool-->>User: Success (Exit 0)

📋 Предварительные требования

• Python 3.10+
• Права root (sudo)
• Linux (рекомендуется поддержка Systemd)

🚀 Использование

1. Аудит и устранение уязвимости

sudo ./telnet_mitigation_tool.py --apply-fixes

2. Откат изменений

Мгновенное восстановление состояния системы из сохранённого снимка.

sudo ./telnet_mitigation_tool.py --rollback

3. Пробный запуск отката

Предварительный просмотр того, какие именно изменения выполнит откат.

sudo ./telnet_mitigation_tool.py --rollback --dry-run

🏗 Структура проекта

• telnet_mitigation_tool.py: Основной модульный механизм выполнения.
• test_v3_logic.py: Набор модульных тестов, поддерживающих модульные бэкенды межсетевых экранов.
• CHANGELOG.md: Исторические заметки о версиях.
• .cve_2026_32746_state.json: Локальное хранилище состояния (создаётся во время устранения уязвимости).

⚖ Лицензия

Этот проект лицензирован в соответствии с лицензией MIT — подробности см. в файле LICENSE.