تحذير شركة مان وو: ثغرة فشل نسخ Linux قابلة للاستغلال بسهولة شديدة، يُنصح بالترقية إلى النواة بأسرع وقت ممكن

ذكرت شركة سلوب ميست (SlowMist) أن كبير مسؤولي أمن المعلومات لديها 23pds نشر على X في 30 أبريل، بأن أنظمة Linux تحتوي على ثغرة منطقية تُسمى “Copy Fail” (CVE-2026-31431)، يسهل استغلالها للغاية، وحثّت سلوب ميست المستخدمين على إجراء ترقية عاجلة للنواة.

المعلومات الأساسية عن الثغرة والنطاق المتأثر

وفقاً للتقرير التقني الصادر في 29 أبريل من فريق أبحاث Xint Code، فإن CVE-2026-31431 هي ثغرة منطقية داخل قالب التحقق والتشفير AEAD في ملف algif_aead.c ضمن نواة Linux، وتستغل سلاسل استدعاء عبر AF_ALG مع دالة splice()، ما يتيح لمستخدم محلي غير ذي صلاحيات الوصول إلى كتابة مسيطر عليها بحجم 4 بايتات بشكل حتمي في صفحات ذاكرة التخزين المؤقت لملفات يمكن قراءتها عشوائياً للنظام، وبالتالي الحصول على صلاحيات الجذر عن طريق تعطيل ثنائيات setuid.

وبحسب تقرير Xint Code، تم اختبار واستكمال تأكيد أن التوزيعات وإصدارات النواة المتأثرة تشمل:

Ubuntu 24.04 LTS: النواة 6.17.0-1007-aws

Amazon Linux 2023: النواة 6.18.8-9.213.amzn2023

RHEL 10.1: النواة 6.12.0-124.45.1.el10_1

SUSE 16: النواة 6.12.0-160000.9-default

وفقاً لتقرير Xint Code، تتمثل الجذور في السبب وراء هذه الثغرة في تحسين AEAD داخل المكان (in-place) الذي تم تقديمه إلى algif_aead.c في 2017 (الالتزام 72548b093ee3)، ما أدى إلى وضع صفحات ذاكرة التخزين المؤقت القادمة من splice() ضمن قائمة متفرقة قابلة للكتابة، بالتزامن مع عملية الكتابة المؤقتة القابلة للاستغلال في مغلف authenticsn AEAD، لتكوين مسار استغلالي.

جدول الإفصاح المنسق وخطط المعالجة

وفقاً لجدول زمني أُعلن عنه من Xint Code في 29 أبريل، تم الإبلاغ عن CVE-2026-31431 إلى فريق أمن نواة Linux في 23 مارس 2026، واكتمل فحص التصحيح (a664bf3d603d) في 25 مارس، وتم تقديمه إلى النواة الرئيسية في 1 أبريل، وتم تخصيص CVE رسمياً في 22 أبريل، ثم جرى الإفصاح العلني في 29 أبريل.

وبحسب تقرير Xint Code، تشمل إجراءات المعالجة: تحديث حزم برمجيات نواة التوزيعات (وينبغي للتوزيعات الشائعة إصدار هذا التصحيح عبر تحديثات النواة الاعتيادية). ولإجراء تخفيف فوري، يمكن منع إنشاء مقابس AF_ALG عبر seccomp، أو تنفيذ الأوامر التالية لإدراج وحدة algif_aead ضمن القائمة السوداء: echo “install algif_aead /bin/false” > /etc/modprobe.d/disable-algif-aead.conf.

ووفقاً لتقرير Xint Code، تؤثر هذه الثغرة أيضاً على سيناريوهات عبر حدود الحاويات، بسبب مشاركة ذاكرة التخزين المؤقت للصفحات مع المضيف؛ وسيجري الإفصاح عن التأثيرات ذات الصلة بتجاوز حاويات Kubernetes في الجزء الثاني.

الأسئلة الشائعة

ما هو نطاق تأثير CVE-2026-31431؟

وفقاً لتقرير Xint Code وتحذير 23pds في 30 أبريل، تؤثر CVE-2026-31431 على ما يقرب من جميع توزيعات Linux السائدة التي تم إصدارها منذ 2017، بما في ذلك Ubuntu وAmazon Linux وRHEL وSUSE، إذ يمكن لبرامج نصية بايثون بحجم 732 بايتاً الحصول على صلاحيات الجذر دون الحاجة إلى امتيازات.

ما هي طريقة التخفيف المؤقتة لهذه الثغرة؟

وفقاً لتقرير Xint Code، يمكن منع إنشاء مقابس AF_ALG عبر seccomp، أو تنفيذ echo “install algif_aead /bin/false” > /etc/modprobe.d/disable-algif-aead.conf لإدراج وحدة algif_aead ضمن القائمة السوداء من أجل التخفيف الفوري.

متى تم إصدار التصحيح لـ CVE-2026-31431؟

وفقاً لجدول الإفصاح الذي نشره Xint Code في 29 أبريل، تم تقديم التصحيح (a664bf3d603d) إلى النواة الرئيسية في 1 أبريل 2026، ومن المفترض أن تصدر التوزيعات الشائعة هذا التصحيح عبر تحديثات الحزم البرمجية للنواة الاعتيادية.