گزارش اثبات آسیب‌پذیری CVE-2026-31431

اطلاعات آسیب‌پذیری

عنوان: افزایش سطح دسترسی محلی در کرنل لینوکس – CopyFail یا CopyGrail

شناسه: CVE-2026-31431

وضعیت مشاوره: Advisory / Patch Available

امتیاز:  CVSS: 7.8 (High)

محصول: کرنل لینوکس

محصول / نسخه‌های آسیب‌پذیر

در نسخه‌های زیر (پیش از اعمال پچ امنیتی):

• کرنل لینوکس نسخه‌های 4.17 تا قبل از patch نهایی
• کلیه توزیع‌های اصلی لینوکس
• سیستم‌هایی که کرنل آسیب‌پذیر روی آن‌ها نصب شده و کاربران محلی غیرامن به آن دسترسی دارند
• محیط‌های کانتینری (Docker، Kubernetes، containerd) که از کرنل آسیب‌پذیر استفاده می‌کنند
• سیستم‌هایی که ماژول algif_aead به صورت بارگذاری‌شده (loadable) یا کامپایل شده در کرنل قرار دارند

محیط‌های درگیر

• سازمان‌هایی که از سرورهای لینوکس با کاربران چندگانه محلی یا از راه دور (SSH) استفاده می‌کنند
• محیط‌های میزبانی ابری و مجازی (AWS، Azure، GCP) که نمونه‌های لینوکس را اجرا می‌کنند
• کلاسترهای Kubernetes و Container-as-a-Service
• CI/CD pipelines و build runners که کد ناامن یا تست‌شده را اجرا می‌کنند
• ارائه‌دهندگان خدمات مدیریت شده (MSP) که دسترسی شل به مشتریان یا کارمندان خود می‌دهند
• کلیه صنایع (مالی، بهداشت، فناوری، دولت و …) که از زیرساخت لینوکس استفاده می‌کنند

کامپوننت‌های آسیب‌پذیر

• ماژول کرنل algif_aead – بخش AF_ALG cryptographic API که دسترسی userspace به عملیات رمزنگاری احراز هویت‌شده (AEAD) را فراهم می‌کند
• تابع درون‌خطی (in-place optimization) معرفی‌شده در commit 72548b093ee3 (سال 2017) که اجازه می‌دهد صفحات page-cache در یک destination scatterlist قابل نوشتن قرار گیرند
• سوکت AF_ALG (پروتکل 38)
• معماری ()splice و صفحه حافظه نهان (page cache) فایل‌های setuid

ریشه مشکل (Root Cause Analysis)

ریشه اصلی این آسیب‌پذیری به ترکیبی از دو نقص امنیتی اساسی در طراحی و پیاده‌سازی ماژول algif_aead در کرنل لینوکس بازمی‌گردد. اولین نقص از نوع «کپی ناامن داده بین حافظه کاربر و هسته» یا Out-of-bounds Read (CWE-125) است. در سال ۲۰۱۷، یک بهینه‌سازی در این ماژول اعمال شد که اجازه می‌دهد صفحات حافظه نهان (Page Cache) فایل‌ها به عنوان مقصد عملیات رمزنگاری in-place قرار گیرند، بدون آنکه آن صفحه به عنوان «کثیف» (Dirty) علامتگذاری شود. نقص دوم از نوع «افشای دسترسی به اشیاء حساس بدون سطح دسترسی مناسب» یا exposes sensitive information to an actor (CWE-200) است. در حالت عادی، نوشتن در حافظه نهان یک فایل سیستمی مانند usr/bin/su نیازمند سطح دسترسی ریشه است. اما با زنجیره‌سازی ایجاد یک سوکت AF_ALG و فراخوانی سیستمی ()splice، مهاجم می‌تواند تنها ۴ بایت را در صفحه حافظه نهان فایل هدف بنویسد. این دو ضعف از طریق دسترسی محلی به سیستم (مثلاً یک حساب کاربری معمولی SSH یا یک شل ساده) قابل بهره‌برداری هستند و برای موفقیت، تنها نیاز به وجود فایل setuid در سیستم و فعال بودن ماژول algif_aead وجود دارد. در سناریوی بهره‌برداری کلی، مهاجم با انجام عملیات رمزنگاری در حافظه نهان فایل usr/bin/su، دستورالعمل‌های آن را به گونه‌ای تغییر می‌دهد که هنگام اجرای مجدد، یک شل ریشه (root shell) باز شود. از آنجایی که صفحه حافظه هرگز روی دیسک نوشته نمی‌شود، فایل اصلی فیزیکی تغییری نمی‌کند و مکانیزم‌های سنتی یکپارچگی فایل (مانند rpm -V) قادر به تشخیص تغییر نیستند.

بخش آسیب‌پذیر

رفتار ناامن سیستم:

وجود یک بهینه‌سازی ناامن در ماژول algif_aead کرنل که اجازه می‌دهد صفحات page-cache به عنوان مقصد عملیات رمزنگاری (در حالت in-place) قرار گیرند، بدون آنکه صفحه متعاقباً به عنوان “dirty” علامت‌گذاری شود. این رفتار ناامن باعث می‌شود هر کاربر محلی با دسترسی حداقلی (حتی بدون نیاز به sudo) بتواند حافظه نهان هر فایل قابل خواندنی (از جمله فایل‌های سیستمی حیاتی) را به طور پایدار و کنترل‌شده تغییر دهد و هنگام اجرای مجدد آن فایل، کد مخرب خود را با سطح دسترسی owner فایل (معمولاً root) اجرا کند.

نحوه سوءاستفاده مهاجم:

• مهاجم به یک سیستم لینوکس آسیب‌پذیر دسترسی محلی دارد (مثلاً از طریق SSH به عنوان یک کاربر عادی یا از طریق یک ‌شل)
• مهاجم یک فایل setuid را هدف قرار می‌دهد، مثلاً usr/bin/su یا usr/bin/sudo
• مهاجم از طریق دستکاری در عملیات سوکت AF_ALG و زنجیره‌سازی با ()splice، یک صفحه خاص از page-cache فایل هدف را شناسایی می‌کند
• مهاجم ۴ بایت کنترل‌شده (مثلاً یک آفست یا یک دستورالعمل پرش) را در آن صفحه می‌نویسد
• صفحه page-cache آلوده می‌شود اما هرگز روی دیسک نوشته نمی‌شود (فایل اصلی فیزیکی unchanged می‌ماند)
• مهاجم فایل setuid را به طور عادی اجرا می‌کند
• کرنل صفحه آلوده را از page-cache بارگذاری کرده و کد اصلاح‌شده را با سطح دسترسی root اجرا می‌کند
• مهاجم یک شل root به دست می‌آورد و می‌تواند هر عملی (نصب بکدور، غیرفعال کردن دفاع، دستکاری سیستم) را انجام دهد

نقش این آسیب‌پذیری در زنجیره حمله

این آسیب‌پذیری یک ابزار افزایش سطح دسترسی محلی (Local Privilege Escalation) بسیار قدرتمند و قابل اعتماد در زنجیره حمله محسوب می‌شود. با توجه به نمره CVSS 7.8 (بالا)، ماهیت محلی و نیاز به دسترسی اولیه به سیستم (مثلاً از طریق یک ‌شل، یک کاربر SSH عادی، یا یک اپلیکیشن کانتینری)، مهاجم ابتدا باید از طریق روش دیگری (مثلاً یک RCE در یک سرویس وب، فیشینگ، یا دانلود بدافزار) یک پایگاه اولیه روی سیستم قربانی ایجاد کند. پس از آن، با بهره‌برداری از این آسیب پذیری، می‌تواند بدون نیاز به هیچ مجوز اضافی، مستقیماً به بالاترین سطح دسترسی (root) برسد.

پیش‌نیازهای بهره‌برداری (Prerequisites)

• وجود ماژول algif_aead به صورت loadable یا compiled در کرنل (اکثر توزیع‌ها این ماژول را به صورت پیش‌فرض فعال دارند)
• وجود یک فایل setuid هدف (تقریباً در تمام سیستم‌های لینوکس usr/bin/su یا usr/bin/sudo وجود دارد)
• نبود سیستم‌های تشخیص نفوذ سطح کرنل (مانند eBPF-based runtime security) که AF_ALG سوکت را مسدود کنند
• (در محیط‌های کانتینری) نیاز به دسترسی به سوکت AF_ALG در داخل کانتینر (معمولاً پیش‌فرض مسدود نیست)

رفتار مورد انتظار در حالت امن (Expected Secure Behavior)

• ماژول algif_aead نباید اجازه دهد صفحات page-cache به عنوان destination قابل نوشتن در عملیات رمزنگاری in-place استفاده شوند
• هر گونه دستکاری page-cache باید صفحه را به عنوان “dirty” علامت‌گذاری کند تا تغییر روی دیسک نوشته شود (یا حداقل توسط مکانیزم‌های integrity قابل تشخیص باشد)
• عملیات رمزنگاری AF_ALG باید همیشه خروجی را در یک بافر جداگانه (out-of-place) قرار دهد، نه در صفحه منبع
• فراخوانی سیستمی ()splice و سایر فراخوانی‌های مرتبط با page-cache باید اعتبارسنجی‌های سخت‌گیرانه‌تری روی صفحات قابل نوشتن داشته باشند
• اصل کمترین دسترسی (Least Privilege) باید رعایت شود – حتی در سطح کرنل، دستکاری مستقیم page-cache فایل‌های setuid باید ممنوع شود

راهکارها و کاهش ریسک (Mitigation / Patch Guidance)

اقدامات فوری برای کاهش ریسک:

• غیرفعال کردن پایدار ماژول algif_aead با دستورات زیر (تا زمان در دسترس بودن patch رسمی):

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif-aead.conf

rmmod algif_aead 2>/dev/null || true

توجه: این کار ماژول crypto AF_ALG را غیرفعال می‌کند و ممکن است برخی برنامه‌ها (مانندopenssl) را تحت تأثیر قرار دهد.

• اگر ماژول در کرنل کامپایل شده باشد پارامتر بوت initcall_blacklist=algif_aead_init را به GRUB اضافه کنید.
• مسدودسازی دسترسی‌های محلی غیرضروری به سیستم

اقدامات کوتاه‌مدت / میان‌مدت برای کاهش ریسک:

• پیگیری مداوم اطلاعیه‌های امنیتی توزیع خود و اعمال فوری patch کرنل پس از انتشار

• انجام اسکن کلیه سیستم‌های لینوکس سازمان برای شناسایی نسخه‌های آسیب‌پذیر کرنل با لیست آسیب‌پذیر

• در کلاسترهای Kubernetes به‌روزرسانی گره‌ها (node images) به نسخه‌های اصلاح‌شده (مثلاً AKS نسخه‌های v202604.13.0 و v202604.24.0)

• اعمال مکانیزم‌های امنیتی اضافی SELinux، AppArmor (با قوانین مسدودسازی AF_ALG)، و eBPF-based runtime security

• آموزش تیم‌های عملیاتی در خصوص خطرات این آسیب‌پذیری و نحوه تشخیص آن

• اجرای بازبینی لاگ‌های کرنل برای شناسایی بارگذاری مشکوک ماژول algif_aead

اقدامات بلندمدت برای کاهش ریسک:

• استقرار راهکارهای خودکار به‌روزرسانی امنیتی
• پیاده‌سازی فرآیندهای منظم تست نفوذ (با سناریوی افزایش سطح دسترسی محلی) برای ارزیابی وضعیت امنیتی سیستم‌ها
• تدوین و اجرای سیاست‌های هاردنینگ کرنل لینوکس بر اساس راهنمای CIS Benchmarks
• استفاده از ابزارهای تحلیل امنیتی Container runtime (مانند kube-bench، trivy و falco) برای شناسایی پیکربندی‌های ناامن در کانتینرها (از جمله سوکت AF_ALG باز)
• طراحی زیرساخت به گونه‌ای که کاربران عادی هرگز دسترسی مستقیم به شل سرورهای حیاتی نداشته باشند (استفاده از jump servers و جلسات ضبط‌شده)

تشخیص و مانیتورینگ (Detection & Monitoring)

نشانه‌های تلاش برای سوءاستفاده:

• بارگذاری ماژول algif_aead در سیستم‌هایی که قبلاً وجود نداشته
• ایجاد سوکت از نوع AF_ALG (پروتکل 38) توسط فرآیندهای کاربر عادی
• استفاده غیرعادی از فراخوان سیستمی ()splice همراه با فایل‌های setuid
• اجرای مکرر باینری‌های setuid (مانند su، sudo و یا pkexec) توسط کاربران عادی در مدت زمان کوتاه
• تغییر در رفتار باینری‌های setuid بدون تغییر روی دیسک
• در محیط‌های کانتینری، خروج فرآیند از کانتینر به میزبان (container escape) یا دسترسی غیرمجاز به فایل‌های سیستمی میزبان

منابع پیشنهادی برای مانیتورینگ و پایش:

• لاگ‌های کرنل (dmesg و /var/log/kern.log) برای رویدادهای بارگذاری ماژول algif_aead
• خروجی lsmod (برای تشخیص بارگذاری ناگهانی ماژول)
• ابزار auditd با قوانین اختصاصی برای نظارت بر فراخوانی ()socket با خانواده ی AF_ALG
• سیستم‌های SIEM برای جمع‌آوری و تحلیل مرکزی لاگ‌های احراز هویت و اجرای فرمان
• راهکارهایSentinelOne، CrowdStrike و یا EDR که قابلیت شناسایی الگوهای افزایش سطح دسترسی محلی را دارند
• ابزارهای نظارت بر یکپارچگی فایل (FIM) با قابلیت شناسایی تغییرات in-memory (بسیاری از FIMهای سنتی تغییر روی دیسک را بررسی می‌کنند که در اینجا رخ نمی‌دهد – نیاز به راهکارهای پیشرفته دارد)
• راهکارهای Runtime Security مانند Falco (با قوانین اختصاصی برای سوکت AF_ALG)
• ابزارهای اسکن آسیب‌پذیری مانند Nessus، Qualys، یا OpenVAS با قالب CVE-2026-31431

واکنش به حادثه (Incident Response)

• ایزوله‌سازی فوری سیستم آلوده از شبکه برای جلوگیری از حرکت جانبی مهاجم (که اکنون دسترسی root دارد)
• جمع‌آوری و حفظ لاگ‌های کرنل، لاگ‌های احراز هویت (var/log/auth.log، /var/log/secure)، لاگ‌های فرمان (var/log/bash.log در صورت فعال بودن) و ترافیک شبکه
• بررسی لیست ماژول‌های بارگذاری‌شده (lsmod) و وجود algif_aead
• بررسی پراسس‌های در حال اجرا با دسترسی root که غیرعادی هستند
• حذف هرگونه بکدور، cron job مخرب، یا SSH key اضافه‌شده توسط مهاجم
• بازنشانی رمز عبور تمام کاربران (چون مهاجم با دسترسی root می‌توانسته هش پسوردها را استخراج کند)
• اعمال patch کرنل (یا حداقل mitigations موقت) قبل از بازگرداندن سیستم به شبکه
• اسکن کامل سیستم با آنتی‌ویروس/EDR برای شناسایی بدافزارهای احتمالی
• مستندسازی کامل حادثه

جریان حمله (Attack Flow)

در نمودار زیر (شکل ۱)، جریان کلی بهره‌برداری از این آسیب‌پذیری برای افزایش سطح دسترسی از کاربر معمولی به root نشان داده شده است. در این سناریو، مهاجم ابتدا دسترسی محلی (مثلاً از طریق SSH) دارد، سپس با اجرای یک اسکریپت 732 بایتی، 4 بایت در page-cache  فایل usr/bin/su را تغییر داده و هنگام اجرای مجدد آن، شل root دریافت می‌کند.

شکل 1: جریان اجرای آسیب پذیری

اثبات مفهوم (PoC) — کاملاً غیرمخرب

آزمایشگاه تخصصی Vulnerbyte، این آسیب‌پذیری را در محیط ایزوله و کنترل‌شده با استفاده از نسخه آسیب‌پذیر بررسی و اجرا کرده است

• یک سیستم لینوکسی با ماژول algif_aead
• اسکریپت پایتون اجرا می شود و یک شل root باز می کند
• این اثبات مفهوم صرفاً توصیفی و آموزشی بوده و شامل تغییرات مخرب نمی‌شود

شکل 2: اجرای POC

رفع مسئولیت

این گزارش صرفاً با هدف آموزش، تحلیل فنی و ارتقای امنیت سازمانی تهیه شده است. هرگونه استفاده مخرب یا خارج از چارچوب‌های قانونی از محتوای آن ممنوع است.

منابع

https://www.cve.org/CVERecord?id=CVE-2026-31431

https://nvd.nist.gov/vuln/detail/CVE-2026-31431

https://cwe.mitre.org/data/definitions/669.html

https://cwe.mitre.org/data/definitions/125.html

https://cwe.mitre.org/data/definitions/200.html

https://github.com/cleozi/Copy_Grail

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif-aead.conf
rmmod algif_aead 2>/dev/null || true

initcall_blacklist=algif_aead_init

{
  "names": ["socket"],
  "args": [{"index": 0, "value": 38, "op": "Equal"}]
}

# Check for algif_aead module load
dmesg | grep algif_aead
lsmod | grep algif_aead

# Check for AF_ALG sockets
lsof -n | grep AF_ALG
ss -A 'unix' | grep ALG

# Auditd rule for AF_ALG socket creation
auditctl -a always,exit -F arch=b64 -S socket -F a0=38 -k AF_ALG_socket

- rule: AF_ALG Socket Created by Unprivileged Process
  desc: Detect AF_ALG socket (protocol 38) creation
  condition: evt.type = socket and evt.args contains "AF_ALG"
  output: AF_ALG socket created by process (proc.name=%proc.name)
  priority: WARNING