بحران در قلب لینوکس؛ تحلیل دوگانه Dirty Frag و Copy Fail

واحد امنیت پرشیاریور – می ۲۰۲۶ (اردیبهشت ۱۴۰۵)

در هفته‌های اخیر، دنیای امنیت سایبری با یکی از چالش‌برانگیزترین دوران‌های خود روبرو شده است. کشف پیاپی دو آسیب‌پذیری بحرانی در هسته (Kernel) لینوکس، یعنی Dirty Frag و Copy Fail، نه تنها مدیران سیستم، بلکه زیرساخت‌های کلان ابری را در وضعیت هشدار قرار داده است.

تیم امنیتی پرشیاریور که پیش از این با تحلیل دقیق آسیب‌پذیری cPanel (CVE-2026-41940) در کنار شما بود، اکنون گزارش جامع خود را درباره این دو تهدید «ارتقای سطح دسترسی» (LPE) منتشر می‌کند.

۱. آسیب‌پذیری Dirty Frag: سوءاستفاده از حافظه شبکه

آسیب‌پذیری Dirty Frag (با شناسه‌های CVE-2026-43284 و CVE-2026-43500) یک نقص امنیتی در زیرسیستم‌های شبکه کرنل است. این حفره به نفوذگر اجازه می‌دهد با دستکاری نحوه مدیریت حافظه پنهان (Page Cache) در ماژول‌های IPsec (esp4/6) و فایل‌سیستم AFS، داده‌های مخرب خود را جایگزین داده‌های سالم در حافظه موقت سیستم کند.

اگرچه این باگ بسیار خطرناک است، اما اغلب برای اجرا نیاز به شرایط خاص محیطی و آفست‌های مشخص دارد. اما تهدید دوم، ورق را به طور کامل برگرداند.

۲. فاجعه Copy Fail: نفوذ ۱۰۰ درصدی (CVE-2026-31431)

آسیب‌پذیری Copy Fail که توسط تیم Xint Code کشف شده است، مرزهای نفوذ را جابجا کرد. برخلاف اکثر اکسپلویت‌های لینوکس که به «شانس» (Race Condition) یا آفست‌های اختصاصی هر توزیع نیاز دارند، Copy Fail یک نقص منطقی مستقیم (Straight-line Logic Flaw) است.

چرا Copy Fail تمام معادلات را تغییر داد؟

• پایداری ۱۰۰ درصدی: این اکسپلویت هیچ‌گاه شکست نمی‌خورد و باعث کرش کردن سرور نمی‌شود.

• میراث ۸ ساله: تمام توزیع‌های لینوکس منتشر شده از سال ۲۰۱۷ تاکنون در برابر آن بی‌دفاع هستند.

• فرار از کانتینر (Container Escape): این نقص به قدری بنیادی است که کدهای مخرب می‌توانند از محیط ایزوله کانتینر (مانند Docker) خارج شده و کنترل سرور میزبان را به دست بگیرند.

• سلاح ۷۳۲ بایتی: تمام عملیات نفوذ و گرفتن دسترسی Root تنها توسط یک اسکریپت پایتون ۷۳۲ بایتی انجام می‌شود؛ کدی که به راحتی از لایه‌های نظارتی عبور می‌کند.

زنجیره نفوذ فنی

این باگ در ماژول authencesn نهفته است. نفوذگر با زنجیر کردن رابط AF_ALG و فراخوان سیستمی splice()، یک اشتباه محاسباتی در هسته ایجاد می‌کند که منجر به یک نوشتن ۴ بایتی در Page Cache می‌شود. همین ۴ بایت کوچک کافیست تا نفوذگر به صورت کاملاً بی‌صدا، مجوزهای دسترسی خود را به سطح Root ارتقا دهد.

اقدامات حفاظتی در پرشیاریور

ما در پرشیاریور امنیت کاربران را یک فرآیند ایستا نمی‌بینیم. بلافاصله پس از تایید این دو تهدید، اقدامات زیر در تمامی سطوح زیرساختی ما انجام شد:

• کاربران هاست اشتراکی: تمام سرورهای میزبان هاست‌های پرشیاریور به صورت سراسری ایمن‌سازی شده‌اند. ماژول‌های آسیب‌پذیر مسدود گشته و پچ‌های لایو (بدون نیاز به ریبوت) بر روی کرنل‌ها اعمال شده است. کاربران هاست نیاز به هیچ اقدامی ندارند.

• ایمن‌سازی زیرساخت ابری: لایه‌های ایزوله‌سازی کانتینرها تقویت شده تا از هرگونه احتمال Container Escape جلوگیری شود.

راهنمای عملی برای مدیران سرور اختصاصی و VPS

اگر مدیریت سرور خود را بر عهده دارید، واحد امنیت پرشیاریور اکیداً توصیه می‌کند مراحل زیر را برای ایمن‌سازی موقت (تا زمان آپدیت کامل هسته) اجرا کنید:

۱. بررسی وضعیت ماژول‌ها

ابتدا بررسی کنید آیا ماژول‌های مستعد حمله در سیستم شما فعال هستند یا خیر:

lsmod | grep -E 'esp4|esp6|rxrpc|authencesn'

۲. مسدودسازی (Blacklist)

حتی اگر از این ماژول‌ها استفاده نمی‌کنید، برای جلوگیری از فراخوانی توسط اکسپلویت، آن‌ها را مسدود کنید:

echo -e "install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false" > /etc/modprobe.d/persiariver_security.conf

۳. پاکسازی حافظه پنهان

برای اطمینان از حذف هرگونه اثر احتمالی اکسپلویت در حافظه موقت:

echo 3 > /proc/sys/vm/drop_caches

سخن پایانی: ما بیداریم

آسیب‌پذیری‌هایی مانند Copy Fail به ما یادآوری می‌کنند که امنیت مطلق وجود ندارد، اما هشیاری مطلق ممکن است. تیم فنی و امنیتی پرشیاریور به صورت ۲۴ ساعته در حال رصد مخازن رسمی و فروم‌های امنیتی است تا پیش از آنکه تهدیدی به کسب‌وکار شما برسد، آن را خنثی کند.

آیا به کمک نیاز دارید؟ اگر در مورد امنیت سرور خود نگران هستید یا نیاز به راهنمایی بیشتری برای پچ کردن سیستم‌عامل خود دارید، همین حالا از طریق سیستم تیکتینگ پرشیاریور با کارشناسان ما در ارتباط باشید.

پرشیاریور؛ سدی نفوذناپذیر در برابر تهدیدات نوین