JoeCyberTech

تجاوز قائمة السماح في SSRF عبر IPv6 — كل فئات عناوين IPv6 — الاسترجاع المحلي، والعناوين الفريدة المحلية، وعناوين الوصلة المحلية، وIPv4 المُسقطة، وNAT64 — تجاوزت فحص is_url_safe() في مكتبة dssrf، ما أتاح تزوير الطلب من جانب الخادم. أُصلحت في dssrf 1.0.3.

تجاوز SSRF في dssrf 1.0.3 (إصلاح غير مكتمل) — لا يزال بالإمكان تجاوز أحدث إصدار (1.0.3) للوصول إلى كل نطاقات IPv4 الداخلية، وعناوين IPv6 للاسترجاع المحلي والفريدة المحلية والوصلة المحلية، ونقطة البيانات الوصفية للمثيلات في AWS ‏(169.254.169.254)، وأي مضيف داخلي عبر بادئة معلومات مستخدم (user@host). ولم يغطِّ إصلاحُ GHSA-8p33-q827-ghj5 هذا المتجهَ، فالإصدار 1.0.3 لا يزال بحاجة إلى تحديث.

ثغرة SSRF نحو المضيف المحلي عبر خادم DNS رقم 1.1.1.1 — حين يُضبط محلّل DNS على 1.1.1.1، تعامل dssrf روابط المضيف المحلي كآمنة لأن المحلّل يعيد لها NXDOMAIN، ما يتيح للمهاجم الوصول إلى الموارد المحلية. تؤثر في الإصدارات ≤ 1.0.4؛ وأُصلحت في 1.0.5.

جسر ADB مكشوف على الشبكة — يُشحن جهاز التلفزيون «TV98» بمعالج Allwinner H616 وجسر تصحيح أندرويد مفعّلًا ومكشوفًا على الشبكة في الإنتاج؛ ويستطيع المهاجم الذي يحصل على تفويض ADB نيل وصول بصلاحية الجذر. نُشرت من قبل CISA.

انهيار جلسة HTTP/2 (حجب الخدمة) — كان محوّل HTTP/2 في axios لبيئة Node.js ينشئ كائنات ClientHttp2Session دون معالج لحدث «error»، فيمكن لخادم خبيث أو غير متاح أو لا يدعم HTTP/2 أن يطلق استثناءً غير مُعالَج يُنهي عملية Node.js بالكامل بدلًا من رفض الطلب. تؤثر في axios ‏1.13.0 فما فوق مع httpVersion: 2. أُصلحت في 1.20.0.

تجاوز عبر قيمة سمة XML — لم تكن مجموعة القواعد الأساسية تفحص قيم سمات XML، فتفلت الحمولات الموضوعة داخل السمات (مثل رابط javascript:) من الكشف. أثّرت في نحو 159 قاعدة عبر 9 عائلات قواعد وفي كل مستويات التشدد؛ وأصلحها مشرفو المجموعة.

تجاوز قائمة السماح لمجموعات المحارف عبر حالة الأحرف — كانت القاعدة 920480 تطابق المعامل charset بأحرف صغيرة فقط في ترويسة Content-Type، فكان CHARSET=utf-7 أو أي تهجئة مختلطة الحالة يتجاوز قائمة السماح لمجموعات المحارف كليًا في مستويي التشدد PL1 وPL2، ما يعيد فتح باب التملّص بترميزات UTF-7 وEBCDIC أمام القواعد الأخرى. تؤثر في كل إصدارات CRS v4؛ أُصلحت في 4.30.0 و4.25.2 (LTS).

تجاوز SSRF عبر النطاق ‎.localhost — تجاوزٌ للإصلاح السابق لثغرة SSRF ‏(GHSA-xw57-23p8-9wc5): أسماء المضيفين تحت النطاق المحجوز ‎.localhost (مثل a.localhost) تجاوزت حماية الطلبات الصادرة في specifyjs مع أنها تُحَلّ إلى عنوان الاسترجاع المحلي، ما سمح لعناوين URL يزوّدها المهاجم بالوصول إلى الخدمات الداخلية. تؤثر في ‎@asymmetric-effort/specifyjs ‏≤ 1.0.x.

تجاوز امتداد الملف بمسافة بيضاء — حشو اسم الملف بمسافة بيضاء (مثل «shell. php») يتجاوز قواعد رفع الامتدادات الخطيرة التي لا توحّد المسافات قبل فحص الامتداد. أُصلحت في الإصدارين 3.3.9 و4.25.0.

اجتياز المسار في الأرشيف (Zip Slip) — تتيح الدالة IArchive.WriteToDirectory() في SharpCompress ≤ 0.47.4 لأرشيف خبيث إنشاء مجلدات خارج جذر الاستخراج المقصود؛ وباقترانها بمدخلات الروابط الرمزية في ملفات TAR تتصاعد إلى كتابة ملفات اعتباطية بصلاحيات العملية. أُصلحت في 0.48.0.

حجب الخدمة عبر عملية Generate Lorem Ipsum — لم تكن عملية Generate Lorem Ipsum تتحقق من حدود المعامل Length، فكانت وصفة معدّة بعناية تستنزف الموارد — فتُسقط تبويب المتصفح، أو تُنهي العملية بأكملها حين يعمل CyberChef خادمًا خلفيًا على Node. تؤثر في CyberChef قبل 11.1.1 (حزمة npm وصورة Docker)؛ أُصلحت في 11.1.1.

install: كشف الملفات السرية وسباق الروابط الصلبة — كان مسار النسخ المعتمد على واصف الملف خلف الأمر install -D ينشئ ملف الوجهة بالصلاحيات 0666 ودون O_EXCL، فيصبح الملف المُثبَّت بالخيار ‎-m 600 مقروءًا لبقية المستخدمين المحليين أثناء النسخ، ويمكن لرابط صلب مزروع مسبقًا أن يحرف الكتابة ذات الصلاحيات العالية إلى ملف آخر. تؤثر في coreutils ‏≤ 0.11.0. أُصلحت في 0.12.0.

التباس محلّل ملفات تعريف الارتباط (تجاوز WAF) — كان محلّل ملفات تعريف الارتباط في Coraza يزيل المسافة وعلامة الجدولة فقط، فيبقى محرف التحكم المجاور لعلامة «=» (مثل a\v=\t') ضمن اسم الملف أو قيمته، بينما يزيله PHP وhttp.cookies في Python؛ فيرى جدار الحماية والخادم الخلفي ملفات تعريف ارتباط مختلفة، وتفوّت قواعد SecRule الخاصة بملف بعينه الحمولة. تؤثر في coraza/v3 قبل 3.8.1؛ أُصلحت في 3.8.1.

kill: الوسيط «‎-» يرسل إشارة إلى العملية — كان الأمر kill في uutils يعامل وسيطًا مثل ‎-62342 على أنه عملية يجب إرسال إشارة إليها بدلًا من رفضه كإشارة غير صالحة كما يفعل GNU kill، فيؤدي سطر أوامر مكتوب خطأً أو مُعدّ بعناية إلى إرسال إشارة إلى عملية غير مقصودة. وهي صيغة أخرى من مشكلة ‎-1 السابقة. تؤثر في coreutils قبل 0.10.0.