CVE-2026-61500: استعاد Anthropic Mythos مفتاح جلسة Rejetto HFS وحقق RCE
أساليب الهجوم وتقنياته2026-10-15, 14:02
استخدم الباحث في Horizon3 زاك هانلي نموذج الذكاء الاصطناعي Mythos من Anthropic لاكتشاف CVE-2026-61500 في Rejetto HTTP File Server (HFS) 3.x. تسمح الثغرة لمهاجم غير مصادق عليه بتزوير ملف تعريف جلسة مسؤول وتحقيق تنفيذ التعليمات البرمجية عن بُعد (RCE) دون معرفة كلمة مرور المسؤول.
عندما لا يتم تكوين
COOKIE_SIGN_KEYS بشكل صريح، ينشئ HFS مفتاح توقيع لملف تعريف الجلسة باستخدام randomId(30)، الذي يعتمد على Math.random(). في بيئة Node.js/V8 التي تم فحصها، يستخدم المولد xorshift128+، وهو مولد أرقام شبه عشوائية قابل للتنبؤ وغير مناسب للأسرار التشفيرية. توجد ثغرة ثانية في معالج المصادقة loginSrp1، الذي يخزن مخرجات Math.random() في ctx.session.loggingIn. ولأن ملف تعريف الجلسة يحتوي على بيانات موقعة ولكن غير مشفرة، يمكن لعميل غير مصادق عليه استرداد مخرجات PRNG المسربة.يبدأ الهجوم الموضح بتأكيد وجود حساب
admin المدمج باستخدام أوراكل تعداد المستخدمين، وهي مشكلة أخرى حددها Mythos. ثم يبدأ المهاجم 12 طلب تسجيل دخول غير مصادق عليه ويستخرج مخرجات Math.random() المسربة من ملفات تعريف الارتباط المُرجعة.
باستخدام محلل Z3 SMT، يعيد Mythos بناء الحالة الداخلية لـ xorshift128+ ويعكس انتقالات حالته لاسترداد مفتاح التوقيع الذي تم إنشاؤه عند بدء HFS. يمكن للمهاجم بعد ذلك تزوير ملف تعريف جلسة صالح يحتوي على username: "admin".
بمجرد المصادقة كمسؤول، يستغل المهاجم وظيفة server_code المدمجة في HFS، التي تسمح بتنفيذ JavaScript من جانب الخادم، لتشغيل تعليمات برمجية عشوائية على الخادم.تتطلب السلسلة الموضحة تثبيت HFS باستخدام مفتاح توقيع جلسة تم إنشاؤه تلقائيًا بدلاً من قيمة
COOKIE_SIGN_KEYS المكونة صراحة. يجب أن تكون نقطة نهاية المصادقة قابلة للوصول، ويجب أن يكون حساب المسؤول المستهدف موجودًا.
تؤثر الثغرة على Rejetto HFS 3.0.0 حتى 3.2.0 وتم إصلاحها في الإصدار 3.2.1.ما الدور الذي لعبه وكيل الذكاء الاصطناعي؟
ربط Mythos بشكل مستقل بين نقطتي ضعف: إنشاء مفتاح توقيع حساس باستخدام PRNG قابل للتنبؤ، والكشف عن مخرجات ذلك المولد عبر مسار رمز مصادقة منفصل.
طور النموذج قيود Z3، وأعاد بناء حالة المولد، واسترد مفتاح التوقيع، وأنتج استغلالًا عمليًا يوضح تزوير جلسة إدارية وتنفيذ أوامر.
وفقًا لـ Horizon3، لم يحتج الباحثون إلى تقديم مطالبات إضافية توجّه Mythos للعثور على تسرب PRNG أو التحقيق في طرق رياضية لاسترداد حالة المولد.
الثغرات
المورّدون
المنتجات
المزيد