Bugbunny-Research

يقوم خادم API بفك ضغط أرشيفات خطوط الأنابيب (pipeline) المرفوعة دون تقييد البيانات الموسعة بشكل كافٍ أثناء تحديد موقع ملف خط الأنابيب أو قراءته. يمكن أن يؤدي ذلك إلى استهلاك أرشيف ZIP صغير أو أرشيف tar مضغوط بواسطة gzip لذاكرة كبيرة بشكل غير متناسب، مما يؤدي إلى استنفاد موارد خادم API. في معالجة رفع خطوط الأنابيب وإصدارات خطوط الأنابيب متعددة الأجزاء (multipart)، تتم عملية فك الضغط قبل تفويض مساحة الاسم (namespace)، لذا لا يحتاج المتصل إلى قرار تفويض ناجح لإنشاء خط الأنابيب. وفي المقابل، تقوم معالجات استيراد URL بالتفويض قبل جلب وفك ضغط الأرشيف البعيد.

يفشل خادم API في تفويض المتصلين عند استرداد السجلات عبر نقطة النهاية 'GET /apis/v1alpha1/runs/{run id}/nodes/{node id}/log'. يمكن للمهاجم الذي لديه وصول إلى الواجهة الخلفية ويعرف `run id` للضحية و `node id` صالح قراءة السجلات المباشرة أو المؤرشفة باستخدام أذونات خادم API. بالنسبة للسجلات المباشرة، يتم قبول `node id` كاسم pod دون التحقق من ارتباطه بالتشغيل المطلوب، مما قد يسمح بقراءة سجلات الحاوية الرئيسية لـ pods غير ذات صلة داخل مساحة الاسم المختارة. يفتقر المعالج إلى المصادقة الداخلية، ويعتمد على بوابات خارجية أو سياسات الشبكة للتحكم في الوصول. قد يؤدي ذلك إلى كشف بيانات عمل حساسة أو بيانات اعتماد.

عندما لا يتم تعيين `Echo.IPExtractor` بشكل صريح، تقوم دالة `Context.RealIP()` بالرجوع إلى قراءة قيم `X-Forwarded-For` أو `X-Real-IP` التي يوفرها العميل دون التحقق من مصدر البروكسي. وبما أن برنامج `RateLimiter()` الوسيط الافتراضي يستخدم `Context.RealIP()` لتحديد هوية العميل، يمكن للمهاجم عن بُعد تدوير قيم عشوائية في هذه الرؤوس للحصول على حاويات تحديد معدل (rate-limit buckets) جديدة. يتيح ذلك للمهاجم تجاوز تقييد المعدل القائم على عنوان IP والمستخدم للحماية من حجم الطلبات وعناصر التحكم الأمنية مثل الحماية من هجمات القوة الغاشمة (brute-force) على نقاط نهاية تسجيل الدخول أو إعادة تعيين كلمة المرور. التفاصيل الفنية تشمل: - **نقاط نهاية API:** أي نقطة نهاية محمية بواسطة برنامج `RateLimiter()` الوسيط. - **المعلمات أو المتغيرات المصابة:** رؤوس HTTP من نوع `X-Forwarded-For` و `X-Real-IP`. - **أسماء الدوال:** `Context.RealIP()` و `RateLimiter()`.

في برمجية Proxy الوسيطة، قد يقوم الإطار بالحفاظ على ترويسة `X-Real-IP` التي يرسلها المهاجم وتمريرها إلى خدمة عليا (upstream) عندما لا يكون `Echo.IPExtractor` مهيأً. يحدث هذا لأن دالة `ProxyConfig.ToMiddleware()` تفشل في إعادة كتابة الترويسة إذا كانت موجودة بالفعل ولم يتم تحديد مستخرج (extractor). يمكن لعميل عن بُعد تزييف عنوان العميل الخاص به، مما قد يؤدي إلى تجاوز ضوابط الوصول القائمة على عنوان IP، أو تحديد معدل الطلبات، أو القيود الجغرافية، أو تسميم سجلات التدقيق التي تثق في الهوية المرسلة.

يسمح برنامج الوسيط `MethodOverride` بإعادة كتابة طلب POST إلى طريقة HTTP آمنة (مثل `GET` أو `HEAD` أو `OPTIONS` أو `TRACE`). عندما يتم تسجيل هذا الوسيط قبل وسيط `CSRF` في سلسلة ما بعد التوجيه، يتم تغيير طريقة الطلب قبل أن يقوم وسيط `CSRF` بتقييمها. وبناءً على ذلك، يتخطى وسيط `CSRF` التحقق من الرمز وفحوصات `Sec-Fetch-Site` لما يعتبره طريقة آمنة، بينما يظل معالج POST الأصلي المسؤول عن تغيير الحالة قيد التنفيذ. يسمح هذا بخداع ضحية مصادق عليها لتنفيذ عمليات تغيير الحالة عبر طلب عابر للمواقع (cross-site). ينبع هذا الخلل من دالة `MethodOverrideConfig.ToMiddleware()` في ملف `middleware/method override.go` لافتقارها إلى قائمة بيضاء لطرق الهدف، ودالة `CSRFConfig.ToMiddleware()` في ملف `middleware/csrf.go` لاعتمادها على الطريقة المعاد كتابتها.

تقوم الدالة `Context.Scheme` بالثقة غير المشروطة في رؤوس المخطط (scheme headers) المرسلة من أي عميل. يسمح هذا للعميل الذي يتصل عبر بروتوكول HTTP العادي بادعاء استخدام مخطط HTTPS، مما يؤدي إلى تجاوز آلية HTTPSRedirect لأن الطلب يُعامل على أنه آمن بالفعل. بالإضافة إلى ذلك، عند استخدامه خلف وكيل إنهاء TLS يقوم بتمرير رؤوس يتحكم فيها المهاجم، يمكن لمخطط HTTP المدعى أن يعطل رأس Strict-Transport-Security حتى لو استلم المتصفح الاستجابة عبر HTTPS. يحدث هذا لأن الإطار البرمجي كان يفتقر إلى تكوين المصدر الموثوق لاتخاذ هذا القرار.

يحدث حقن القوالب من جانب الخادم لأن حقول الرسائل التي يتحكم فيها المستخدم لا يتم التحقق من صحتها قبل عرض القالب، مما يسمح بتشغيل التعبيرات في سياق غير مقيد. يمكن للمهاجمين المصرح لهم والذين يمتلكون دورًا تشغيليًا شائعًا حقن تعبيرات القوالب لقراءة وكتابة بيانات عشوائية في قاعدة البيانات، وحذف المستندات، وإرسال طلبات خارجية من الخادم، وإرسال بريد إلكتروني من الموقع.

يؤدي غياب التحقق من صحة المدخلات في بعض نقاط النهاية إلى إمكانية قيام المهاجمين المصرح لهم بصلاحيات منخفضة بتنفيذ حقن SQL، وهي تقنية تُستخدم للتلاعب باستعلامات قاعدة البيانات. ومن خلال إرسال طلبات مصممة خصيصاً، يمكن للمهاجم استخراج معلومات حساسة من قاعدة البيانات.

A time-of-check time-of-use (TOCTOU) issue exists in the `ImageConfig` component within the `Get()` function of the `pkg/xpkg/client.go` file. This occurs when package signature verification is enabled and packages are installed using tag references instead of digests from registries not controlled by the user. A malicious OCI registry could provide a correctly signed image during the verification step and subsequently serve an unsigned or malicious image during the installation step because the tag reference is resolved separately for each action. This allows for the remote installation of unverified package content.

يمكن للمستخدمين المصادق عليهم تنفيذ هجوم تزوير الطلبات من جانب الخادم (SSRF) عن طريق إرسال عناوين URL مُعدَّلة خصيصًا. تحدث هذه المشكلة داخل الدالة `fetch url()` في فئة `ScenarioImport`، مما يسمح للمهاجمين بإجراء طلبات HTTP تعسفية. ويمكن استغلال ذلك لاستكشاف خدمات الشبكة الداخلية، وتعداد المنافذ من خلال توقيعات الأخطاء، والوصول إلى نقاط نهاية البيانات الوصفية السحابية لاسترداد بيانات الاعتماد الحساسة.

Pomerium is an identity and context-aware access proxy. In hosted or stateless authentication deployments, the `/.pomerium/callback` endpoint is reachable without credentials and processes HPKE-encrypted payloads before the sender's identity is validated. The `decodeQueryStringV2` function in `pkg/hpke/url.go` performs zstd decompression of attacker-controlled data without an output-memory limit. An unauthenticated attacker can obtain the receiver public key from `/.well-known/pomerium/hpke-public-key`, provide a matching sender key, and send a compressed payload (a decompression bomb) to the `/.pomerium/callback` endpoint. This can result in the allocation of hundreds of megabytes of memory per request, leading to memory exhaustion, process crashes, or performance degradation, effectively blocking access to protected applications. This issue does not affect stateful deployments as they verify an HMAC signature before decryption and decompression.

يمكن للمستخدم المصادق عليه نسخ الموارد إلى وجهات مملوكة لفرق أخرى والوصول إلى موارد مشتركة بين المستأجرين. يحدث هذا لأن إجراء Livewire `cloneTo()` في ملف ResourceOperations.php يصرح بالمورد المصدر، لكنه يحدد موارد الوجهة باستخدام عمليات بحث Eloquent غير محددة النطاق، وهي استعلامات قاعدة بيانات لا تطبق قيود الملكية أو المستأجر الضرورية.

توجد مشكلة تتمثل في أن الدالة المساعدة `executeInDocker()` تقوم بتغليف الأوامر في `bash -c ’{$command}‘` دون إخراجه من علامات الاقتباس المفردة. وهذا يسمح بإدراج الحقول التي يتحكم فيها المستخدم `docker compose custom build command` و`docker compose custom start command` مباشرةً، مما يمكّن المهاجم من استخدام علامة الاقتباس المفردة للخروج من وسيطة bash وتنفيذ أوامر عشوائية على مضيف الخادم المُدار، متجاوزًا عزل حاوية Docker المقصود.

يستمر وجود رمز التحديث المسروق بعد إتمام عملية «نسيان كلمة المرور»، مما يسمح باستخدامه لتوليد رموز JSON Web Tokens (JWT) جديدة حتى بعد قيام المستخدم بإعادة تعيين كلمة مروره. في حين أن الدالتين `passwordChange()` و`passwordReset()` تحذفان رموز التحديث الخاصة بالمستخدم، فإن الدالة `passwordForgot()` تقوم فقط بتدوير المتغير `token version` وإلغاء رموز OAuth، دون استدعاء `UserRefreshToken.deleteAllUserToken(user.id)`. ونتيجة لذلك، يمكن للمهاجم الذي حصل على ملف تعريف ارتباط التحديث استبداله برمز وصول جديد بعد أن يكمل الضحية عملية الاسترداد، مما يؤدي إلى استمرار الوصول غير المصرح به.

عندما يتم تعيين قيمة `NC SECURE ATTACHMENTS` إلى `true`، يمكن للمُحمِّل المصادق عليه تحميل مرفقات بتنسيقات `.html` أو `.svg`، والتي يعرضها المتصفح مباشرةً من مصدر NocoDB بدلاً من فرض تنزيلها. يحدث هذا لأن معالج المرفقات الموقّع يخزّن تجاوزات رؤوس الاستجابة باستخدام مفاتيح PascalCase (`ResponseContentDisposition`، `ResponseContentType`)، في حين أن وحدة التحكم التي تقدم الملف تتوقع أسماءً مكتوبة بأحرف صغيرة وواصلة (`response-content-disposition`). يؤدي هذا التباين إلى حذف رأس `Content-Disposition: attachment`، مما يسمح لـ Express بعرض هذه الملفات تلقائيًا بشكل مضمن. ويؤدي ذلك إلى حدوث ثغرة «البرمجة النصية عبر المواقع المخزنة» (Stored Cross-Site Scripting - XSS)، حيث يمكن لبرنامج نصي يتم تنفيذه في متصفح الضحية قراءة JWT الخاص بالمصادقة من `localStorage`.

لا يتم إلغاء رموز الوصول والتحديث الخاصة بـ OAuth عندما يقوم المستخدم بتغيير كلمة المرور أو إعادة تعيينها أو استعادتها. يحدث هذا لأن الدالة `revokeAllOAuthTokensByUser()` في خدمة المستخدمين كانت عبارة عن دالة فارغة يتم استدعاؤها بواسطة `passwordChange()` و`passwordForgot()` و`passwordReset()`. ونتيجة لذلك، تظل منحة OAuth الصادرة عن المهاجم سارية حتى بعد قيام المستخدم بتنفيذ هذه الإجراءات الأمنية لمنع الأطراف غير المصرح لها من الوصول، مما يسمح بالوصول غير المصرح به بشكل مستمر.

يمكن للمستخدم المصادق عليه الذي يتمتع بحق الوصول من فئة «Reader» استرداد المورد `ImportedClusterSecrets` أثناء عملية استيراد مجموعات Talos المستقلة. يحتوي هذا المورد على حزمة أسرار CA الكاملة، بما في ذلك Kubernetes CA وetcd CA ومفاتيح حسابات الخدمة. يمكن للمهاجم الذي يمتلك هذه المفاتيح الخاصة التوقيع على شهادات لأي مستخدم أو مجموعة في Kubernetes، مثل `system:masters`، مما يمنحه حق الوصول الكامل كمسؤول عن المجموعة إلى واجهات برمجة تطبيقات Kubernetes وTalos وetcd الخاصة بالمجموعة المستوردة بشكل مستقل عن مستوى التحكم في Omni. وهذا يتيح التحكم الكامل في أحمال عمل Kubernetes وبيانات الاعتماد والأسرار داخل المجموعة المستوردة المتأثرة.

توجد حالة تنافس TOCTOU (من وقت الفحص إلى وقت الاستخدام) في الدالة `SAML.getSession` الموجودة في الملف `internal/pkg/auth/interceptor/saml.go`. يقوم النظام بالتحقق من علامة `Used` الخاصة بمورد `SAMLAssertion`، ثم يقوم بعد ذلك بوضع علامة عليها على أنها مستخدمة في عمليتين منفصلتين. ونظرًا لأن هذه الإجراءات ليست مترابطة، فقد تنجح الطلبات المتزامنة التي تستخدم رمز `saml-session` نفسه في اجتياز عملية التحقق من الصحة. وهذا يسمح للمهاجم الذي اعترض رمز `saml-session` صالحًا بالمصادقة بصفته مالك الرمز عدة مرات، متجاوزًا ضمان الاستخدام لمرة واحدة. قد يؤدي ذلك إلى إعادة تشغيل الجلسة، وتأكيد عدة مفاتيح عامة يسيطر عليها المهاجم عبر دالة `ConfirmPublicKey` لإنشاء وصول دائم، والوصول غير المصرح به إلى نقاط نهاية gRPC التي يتحكم فيها مانع SAML.

توجد مشكلة تتمثل في أن مسار التحميل عبر عنوان URL (upload-by-URL) لا يفرض الحد الأقصى `NC ATTACHMENT FIELD SIZE` على قيمة `Content-Length` المعلنة للملف البعيد أو على الطول الذي تم فك تشفيره لعنوان URI الذي يبدأ بـ `data:`. وهذا يسمح للمستخدمين المصادق عليهم الذين يمتلكون أذونات التحميل بتجاوز حدود الحجم المحددة لكل ملف، مما قد يؤدي إلى تجاوز سعة التخزين وحدود النطاق الترددي.

تستمر رموز API المحذوفة في المصادقة على الطلبات حتى انتهاء صلاحية إدخالها في ذاكرة التخزين المؤقت، وذلك لأن ذاكرة التخزين المؤقت للمصادقة لا يتم إبطال صلاحيتها بواسطة قيمة الرمز أثناء الحذف. تقوم عملية الحذف بإزالة الصف من قاعدة البيانات، لكنها تفشل في إزالة الإدخال المرتبط بقيمة الرمز من ذاكرة التخزين المؤقت. ونتيجة لذلك، تقبل البرمجيات الوسيطة للمصادقة الرمز المحذوف حتى تنتهي صلاحية الإدخال في ذاكرة التخزين المؤقت، مما يخلق فترة زمنية تصل إلى ثلاثة أيام بين الحذف والإلغاء الفعلي. وهذا ينتهك الضمان الأمني الذي ينص على أن حذف الرمز يتم على الفور.