Christ Bouchuen

توجد مشكلة كتابة خارج نطاق الصلاحية في معالج G-code الخاص بـ M421 عندما يتم تجميع البرنامج مع تمكين `MESH BED LEVELING`. يمكن للمهاجم إتلاف ذاكرة البرنامج الثابت عن طريق توفير مؤشرات شبكة X و Y خارج النطاق من خلال أمر G-code مُعد خصيصًا يتم إرساله عبر منفذ USB التسلسلي أو واجهة الشبكة أو ملف gcode ضار. وهذا يسمح بكتابة قيمة عائمة 32 بت خارج حدود مصفوفة `z values`، مما قد يؤدي إلى إتلاف متغيرات البرنامج الثابت المجاورة، مما ينتج عنه إتلاف حالة البرنامج الثابت أو رفض الخدمة.

توجد ثغرة في البرمجة النصية عبر المواقع (XSS) المخزنة، حيث يمكن للمستخدمين المصادق عليهم الذين يحملون دور `STANDARD REGISTRY` إدخال نصوص برمجية ضارة. ويحدث ذلك عن طريق إرسال قيمة `companyName` مُعدَّلة عبر نقطة نهاية واجهة برمجة التطبيقات (API) الخاصة بتكوين العلامة التجارية. تنجم هذه الثغرة عن تعيين `innerHTML` غير مُعقّم في خدمة العلامة التجارية، مما يسمح بتنفيذ جافا سكريبت تعسفي في متصفح كل مستخدم مُصادق عليه عند كل عملية تحميل للصفحة.

تسمح ثغرة في معالج HTTP `/ log` للمهاجمين غير المصادق عليهم والمتصلين بشبكة مجاورة بتنفيذ تعليمات برمجية تعسفية على نظام المضيف. يقوم المعالج بمعالجة نصوص طلبات JSON عن طريق تمرير البيانات التي يقدمها المستخدم إلى الدالة `vm.runInNewContext()` مقترنةً بـ `eval()`. ونظرًا لأن الوحدة النمطية `vm` ليست آلية أمان، يمكن للمهاجمين الهروب من بيئة الحماية (sandbox) في Node.js من خلال الاستفادة من مرجع دالة في سياق المضيف عبر `util.format` للوصول إلى عملية المضيف عبر `this.constructor.constructor`. وهذا يسمح بتنفيذ كامل للكود عن بُعد على النظام الأساسي. تعتبر نقطة النهاية `/ log` معرضة للخطر بشكل خاص لأنها لا تتطلب مصادقة UUID التي تستخدمها معالجات أخرى مثل ` progress` و` report`.

يوجد ثغرة في عملية تجاوز المصادقة في نقطة النهاية ’GET /api/v1/demo/registered-users‘. وهذا يسمح للمهاجمين غير المصادق عليهم باسترداد معلومات حساسة عن المستخدمين، بما في ذلك أسماء المستخدمين، وHedera DIDs، وDIDs للسجلات الأم، وأدوار النظام، وتعيينات أدوار السياسات لجميع المستخدمين المسجلين في النظام.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Hashgraph Guardian حتى الإصدار 3.5.0 الوصف يحتوي برنامج Hashgraph Guardian حتى الإصدار 3.5.0 على مشكلة تتعلق بتنفيذ جافا سكريبت خارج بيئة الحماية (unsandboxed) في عامل (worker) كتلة سياسة «المنطق المخصص» (Custom Logic). يمكن لمستخدمي «السجل القياسي» (Standard Registry) المصادق عليهم تنفيذ تعليمات برمجية تعسفية عن طريق تزويد تعبيرات جافا سكريبت مباشرةً إلى منشئ الدالة Function() في Node.js دون عزل. وهذا يسمح للمهاجمين باستيراد وحدات Node.js الأصلية لقراءة ملفات عشوائية من نظام ملفات الحاوية، والوصول إلى متغيرات بيئة العملية التي تحتوي على بيانات اعتماد حساسة مثل المفاتيح الخاصة RSA، ومفاتيح التوقيع JWT، ورموز API، وتزوير رموز مصادقة صالحة لأي مستخدم، بما في ذلك المسؤولون. التوصيات التحديث إلى إصدار أحدث من 3.5.0.

يحتوي BrowserStack Runner على مشكلة في اجتياز المسار في معالج HTTP ` default` داخل `lib/server.js`. وهذا يسمح للمهاجمين غير المصادق عليهم والمتصلين بالشبكة المجاورة بالوصول إلى خادم HTTP المرتبط بجميع الواجهات لاجتياز جذر المشروع وقراءة ملفات حساسة عشوائية. يحتوي Notepad++ على مشكلة حيث يسمح المثبت للمستخدمين غير المتمتعين بامتيازات بالحصول على امتيازات على مستوى النظام (SYSTEM) بسبب مسارات البحث غير الآمنة عن الملفات القابلة للتنفيذ. يمكن للمهاجم استخدام الهندسة الاجتماعية أو تقنية «الاختطاف بالنقر» (clickjacking) لخداع المستخدمين لحملهم على تنزيل كل من المثبت الشرعي والملف القابل للتنفيذ الخبيث في نفس الدليل، مما يؤدي إلى التنفيذ التلقائي للهجوم بامتيازات النظام (SYSTEM) عند تشغيل المثبت.