Dario Weiss

يمكن لمرسل عن بعد غير مصرح له تنفيذ أوامر نظام التشغيل في سياق عامل معالجة البريد، والذي يعمل بصلاحيات root. يحدث هذا عندما يقوم النظام بتقييم نص استبدال يتأثر بالمهاجم ككود Perl في قواعد استبدال المرسل أو المستلم، بشرط أن تستخدم قاعدة نشطة بيانات استبدال مشتقة من الرسالة وتتطابق حالة البحث الخاصة بها.

توجد مشكلة حيث يثق النظام في مسار ملف يتم توفيره في بيانات وصف المرفقات الخاصة بنقل الملفات الكبيرة (LFT) المقدمة خارجيًا. يمكن لمرسل عن بُعد غير مصرح له استغلال ذلك للتسبب في قيام عامل معالجة البريد، الذي يعمل بصلاحيات root، بالكشف عن ملفات عادية يمكن الوصول إليها أو نقلها أو حذفها. يحدث هذا عندما تكون ميزة LFT مفعلة وتصل الرسالة إلى مسار معالجة البريد الآمن المتأثر.

SEPPmail Secure Email Gateway before 15.1.1 processes and writes v1 file-interface upload data before authenticating the caller and without an absolute request-size limit. An unauthenticated remote attacker can occupy workers and consume temporary storage with concurrent or slow requests, causing service unavailability.

تطبيق Webbox معرض لثغرة «البرمجة النصية عبر المواقع المخزنة» (XSS)، وهي ثغرة يتم فيها تخزين البرامج النصية الخبيثة بشكل دائم على الخادم المستهدف. يمكن للمهاجم استغلال هذه الثغرة عن طريق إرسال بريد إلكتروني يحتوي على كود JavaScript خبيث، يتم تنفيذه لاحقًا عندما يفتح المستخدم البريد الإلكتروني.

يتعامل تطبيق Webbox مع عمليات تغيير كلمة المرور عبر وظيفة يتم تشغيلها بإدراج السلسلة ”(editini)“ في مسار الملف لكتابة كلمة مرور جديدة في ملف ”Archive.ini“. ولا يقوم التطبيق بالتحقق مما إذا كان المسار المقدم يشير فعليًّا إلى ملف ”Archive.ini“. يمكن لمهاجم غير مصدق هويته أن يتسبب في حدوث تجاوز سعة المخزن المؤقت — وهي حالة يكتب فيها البرنامج بيانات إلى كتلة من الذاكرة تفوق سعتها — عن طريق تحديد ملف بحجم مفرط، مما يؤدي إلى تعطل الخادم وحجب الخدمة.

يحتوي تطبيق Webbox على ثغرة تتعلق بتجاوز سعة المخزن المؤقت في نقطة النهاية ”//serverClient close.html“. يمكن لمهاجم تمت مصادقته أن يتسبب في تعطل الخادم وحجب الخدمة عن طريق إرسال قيم طويلة بشكل مفرط في معلمات متعددة لبيانات النماذج. وإذا سمحت حالة المكدس بذلك أو تم الكشف عن «كاناري المكدس»، فقد يؤدي ذلك إلى تنفيذ تعليمات برمجية عن بُعد واختراق الخادم بالكامل. «كاناري المكدس» هو قيمة أمنية توضع في الذاكرة لاكتشاف حالات تجاوز سعة المخزن المؤقت قبل أن يتم استغلالها.

يحتوي تطبيق Webbox على وظيفة تسمح بإيقاف تشغيل الخادم عند الوصول إلى نقطة النهاية ’/internalRestart‘. ويمكن للمستخدمين غير المصادق عليهم الوصول إلى نقطة النهاية هذه عبر شبكة الإنترنت العامة. وبدلاً من إعادة التشغيل، يتم إيقاف تشغيل الخادم تمامًا، مما يسمح لمهاجم عن بُعد بإحداث هجوم مستمر لرفض الخدمة. ويتطلب التعافي من هذه الحالة تدخلًا يدويًّا من المسؤول لإعادة تشغيل الخدمة.

تطبيق Webbox معرض لخطر حقن رؤوس HTTP عبر معلمة URL `cType`. يفشل التطبيق في تقييد أحرف التحكم بشكل صحيح، مثل النقطتين أو أحرف نهاية السطر المشفرة في URL (`%0a`)، مما يسمح بتعديل رأس Content-Type في استجابات HTTP. يتيح هذا الخلل للمهاجمين حقن رؤوس إضافية، مثل رؤوس Location الزائدة، مما قد يؤدي إلى إعادة توجيه مفتوحة.

يحتوي Webbox الخاص ببرنامج TeamDavid من شركة Tobit Laboratories AG على ثغرة إعادة توجيه مفتوحة. يمكن للمهاجم إنشاء عنوان URL يعيد توجيه متصفح المستخدم إلى موقع طرف ثالث عشوائي عبر المعلمة `replyUrl`. ويمكن استغلال هذه الثغرة في هجمات التصيد الاحتيالي باستخدام رابط نطاق موثوق به لإعادة توجيه المستخدمين إلى موقع ويب ضار.

يحتوي تطبيق Webbox على ثغرة في البرمجة النصية عبر المواقع (XSS) المنعكسة. يمكن للمهاجم تنفيذ حمولة ضارة في متصفح الضحية عن طريق إرسال رابط مصمم خصيصًا لهذا الغرض. ويتم ذلك عن طريق تضمين مسار تعسفي، أو حمولة XSS، أو المعلمة `EntryInfo`، والمعلمة `!templateName=entryMail`.

تسمح وظيفة إرسال البريد الإلكتروني والفاكس والرسائل النصية القصيرة (SMS) بحذف الملفات بشكل تعسفي. يمكن للمهاجم حذف أي ملف على النظام عن طريق تحديد الأمر @@COMMENTFILE داخل حقل النموذج `scjob`.

يقوم مكون Webbox بإنشاء عناوين URL لإعادة التوجيه باستخدام المدخلات التي يقدمها المستخدم، والتي تُلحق بهدف إعادة التوجيه في استجابة HTTP 302. يمكن للمهاجم استخدام أحرف مشفرة في عناوين URL، مثل `%2e` (التي تمثل النقطة)، للتلاعب بجزء عنوان URL الذي يلي نطاق المستوى الأعلى (TLD). وهذا يسمح بإعادة توجيه المستخدمين إلى نطاق ضار في حالة وجود نطاق TLD مشابه قابل للتسجيل. بالإضافة إلى ذلك، فإن استخدام علامات التغذية السطرية المشفرة في عناوين URL يتيح إدراج رؤوس استجابة عشوائية في استجابة HTTP الخاصة بالخادم، وهي تقنية تُعرف باسم «حقن الرؤوس».

يحتوي Webbox الخاص ببرنامج TeamDavid من شركة Tobit Laboratories AG على ثغرة في وظيفة تخزين الروابط عند نقطة النهاية ’//ServerClient celink.htm‘. يفشل التطبيق في تنقية نص الطلب بشكل صحيح، والذي يتم إلحاقه لاحقًا بهدف إعادة التوجيه في استجابة HTTP 302. ومن خلال إدراج حرف تغذية السطر، يمكن للمهاجم التلاعب برؤوس الاستجابة، مما يؤدي إلى حقن رؤوس HTTP.

يحتوي برنامج Webbox التابع لـ TeamDavid من شركة Tobit Laboratories AG على ثغرة تتعلق بتضمين الملفات المحلية ضمن الوظيفة المستخدمة لإرسال رسائل البريد الإلكتروني والفاكسات والرسائل النصية القصيرة (SMS). يمكن للمستخدم المصادق عليه إرفاق ملفات برسالة ما باستخدام الأمر `@@attach` في حقل النموذج `scjob`. على الرغم من وجود مرشح لتقييد الوصول إلى مجلد المستخدم ومجلد تكوين David، إلا أنه يمكن تجاوزه باستخدام دفق بيانات بديل. وهذا يسمح بالتنزيل غير المصرح به للمعلومات الحساسة، بما في ذلك المفتاح الخاص للخادم والوصول إلى الملفات التي تحتوي على كلمات مرور المستخدمين الآخرين.

تفشل ميزة Webbox في برنامج TeamDavid التابع لشركة Tobit Laboratories AG في فرض إجراءات التحقق من المصادقة أو التفويض عند تقديم ملفات السجلات. وهذا يتيح للمهاجمين الوصول إلى معلومات الأخطاء الحساسة وتفاصيل التطبيق الداخلية، والتي يمكن استخدامها لتسهيل شن هجمات أخرى.

يحتوي برنامج Webbox التابع لـ TeamDavid من شركة Tobit Laboratories AG على ثغرة في وظيفة إنشاء الأرشيفات تسمح باجتياز المسار. ويحدث ذلك لأن مسار الأرشيف يخضع لسيطرة المستخدم ويفتقر إلى التحقق الكافي من صحته، مما يسمح للمهاجم بالتلاعب بالمدخلات لاجتياز الدلائل. ونتيجة لذلك، يمكن إنشاء مجلدات في مواقع عشوائية، بما في ذلك أدلة النظام الحساسة مثل `C:Windows` أو الأدلة الخاصة بمستخدمين آخرين.

يسمح تسرب في الذاكرة في مكون Webbox لجهات غير مصرح لها بقراءة معلومات حساسة، بما في ذلك كلمات مرور المستخدمين. ويحدث ذلك عندما يرد التطبيق بمحتويات الذاكرة عند الوصول إلى نقطة النهاية ”/.well-known/mta-sts.“. يمكن للمهاجم استرداد هذه البيانات عن طريق إرسال طلبات متكررة إلى نقطة النهاية دون الحاجة إلى المصادقة.

تسمح وظيفة البحث في مكون Webbox للمستخدمين غير المصادق عليهم بتقديم معلمة `pathnameroot` تحتوي على مسارات اتفاقية التسمية العالمية (UNC). ونظرًا لأن الخادم لا يتحقق من صحة هذه المسارات، فإنه يحاول إنشاء اتصالات صادرة إلى خوادم SMB عشوائية. قد يؤدي هذا السلوك إلى الكشف عن تجزئات مصادقة NTLM، والتي قد يستخدمها المهاجمون لسرقة بيانات الاعتماد أو شن هجمات ترحيل SMB إذا تم السماح بحركة المرور الصادرة على المنفذ 445.

تقبل وظيفة تخزين الروابط في نقطة النهاية ’//ServerClient celink.htm‘ معلمة `pathname` التي يمكن تعيينها لمواقع شبكية باستخدام مسارات UNC. يقوم الخادم بمعالجة هذه المسارات دون التحقق من صحتها، مما يؤدي إلى محاولات اتصال صادرة إلى خوادم SMB التي يسيطر عليها المهاجمون. وهذا يسمح للمهاجمين بتحفيز الخادم على المصادقة على نقاط نهاية SMB عشوائية، مما قد يؤدي إلى الكشف عن معلومات المصادقة NTLM، مثل تجزئات NTLM. إذا تم السماح بالاتصالات الصادرة إلى المنفذ 445 (SMB)، فيمكن استخدام ذلك في هجمات ترحيل SMB أو سرقة بيانات الاعتماد. يمكن استغلال هذه المشكلة دون الحاجة إلى المصادقة.

تقبل وظيفة الإرسال في Webbox للبريد الإلكتروني والفاكس والرسائل النصية القصيرة (SMS) الأمر @@INCLUDE الذي يمكن تهيئته باستخدام مواقع شبكية عبر مسارات UNC. يقوم الخادم بمعالجة هذه المسارات دون التحقق من صحتها، مما يؤدي إلى محاولات اتصال صادرة إلى خوادم SMB. وهذا يسمح للمهاجمين بتحفيز الخادم على المصادقة على نقاط نهاية SMB عشوائية، مما قد يؤدي إلى الكشف عن معلومات المصادقة NTLM، مثل تجزئات NTLM. إذا تم السماح بالاتصالات الصادرة إلى المنفذ 445 (SMB)، فيمكن استخدام ذلك في هجمات ترحيل SMB أو سرقة بيانات الاعتماد. يمكن الاستغلال عبر المعلمة `pathname` دون مصادقة.