Jakub Witczak

يفشل عميل TLS 1.2 (والإصدارات الأقدم) و DTLS في التحقق مما إذا كانت مجموعة التشفير التي اختارها الخادم في رسالة ServerHello قد عرضها العميل فعليًا في رسالة ClientHello. يقوم معالج `tls handshake:hello/5` بالتحقق من صحة إصدار البروتوكول و”حارس التخفيض“ (downgrade sentinel)، لكنه يمرر مجموعة التشفير التي اختارها الخادم إلى `ssl handshake:handle server hello extensions/9` دون إجراء فحص للعضوية. يمكن لمهاجم على المسار (on-path) فرض استخدام مجموعات تبادل المفاتيح المجهولة، مثل `TLS DH anon *` أو `TLS ECDH anon *`، والتي لا تتطلب شهادات خادم. يؤدي هذا إلى تجاوز إعدادات `verify peer` و`cacerts`، مما يسمح للمهاجم بإكمال عملية المصافحة دون التحقق من صحة الشهادة أو اسم المضيف، مما يجعل كل حركة مرور التطبيق اللاحقة قابلة للقراءة والتعديل.

يوجد تجاوز سعة المخزن المؤقت في برنامج تشغيل C الخاص بمسح megaco flex. يمكن لمهاجم بعيد غير مصدق عليه إتلاف ذاكرة برنامج التشغيل عن طريق إرسال رسالة H.248/Megaco مشفرة نصياً تحتوي على اسم خاصية parm كبير الحجم. أثناء تحويل واصف محلي/بعيد إلى رموز، تقوم الدالة `mfs load property groups()` باستخراج اسم الخاصية وتنسيقه في حقل `error msg` ثابت بحجم 512 بايت ضمن البنية `MfsErlDrvData` باستخدام استدعاء `sprintf` غير خاضع للتدقيق. تتجاوز الأسماء التي يتجاوز حجمها حوالي 452 بايت سعة الحقول المجاورة في البنية، بما في ذلك `text buf` و`text ptr` و`term spec` و`term spec size` و`term spec index`. وهذا يسمح للمهاجم بالكتابة فوق المؤشرات والعدادات، مما قد يؤدي إلى عمليات كتابة وتحرير عشوائية داخل عملية BEAM VM، وهو ما قد يؤدي بدوره إلى تنفيذ تعليمات برمجية عن بُعد. في الإصدارات المُجمَّعة باستخدام ` FORTIFY SOURCE`، يؤدي الفائض إلى إرسال إشارة SIGABRT، مما يتسبب في حدوث رفض الخدمة. تحدث المشكلة قبل معالجة المصادقة وتتطلب تكوين العقدة باستخدام `{scanner, flex}`.

يسمح تخصيص الموارد دون حدود في عملية التحقق من مسار الشهادة في وحدة public key لمهاجم بعيد غير مصدق عليه بالتسبب في رفض الخدمة. من خلال إرسال سلسلة شهادات X.509 مصممة خصيصًا أثناء مصافحة TLS، يمكن للمهاجم أن يؤدي إلى نمو غير محدود لشجرة سياسة الشهادات أثناء معالجة سياسة RFC 5280 في الدالة `pkix path validation/3`. يحدث هذا لأن الدالتين `pubkey policy tree:add leaves/2` و`pubkey policy tree:add leaf siblings/2` توسعان الشجرة لكل سياسة لكل شهادة، مما يؤدي إلى نمو أسي. وقد يؤدي ذلك إلى تثبيت مجدولات BEAM واستنفاد ذاكرة العقدة، مما ينتج عنه تعطل كامل للآلة الافتراضية. تؤثر هذه المشكلة على أي اتصال TLS وارد أو صادر يقوم بالتحقق من صحة سلسلة النظير، مثل عملاء SSL/TLS وخوادم TLS المتبادل.

يفشل تطبيق ssl في اكتشاف الدورات عند إعادة بناء سلسلة شهادات نظيرة غير مكتملة أثناء عملية المصافحة (handshake) لـ TLS أو DTLS. وعلى وجه التحديد، تقوم الدالة `handle incomplete chain/5` بتمرير السلسلة إلى `build certificate chain/5`، التي تستخدم بدورها `do certificate chain/7` لتتبع علاقات الجهات المصدرة دون حد للعمق أو اكتشاف للدورات. إذا قدم أحد الأقران شهادتين متبادلتي التوقيع بشكل غير مرتب، فإن النظام يدخل في تكرار لا نهائي، مما يتسبب في نمو مكدس الاستدعاءات ومجمع السلسلة بلا حدود. يمكن لمهاجم بعيد غير مصدق عليه استغلال هذه الثغرة عن طريق إرسال سلسلة شهادات مصممة خصيصًا في رسالة مصافحة لاستنفاد الذاكرة وإحداث تعطل في عقدة BEAM. يؤثر هذا على كل من الخوادم والعملاء ولا يتطلب سوى اتصال TCP ومصافحة جزئية.

يفشل تطبيق ssl في التحقق من أن قائمة هويات PSK وقائمة المربط في ملحق المفتاح المشترك مسبقًا لـ TLS 1.3 ClientHello لهما نفس الطول. في الدالة `handle pre shared key/3`، يتم تمرير سجل `OfferedPreSharedKeys` ذي أطوال غير متطابقة إلى `use/4`، مما يتسبب في تعطل عملية معالج تذكرة الجلسة. يمكن لمهاجم بعيد غير مصدق إرساله رسالة ClientHello مُصممة خصيصًا إلى خادم TLS 1.3 الذي تم تمكين تذاكر الجلسة عليه لتعطيل معالجة تذاكر الجلسة. وعلى الرغم من أن عمليات المصافحة الجديدة لـ TLS 1.3 قد تكتمل، إلا أنها تتعطل عندما يحاول الخادم إصدار تذكرة جلسة، مما يجعل TLS 1.3 غير قابل للاستخدام على المستمع حتى يتم إعادة تشغيل التطبيق. لا تتأثر اتصالات TLS 1.2 بهذه المشكلة.

يؤدي التطبيق غير السليم لسلامة الرسائل أثناء الإرسال في الوحدة النمطية `tls gen connection` إلى تمكين مهاجم موجود على الشبكة من إدخال نص عادي غير مصدق عليه، والذي يعامله تطبيق عميل TLS لاحقًا على أنه بيانات خادم مصدق عليها. تفشل الدالة `handle protocol record()` في رفض سجلات APPLICATION DATA التي تصل في حالات ما قبل المصافحة عندما تعمل نقطة النهاية كعميل. يمكن للمهاجم إرسال سجلات APPLICATION DATA بنص عادي أثناء عملية المصافحة، حيث يتم تخزينها مؤقتًا في المخزن المؤقت وتسليمها إلى التطبيق كبيانات مصادق عليها بعد المصافحة بمجرد اكتمال عملية المصافحة. ويؤدي ذلك إلى الحقن الأعمى لبايتات غير مصادق عليها. وتكون نافذة الحقن أوسع في إصدارات TLS السابقة لـ TLS 1.3 مقارنةً بـ TLS 1.3.

توجد حلقة تكرارية لا نهائية في وحدة `ssh sftpd` التابعة لـ Erlang OTP. يمكن لمستخدم SFTP تمت مصادقته أن يتسبب في جعل قناة SFTP غير مستجيبة بشكل دائم عن طريق إرسال `SSH MSG CHANNEL EXTENDED DATA` برمز نوع غير صفر، ومخزن مؤقت فارغ، وحمولة ضمن حدود حجم حزمة SFTP. يؤدي ذلك إلى تشغيل حلقة تكرارية ذيلية في الدالة `handle data()`، مما يتسبب في توقف العملية عن معالجة الرسائل ويؤدي إلى نمو غير محدود لذاكرة قائمة انتظار الرسائل واستهلاك مرتفع لموارد وحدة المعالجة المركزية (CPU). ويكون التأثير هو حدوث رفض الخدمة على قنوات SFTP المستهدفة. ويمكن أن يتفاقم هذا التأثير إذا تم تعيين الإعداد `max channels` على اللانهاية، مما يسمح لمستخدم واحد بفتح عدد غير محدود من القنوات.

يسمح تباين ملحوظ في الاستجابة في الوحدة النمطية `ssh sftpd` لمستخدم SFTP تمت مصادقته بتعداد الملفات والدلائل خارج الدليل الجذر المُعد. يقوم معالج `SSH FXP REALPATH` باستدعاء `relate file name/3` مع `Canonicalize=false`، مما يسمح لمكونات اجتياز المسار بتجاوز فحص `is within root/2`. ثم يدخل المسار إلى `resolve symlinks/2`، التي تنفذ استدعاءات نظام `read link()` على مسارات عشوائية في نظام الملفات. يمكن للمهاجم استخدام مسار عبور مُصمم خصيصًا في طلب REALPATH لإنشاء «أوراكل» لوجود المسار، حيث يُرجع الخادم `SSH FXP NAME` إذا كان المسار موجودًا و`SSH FX NO SUCH FILE` إذا لم يكن موجودًا. ترتبط هذه المشكلة بالملف `lib/ssh/src/ssh sftpd.erl` والدالة `ssh sftpd:handle op/4`. لا يؤدي هذا الخلل إلا إلى الكشف عن وجود المسارات ولا يتيح الوصول إلى محتويات الملفات أو بيانات الاعتماد.

تسمح مشكلة في الوحدة النمطية `inet tls dist` بالتحايل غير المصادق عليه على قائمة السماح بشبكة LAN لتوزيع Erlang عبر TLS. تستدعي الدالة `check ip()` بشكل خاطئ الدالة `sockname()` بدلاً من `peername()` لاسترداد عنوان IP للنظير. ونظرًا لأن الدالة `sockname()` تُرجع عنوان المقبس المحلي، فإن مقارنة قناع الشبكة الفرعية تنجح دائمًا بغض النظر عن العنوان البعيد الفعلي. ونتيجة لذلك، يمكن لأي حامل لشهادة TLS موقعة من جهة إصدار شهادات (CA) تجاوز قيود الشبكة المحلية (LAN) والحصول على وصول كامل إلى التوزيع على العقدة، بما في ذلك القدرة على استخدام الدالتين `rpc:call()` و`code:load binary()`.

تسمح مشكلة في وحدة `ssh sftpd` باكتشاف الملفات من خلال الكشف عن معلومات حساسة. يقوم معالج `SSH FXP READLINK` بإرسال النتيجة الأولية لدالة `file:read link/2` إلى العميل دون استخدام `chroot filename/2` لإزالة بادئة الجذر الخلفية. ونتيجة لذلك، يمكن لعميل SFTP مصادق عليه إنشاء رابط رمزي داخل بيئة chroot يشير إلى `/`، وعند قراءته مرة أخرى عبر `SSH FXP READLINK` يتم إرجاع المسار المطلق لجذر الخلفية (على سبيل المثال، `/data/sftp`) بدلاً من القيمة `/` الخاصة ببيئة chroot. يؤدي هذا إلى الكشف عن المسار المطلق لنظام الملفات الخاص بدليل الجذر لـ SFTP وأي أهداف للروابط الرمزية بداخله، على الرغم من أن محتويات الملفات وبيانات الاعتماد والمسارات خارج دليل الجذر تظل غير قابلة للوصول. ترتبط هذه المشكلة بالملف `lib/ssh/src/ssh sftpd.erl` وتتطلب تمكين النظام الفرعي لـ SFTP مع تكوين الخيار `root` في استدعاء `ssh sftpd:subsystem spec/1`.

تسمح ثغرة القناة الجانبية للتوقيت في مصادقة كلمة المرور للمهاجمين عن بُعد غير المصادق عليهم بتعداد أسماء المستخدمين. عندما يتم تكوين برنامج SSH الخفي باستخدام خيار `user passwords` أو `password`، تقوم الدالة `check password/3()` في الوحدة النمطية `ssh auth` بإجراء حساب PBKDF2-SHA256 لأسماء المستخدمين الصالحة، ويستغرق ذلك حوالي 300 مللي ثانية. وعلى العكس من ذلك، بالنسبة لأسماء المستخدمين غير الصالحة، تعود الدالة `get password option/2()` في الوحدة النمطية `ssh options` فورًا. ويسمح هذا التباين للمهاجم بالتمييز بين أسماء المستخدمين الصالحة وغير الصالحة في محاولة واحدة.

يؤدي التحقق غير السليم من صحة الشهادات في وحدتي `pubkey cert` و`public key` إلى تجاوز قيود اسم DNS (nameConstraints) أثناء التحقق من اسم مضيف TLS. يحدث هذا لأن `pubkey cert:validate names/6` تتحقق فقط من إدخالات DNS الخاصة بالاسم البديل للموضوع (SAN) مقابل قيود الاسم (nameConstraints)، مما يعني أن الشهادات التي لا تحتوي على SAN تستوفي بسهولة قيود DNS المسموح بها. وفي الوقت نفسه، تلجأ `public key:pkix verify hostname/3` إلى الاسم الشائع (CommonName) للموضوع في حالة عدم وجود SAN، وتقوم بمطابقته مع اسم المضيف المرجعي. يسمح هذا المزيج لسلطة التصديق التابعة (CA) ذات قيود اسم DNS المقيدة بإصدار شهادة نهائية يقبلها عميل OTP TLS لاسم مضيف خارج النطاق. يمكن الوصول إلى هذا التجاوز عبر `ssl:connect` باستخدام `verify peer`، وسلطة تصديق موثوقة، وSNI، ومطابق اسم مضيف https الصارم.

يؤدي عدم اتباع سلسلة الثقة الخاصة بالشهادة بشكل صحيح في الوحدة النمطية `pubkey cert` إلى السماح بقبول شهادة غير صادرة عن هيئة إصدار شهادات (CA) كجهة إصدار وسيطة، مما يتيح تزوير سلسلة الشهادات. تحتوي الدالة `pubkey cert:validate extensions/7` على ثغرات تسمح باستخدام شهادة تم تعيين `basicConstraints` فيها إلى `cA:false` ولا تحتوي على امتداد `keyUsage` كجهة إصدار وسيطة في سلسلة يتم تمريرها إلى `public key:pkix path validation/3`. ويحدث ذلك لأن بند `cA:false` لا يرفض الشهادة عندما تكون في موضع المُصدر، ويتم تجاوز فحص `keyUsage` في حالة غياب الامتداد تمامًا. ونتيجة لذلك، يمكن للمهاجم الذي يمتلك شهادة كيان نهائي صادرة عن جهة إصدار شهادات موثوقة (CA) التوقيع على شهادات طرفية مزورة لهويات عشوائية. يؤثر هذا على جميع نقاط النهاية TLS أو mTLS المبنية على تطبيق OTP ssl باستخدام أداة التحقق الافتراضية، بما في ذلك التحقق من هوية الخادم من جانب العميل والتحقق من شهادة العميل على خادم mTLS.

يؤدي التحقق غير السليم من صحة الشهادات في وحدة `pubkey ocsp` التابعة لـ Erlang OTP `public key` إلى قبول استجابات مزورة لبروتوكول حالة الشهادات عبر الإنترنت (OCSP) موقعة بشهادة مستجيب منتهية الصلاحية على أنها صالحة. تفشل الدالتان `verify response/5` و`is authorized responder/3` في التحقق من فترة الصلاحية (`notBefore`/`notAfter`) لشهادة مستجيب OCSP. يمكن للمهاجم الذي يمتلك المفتاح الخاص لشهادة مستجيب OCSP معينة من قبل هيئة إصدار الشهادات (CA) منتهية الصلاحية تزوير استجابات يقبلها النظام. يؤثر هذا على عملاء TLS الذين يستخدمون ربط OCSP عبر تطبيق `ssl`، مما قد يسمح لخادم تم اختراقه بتقديم شهادة TLS ملغاة على أنها صالحة. كما يؤثر أيضًا على التطبيقات التي تستدعي وظيفة `pkix ocsp validate/5` مباشرةً، مما قد يؤدي إلى تجاوز المصادقة أثناء التحقق من صحة شهادة العميل من جانب الخادم.

تسمح مشكلة تجاوز المسار في وحدة ssh `ssh sftpd` التابعة لـ Erlang OTP لمستخدم SFTP تمت مصادقته بتعديل سمات الملفات خارج دليل chroot المُهيأ. يقوم برنامج SFTP الخفي بتخزين المسار الخام الذي يقدمه المستخدم في معالجات الملفات بدلاً من المسار الذي تم تحليله بواسطة chroot. عند إصدار الأمر `SSH FXP FSETSTAT` على أحد هذه المقابض، يتم تعديل سمات الملفات مثل الأذونات والملكية والطوابع الزمنية على المسار الفعلي لنظام الملفات، متجاوزًا حدود الدليل الجذر. يتطلب ذلك تكوين الخادم باستخدام خيار root ووجود الملف المستهدف على نظام الملفات الفعلي بنفس المسار النسبي. لا تسمح هذه الثغرة إلا بتعديل سمات الملفات؛ ولا يمكن قراءة محتويات الملفات أو تغييرها. إذا كان برنامج SSH الخفي يعمل بصفة الجذر، فيمكن للمهاجم تحقيق تصعيد الامتيازات عن طريق تعيين بت setuid على الملفات الثنائية، أو تغيير ملكية الملفات الحساسة، أو جعل إعدادات النظام قابلة للكتابة من قبل الجميع. ترتبط هذه المشكلة بالملف `lib/ssh/src/ssh sftpd.erl` والوظيفتين `ssh sftpd:do open/4` و`ssh sftpd:handle op/4`.

توجد مشكلة في public key (وحدة pubkey ocsp) في Erlang OTP تتعلق بالتحقق غير الصحيح من صحة الشهادات. وعلى وجه التحديد، لا تتحقق عملية التحقق من استجابة OCSP من التوقيع التشفيري لشهادات المستجيبين المعينين من قبل هيئة إصدار الشهادات (CA)، بل تعتمد فقط على مطابقة اسم المُصدر واستخدام المفتاح الموسع OCSPSigning. وهذا يسمح للمهاجم بتزوير استجابات OCSP، مما قد يؤدي إلى تصنيف الشهادات الملغاة على أنها صالحة. ويؤثر هذا على عملاء SSL/TLS الذين يستخدمون تقنية OCSP stapling والتطبيقات التي تستخدم واجهة برمجة التطبيقات (API) `public key:pkix ocsp validate/5` مباشرةً. يوجد الكود المعرض للخطر في الملفات lib/public key/src/pubkey ocsp.erl وفي روتينات البرنامج `pubkey ocsp:is authorized responder/3`.

توجد مشكلة في Erlang OTP ssh (وحدات ssh transport) تسمح بـ ”رفض الخدمة“ (Denial of Service) عبر استنفاد الموارد. تعلن طبقة نقل SSH، بشكل افتراضي، عن ضغط zlib القديم وتضخم الحمولات التي يتحكم فيها المهاجم دون حد للحجم قبل المصادقة. وهذا يتيح هجومًا موثوقًا باستنفاد الذاكرة. هناك خوارزميتان للضغط متأثرتان: zlib، التي يتم تفعيلها فورًا بعد تبادل المفاتيح، وzlib@openssh.com، التي يتم تفعيلها بعد المصادقة. يمكن لكل حزمة SSH فك ضغط ما يقارب 255 ميغابايت من 256 كيلوبايت من البيانات، مما ينتج عنه نسبة تضخيم تبلغ 1029:1. يمكن أن تؤدي الحزم المتعددة إلى استنفاد الذاكرة المتاحة بسرعة، مما قد يتسبب في إنهاء العمليات بسبب نفاد الذاكرة (OOM) في البيئات ذات الذاكرة المحدودة. ترتبط المشكلة بملف `ssh transport.erl` وروتينات `ssh transport:decompress/2` و`ssh transport:handle packet part/4`.

يوجد قيد غير صحيح لمسار الملف في دليل مقيد، وتحديدًا مشكلة ”عبور المسار“ (Path Traversal)، في وحدة Erlang OTP `ssh sftpd`. يستخدم خادم SFTP مطابقة بادئة السلسلة باستخدام الدالة `lists:prefix/2` بدلاً من التحقق الصحيح من مكونات المسار عند التأكد مما إذا كان المسار يقع ضمن الدليل الجذر المُهيأ. وهذا يسمح للمستخدمين المصادق عليهم بالوصول إلى الدلائل الشقيقة التي تشترك في بادئة اسم مشتركة مع الدليل الجذر المُهيأ. على سبيل المثال، إذا تم تعيين الدليل الجذر على `/home/user1`، فقد يتم اعتبار مسارات مثل `/home/user10` أو `/home/user1 backup` بشكل خاطئ على أنها تقع ضمن الدليل الجذر. ترتبط هذه المشكلة بملف البرنامج `lib/ssh/src/ssh sftpd.erl` والدالة `ssh sftpd:is within root/2`.

يحتوي البرنامج على ثغرة أمنية تتعلق بـ «تجاوز المسار النسبي» و«العزل أو التقسيم غير السليم». ترتبط هذه الثغرة بملفات البرنامج `lib/tftp/src/tftp file.erl` و`src/tftp file.erl`. تؤثر هذه الثغرة الأمنية على الوحدات النمطية `tftp file` في Erlang/OTP و inets و tftp.

توجد مشكلة تتعلق بتخصيص الموارد دون حدود أو تقييد في Erlang OTP ssh (وحدات ssh sftp)، مما قد يؤدي إلى تخصيص مفرط وتسرب الموارد. ترتبط هذه المشكلة بملف `ssh sftpd.erl`.