John Downey

يؤدي عدم كفاية التحقق من صحة البيانات إلى تمكين المهاجم المتواجد في الوسط من استبدال محتويات حزمة Hex مزورة أثناء حل التبعيات. في حين أن Gleam يجلب بيانات تعريف الحزمة من مستودع Hex تم التحقق من توقيعه، فإن الدالة `gleam cli::dependencies::lookup package` تُرسل طلبًا لاحقًا إلى واجهة برمجة تطبيقات Hex غير موقعة عبر `gleam core::hex::get package release`. يقوم النظام بتسجيل `outer checksum` وأسماء التبعيات من استجابة JSON غير الموقعة هذه في ملف `manifest.toml` بدلاً من استخدام البيانات الوصفية التي تم التحقق منها. يمكن للمهاجم القادر على اعتراض حركة مرور TLS باستخدام شهادة موثوقة وتعديل كل من استجابة واجهة برمجة التطبيقات (API) وملف tarball الخاص بالمستودع أن يقدم أرشيف حزمة مزورًا بمجموع اختباري مطابق. يؤدي هذا إلى فقدان السلامة حيث يقبل Gleam المحتويات المزورة ويستخرجها. تؤثر هذه المشكلة بشكل خاص على المشاريع التي تحل أو تُحدّث تبعيات Hex، مثل الحالات التي يكون فيها ملف البيان مفقودًا أو يتم تعديل التبعيات.

يؤدي عدم اتباع سلسلة الثقة الخاصة بالشهادة بشكل صحيح في الوحدة النمطية `pubkey cert` إلى السماح بقبول شهادة غير صادرة عن هيئة إصدار شهادات (CA) كجهة إصدار وسيطة، مما يتيح تزوير سلسلة الشهادات. تحتوي الدالة `pubkey cert:validate extensions/7` على ثغرات تسمح باستخدام شهادة تم تعيين `basicConstraints` فيها إلى `cA:false` ولا تحتوي على امتداد `keyUsage` كجهة إصدار وسيطة في سلسلة يتم تمريرها إلى `public key:pkix path validation/3`. ويحدث ذلك لأن بند `cA:false` لا يرفض الشهادة عندما تكون في موضع المُصدر، ويتم تجاوز فحص `keyUsage` في حالة غياب الامتداد تمامًا. ونتيجة لذلك، يمكن للمهاجم الذي يمتلك شهادة كيان نهائي صادرة عن جهة إصدار شهادات موثوقة (CA) التوقيع على شهادات طرفية مزورة لهويات عشوائية. يؤثر هذا على جميع نقاط النهاية TLS أو mTLS المبنية على تطبيق OTP ssl باستخدام أداة التحقق الافتراضية، بما في ذلك التحقق من هوية الخادم من جانب العميل والتحقق من شهادة العميل على خادم mTLS.

يؤدي التحقق غير السليم من صحة الشهادات في وحدتي `pubkey cert` و`public key` إلى تجاوز قيود اسم DNS (nameConstraints) أثناء التحقق من اسم مضيف TLS. يحدث هذا لأن `pubkey cert:validate names/6` تتحقق فقط من إدخالات DNS الخاصة بالاسم البديل للموضوع (SAN) مقابل قيود الاسم (nameConstraints)، مما يعني أن الشهادات التي لا تحتوي على SAN تستوفي بسهولة قيود DNS المسموح بها. وفي الوقت نفسه، تلجأ `public key:pkix verify hostname/3` إلى الاسم الشائع (CommonName) للموضوع في حالة عدم وجود SAN، وتقوم بمطابقته مع اسم المضيف المرجعي. يسمح هذا المزيج لسلطة التصديق التابعة (CA) ذات قيود اسم DNS المقيدة بإصدار شهادة نهائية يقبلها عميل OTP TLS لاسم مضيف خارج النطاق. يمكن الوصول إلى هذا التجاوز عبر `ssl:connect` باستخدام `verify peer`، وسلطة تصديق موثوقة، وSNI، ومطابق اسم مضيف https الصارم.

تسمح مشكلة تجاوز المسار في وحدة ssh `ssh sftpd` التابعة لـ Erlang OTP لمستخدم SFTP تمت مصادقته بتعديل سمات الملفات خارج دليل chroot المُهيأ. يقوم برنامج SFTP الخفي بتخزين المسار الخام الذي يقدمه المستخدم في معالجات الملفات بدلاً من المسار الذي تم تحليله بواسطة chroot. عند إصدار الأمر `SSH FXP FSETSTAT` على أحد هذه المقابض، يتم تعديل سمات الملفات مثل الأذونات والملكية والطوابع الزمنية على المسار الفعلي لنظام الملفات، متجاوزًا حدود الدليل الجذر. يتطلب ذلك تكوين الخادم باستخدام خيار root ووجود الملف المستهدف على نظام الملفات الفعلي بنفس المسار النسبي. لا تسمح هذه الثغرة إلا بتعديل سمات الملفات؛ ولا يمكن قراءة محتويات الملفات أو تغييرها. إذا كان برنامج SSH الخفي يعمل بصفة الجذر، فيمكن للمهاجم تحقيق تصعيد الامتيازات عن طريق تعيين بت setuid على الملفات الثنائية، أو تغيير ملكية الملفات الحساسة، أو جعل إعدادات النظام قابلة للكتابة من قبل الجميع. ترتبط هذه المشكلة بالملف `lib/ssh/src/ssh sftpd.erl` والوظيفتين `ssh sftpd:do open/4` و`ssh sftpd:handle op/4`.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Gleam من 1.9.0-rc1 حتى 1.15.3 و1.16.0-rc1 الوصف توجد مشكلة في التحقق من صحة المسارات في مُجمِّع Gleam عند معالجة تبعيات git أثناء عملية تنزيل التبعيات. تُستخدم أسماء التبعيات من ملفَي `gleam.toml` و`manifest.toml` لإنشاء مسارات نظام الملفات دون التحقق الكافي من صحتها، مما يسمح للمسارات التي يتحكم فيها المهاجم (باستخدام التجاوز النسبي مثل ’../‘ أو المسارات المطلقة) باستهداف مواقع خارج دليل التبعيات المقصود. وقد يؤدي ذلك إلى تعديل نظام الملفات بشكل تعسفي، بما في ذلك حذف الدلائل وإنشاؤها، عند حل تبعيات git باستخدام الأمر `gleam deps download`. يمكن لتبعية git ضارة أن تقوم بالكتابة فوق دلائل عشوائية، مما قد يتسبب في فقدان البيانات أو، في بعض البيئات، في تنفيذ التعليمات البرمجية عن طريق الكتابة فوق ملفات مثل git hooks أو ملفات تكوين shell. التوصيات تجنب استخدام تبعيات git غير موثوق بها، خاصةً دون تثبيت SHA لالتزام محدد. راجع أشجار التبعيات بعناية، بما في ذلك تبعيات git الانتقالية. قم بتشغيل أوامر حل التبعيات في بيئة مقيدة أو معزولة (على سبيل المثال، الحاويات).

يحتوي gleam-wisp wisp على ثغرة في تحليل نص النموذج متعدد الأجزاء (multipart) قد تؤدي إلى هجوم رفض الخدمة. لا تفرض الدالة `multipart body` الحدود المحددة لحجم نص النموذج وحجم الملفات. وعلى وجه التحديد، عندما يكون حد متعدد الأجزاء مفقودًا في جزء ما، يقوم المحلل بإلحاق هذا الجزء دون تحديث الحصة المخصصة، مما يؤدي إلى تمكين مهاجم غير مصدق من استنفاد موارد الخادم عن طريق إرسال نماذج متعددة الأجزاء كبيرة الحجم.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة gleam-wisp wisp الإصدارات من 2.1.1 إلى 2.2.0 الوصف توجد ثغرة أمنية تتعلق بتجاوز المسار في gleam-wisp wisp تتيح قراءة الملفات بشكل تعسفي من خلال تجاوز المسار المشفر بالنسب المئوية. تعتبر الدالة `wisp.serve static` عرضة للخطر لأن عملية التنقية تتم قبل فك الترميز المعبَّر عنه بالنسب المئوية. تتجاوز التسلسلات المشفرة `%2e%2e` عملية استبدال السلاسل، ثم يتم تحويلها إلى `..` بواسطة الدالة `uri.percent decode`، مما يسمح بتجاوز الدلائل عند قراءة الملف. يمكن لمهاجم غير مصدق قراءة أي ملف يمكن لعملية التطبيق الوصول إليه من خلال طلب HTTP واحد، بما في ذلك على الأرجح شفرة المصدر وملفات التكوين والبيانات السرية وملفات النظام. التوصيات قم بتحديث gleam-wisp wisp إلى الإصدار 2.2.1 أو أحدث.