Michał Wąsowski

يسمح تخصيص الموارد دون حدود في عملية التحقق من مسار الشهادة في وحدة public key لمهاجم بعيد غير مصدق عليه بالتسبب في رفض الخدمة. من خلال إرسال سلسلة شهادات X.509 مصممة خصيصًا أثناء مصافحة TLS، يمكن للمهاجم أن يؤدي إلى نمو غير محدود لشجرة سياسة الشهادات أثناء معالجة سياسة RFC 5280 في الدالة `pkix path validation/3`. يحدث هذا لأن الدالتين `pubkey policy tree:add leaves/2` و`pubkey policy tree:add leaf siblings/2` توسعان الشجرة لكل سياسة لكل شهادة، مما يؤدي إلى نمو أسي. وقد يؤدي ذلك إلى تثبيت مجدولات BEAM واستنفاد ذاكرة العقدة، مما ينتج عنه تعطل كامل للآلة الافتراضية. تؤثر هذه المشكلة على أي اتصال TLS وارد أو صادر يقوم بالتحقق من صحة سلسلة النظير، مثل عملاء SSL/TLS وخوادم TLS المتبادل.

يسمح تباين ملحوظ في الاستجابة في الوحدة النمطية `ssh sftpd` لمستخدم SFTP تمت مصادقته بتعداد الملفات والدلائل خارج الدليل الجذر المُعد. يقوم معالج `SSH FXP REALPATH` باستدعاء `relate file name/3` مع `Canonicalize=false`، مما يسمح لمكونات اجتياز المسار بتجاوز فحص `is within root/2`. ثم يدخل المسار إلى `resolve symlinks/2`، التي تنفذ استدعاءات نظام `read link()` على مسارات عشوائية في نظام الملفات. يمكن للمهاجم استخدام مسار عبور مُصمم خصيصًا في طلب REALPATH لإنشاء «أوراكل» لوجود المسار، حيث يُرجع الخادم `SSH FXP NAME` إذا كان المسار موجودًا و`SSH FX NO SUCH FILE` إذا لم يكن موجودًا. ترتبط هذه المشكلة بالملف `lib/ssh/src/ssh sftpd.erl` والدالة `ssh sftpd:handle op/4`. لا يؤدي هذا الخلل إلا إلى الكشف عن وجود المسارات ولا يتيح الوصول إلى محتويات الملفات أو بيانات الاعتماد.

توجد حلقة تكرارية لا نهائية في وحدة `ssh sftpd` التابعة لـ Erlang OTP. يمكن لمستخدم SFTP تمت مصادقته أن يتسبب في جعل قناة SFTP غير مستجيبة بشكل دائم عن طريق إرسال `SSH MSG CHANNEL EXTENDED DATA` برمز نوع غير صفر، ومخزن مؤقت فارغ، وحمولة ضمن حدود حجم حزمة SFTP. يؤدي ذلك إلى تشغيل حلقة تكرارية ذيلية في الدالة `handle data()`، مما يتسبب في توقف العملية عن معالجة الرسائل ويؤدي إلى نمو غير محدود لذاكرة قائمة انتظار الرسائل واستهلاك مرتفع لموارد وحدة المعالجة المركزية (CPU). ويكون التأثير هو حدوث رفض الخدمة على قنوات SFTP المستهدفة. ويمكن أن يتفاقم هذا التأثير إذا تم تعيين الإعداد `max channels` على اللانهاية، مما يسمح لمستخدم واحد بفتح عدد غير محدود من القنوات.

تسمح ثغرة القناة الجانبية للتوقيت في مصادقة كلمة المرور للمهاجمين عن بُعد غير المصادق عليهم بتعداد أسماء المستخدمين. عندما يتم تكوين برنامج SSH الخفي باستخدام خيار `user passwords` أو `password`، تقوم الدالة `check password/3()` في الوحدة النمطية `ssh auth` بإجراء حساب PBKDF2-SHA256 لأسماء المستخدمين الصالحة، ويستغرق ذلك حوالي 300 مللي ثانية. وعلى العكس من ذلك، بالنسبة لأسماء المستخدمين غير الصالحة، تعود الدالة `get password option/2()` في الوحدة النمطية `ssh options` فورًا. ويسمح هذا التباين للمهاجم بالتمييز بين أسماء المستخدمين الصالحة وغير الصالحة في محاولة واحدة.

تسمح مشكلة في وحدة `ssh sftpd` باكتشاف الملفات من خلال الكشف عن معلومات حساسة. يقوم معالج `SSH FXP READLINK` بإرسال النتيجة الأولية لدالة `file:read link/2` إلى العميل دون استخدام `chroot filename/2` لإزالة بادئة الجذر الخلفية. ونتيجة لذلك، يمكن لعميل SFTP مصادق عليه إنشاء رابط رمزي داخل بيئة chroot يشير إلى `/`، وعند قراءته مرة أخرى عبر `SSH FXP READLINK` يتم إرجاع المسار المطلق لجذر الخلفية (على سبيل المثال، `/data/sftp`) بدلاً من القيمة `/` الخاصة ببيئة chroot. يؤدي هذا إلى الكشف عن المسار المطلق لنظام الملفات الخاص بدليل الجذر لـ SFTP وأي أهداف للروابط الرمزية بداخله، على الرغم من أن محتويات الملفات وبيانات الاعتماد والمسارات خارج دليل الجذر تظل غير قابلة للوصول. ترتبط هذه المشكلة بالملف `lib/ssh/src/ssh sftpd.erl` وتتطلب تمكين النظام الفرعي لـ SFTP مع تكوين الخيار `root` في استدعاء `ssh sftpd:subsystem spec/1`.

تسمح مشكلة تجاوز المسار في وحدة ssh `ssh sftpd` التابعة لـ Erlang OTP لمستخدم SFTP تمت مصادقته بتعديل سمات الملفات خارج دليل chroot المُهيأ. يقوم برنامج SFTP الخفي بتخزين المسار الخام الذي يقدمه المستخدم في معالجات الملفات بدلاً من المسار الذي تم تحليله بواسطة chroot. عند إصدار الأمر `SSH FXP FSETSTAT` على أحد هذه المقابض، يتم تعديل سمات الملفات مثل الأذونات والملكية والطوابع الزمنية على المسار الفعلي لنظام الملفات، متجاوزًا حدود الدليل الجذر. يتطلب ذلك تكوين الخادم باستخدام خيار root ووجود الملف المستهدف على نظام الملفات الفعلي بنفس المسار النسبي. لا تسمح هذه الثغرة إلا بتعديل سمات الملفات؛ ولا يمكن قراءة محتويات الملفات أو تغييرها. إذا كان برنامج SSH الخفي يعمل بصفة الجذر، فيمكن للمهاجم تحقيق تصعيد الامتيازات عن طريق تعيين بت setuid على الملفات الثنائية، أو تغيير ملكية الملفات الحساسة، أو جعل إعدادات النظام قابلة للكتابة من قبل الجميع. ترتبط هذه المشكلة بالملف `lib/ssh/src/ssh sftpd.erl` والوظيفتين `ssh sftpd:do open/4` و`ssh sftpd:handle op/4`.

يوجد قيد غير صحيح لمسار الملف في دليل مقيد، وتحديدًا مشكلة ”عبور المسار“ (Path Traversal)، في وحدة Erlang OTP `ssh sftpd`. يستخدم خادم SFTP مطابقة بادئة السلسلة باستخدام الدالة `lists:prefix/2` بدلاً من التحقق الصحيح من مكونات المسار عند التأكد مما إذا كان المسار يقع ضمن الدليل الجذر المُهيأ. وهذا يسمح للمستخدمين المصادق عليهم بالوصول إلى الدلائل الشقيقة التي تشترك في بادئة اسم مشتركة مع الدليل الجذر المُهيأ. على سبيل المثال، إذا تم تعيين الدليل الجذر على `/home/user1`، فقد يتم اعتبار مسارات مثل `/home/user10` أو `/home/user1 backup` بشكل خاطئ على أنها تقع ضمن الدليل الجذر. ترتبط هذه المشكلة بملف البرنامج `lib/ssh/src/ssh sftpd.erl` والدالة `ssh sftpd:is within root/2`.

توجد مشكلة في Erlang OTP ssh (وحدات ssh transport) تسمح بـ ”رفض الخدمة“ (Denial of Service) عبر استنفاد الموارد. تعلن طبقة نقل SSH، بشكل افتراضي، عن ضغط zlib القديم وتضخم الحمولات التي يتحكم فيها المهاجم دون حد للحجم قبل المصادقة. وهذا يتيح هجومًا موثوقًا باستنفاد الذاكرة. هناك خوارزميتان للضغط متأثرتان: zlib، التي يتم تفعيلها فورًا بعد تبادل المفاتيح، وzlib@openssh.com، التي يتم تفعيلها بعد المصادقة. يمكن لكل حزمة SSH فك ضغط ما يقارب 255 ميغابايت من 256 كيلوبايت من البيانات، مما ينتج عنه نسبة تضخيم تبلغ 1029:1. يمكن أن تؤدي الحزم المتعددة إلى استنفاد الذاكرة المتاحة بسرعة، مما قد يتسبب في إنهاء العمليات بسبب نفاد الذاكرة (OOM) في البيئات ذات الذاكرة المحدودة. ترتبط المشكلة بملف `ssh transport.erl` وروتينات `ssh transport:decompress/2` و`ssh transport:handle packet part/4`.