Natan Nehorai

توجد مشكلة تتيح للمستأجر الذي يمتلك رمز مساحة عمل إرفاق وحدة تخزين عند نشر دالة أو نقطة نهاية أو قائمة مهام. يقوم البوابة (gateway) ببناء مسار المضيف عن طريق دمج جذر وحدات التخزين المشتركة واسم مساحة العمل ومعرف وحدة التخزين من تكوين stub، دون التحقق مما إذا كانت مساحة العمل تمتلك وحدة التخزين المحددة. من خلال استخدام مقاطع المجلدات الأصلية في معرف وحدة التخزين، يحدث تجاوز للمسار (path traversal)، مما يؤدي إلى تقليص المسار المدمج إلى جذر نظام ملفات العامل (worker). يسمح هذا للعامل بربط المسار داخل sandbox بصلاحيات القراءة والكتابة، ما لم يتم تحديده صراحةً على أنه للقراءة فقط، مما يمكن المستأجر من قراءة وكتابة ملفات العامل والوصول إلى وحدات تخزين مستأجرين آخرين مخزنة على نفس الجهاز.

يقوم worker Beta9 بتقديم واجهة برمجة تطبيقات ملفات sandbox من خارج الحاوية. تقوم الدالة `getHostPathFromContainerPath` بتحويل مسار حاوية المستأجر إلى مسار worker. إذا بدأ المسار غير المحلول بوجهة تثبيت، بما في ذلك تثبيت التحميل الافتراضي في `/tmp/.beta9` ، يتم دمج الجزء المتبقي باستخدام `filepath.Join` ، والتي تقوم بتنظيف مقاطع الدليل الأب بعد التحقق من البادئة. تتيح سلسلة طويلة بما يكفي من هذه المقاطع الوصول إلى أي مسار مطلق على الـ worker. بالإضافة إلى ذلك، فإن المسار الذي لا يتطابق مع أي تثبيت يتم دمجه مع جذر الحاوية وفتحه في نظام ملفات الـ worker نفسه، وبالتالي يتم اتباع الروابط الرمزية المطلقة بالنسبة لجذر الـ worker. تؤثر هذه المشكلة على عمليات التحميل، والتنزيل، و stat، و list، و find-in-files، و replace-in-files، و delete-file. يمكن للمستأجر الذي يمتلك رمز مساحة عمل و sandbox يعمل أن يقرأ ويكتب ويدرج ويحذف الملفات على الـ worker المضيف بصلاحيات root، بما في ذلك ملفات المستأجرين الآخرين على تلك الماكينة. أثبت دليل عملي إمكانية تنزيل رمز حساب خدمة Kubernetes الخاص بـ pod الـ worker، والذي يكون مرتبطاً بصلاحيات cluster-admin في بيانات بيان العقدة البعيدة الموردة.

يوجد هروب من بيئة العزل (sandbox escape) في عملية بناء الصور حيث يتم تنفيذ أوامر shell في تعريف صورة المستأجر باستخدام Buildah مع ضبط `BUILDAH ISOLATION=chroot`. نظرًا لأن العملية تحتفظ بمساحات أسماء (namespaces) PID والشبكة وIPC والمستخدم الخاصة بـ pod العامل، بينما تعمل بـ uid 0 مع `CAP DAC OVERRIDE` (وهي قدرة تسمح بتجاوز فحوصات أذونات القراءة والكتابة والتنفيذ للملفات)، يمكن للمهاجم الوصول إلى نظام ملفات حاوية العامل عبر `/proc/1/root`. يتيح ذلك للمستأجر الذي يمتلك رمز مساحة عمل (workspace token) السيطرة على عامل البناء وقراءة رمز حساب خدمة Kubernetes الخاص به، بالإضافة إلى الوصول إلى ملفات `runc` و`buildah` و`runsc` الثنائية وأدلة المضيف المثبتة في الـ pod.

يُنفذ البرنامج إجراءات تقوية ضد تزوير الطلبات من جانب الخادم (SSRF) باستخدام اسم مضيف ثابت وقائمة حظر تتضمن عناوين IP حرفية ضمن الدالة `assertSafeFetchTarget()`. ومع ذلك، فإنه يفشل في تحليل عناوين DNS أو إعادة التحقق من صحة المضيفات بعد عمليات إعادة التوجيه عبر HTTP. يمكن للمهاجم القادر على التأثير على استدعاء FetchURL، مثل من خلال حقن المطالبة، تقديم اسم مضيف عام مصمم خصيصًا يتم تحليله إلى عنوان داخلي أو عنوان loopback، أو عنوان URL عام يعيد التوجيه إلى مثل هذا الهدف. وهذا يسمح بالوصول إلى خدمات الشبكة الداخلية التي تهدف قائمة الحظر إلى حجبها. ونظرًا لأن FetchURL جزء من مجموعة أدوات الموافقة التلقائية الافتراضية، فإن هذه الاستدعاءات لا تتطلب تأكيدًا تفاعليًّا من المستخدم في الوضع اليدوي.

تتميز أداة Pydantic-AI MCP Run Python بإعدادات صندوق الحماية (sandbox) الخاصة بـ Deno التي تتسم بقدر مفرط من التساهل. وهذا يسمح لرمز Python الذي يتم تنفيذه داخل بيئة الحماية بالوصول إلى واجهة localhost للنظام المضيف، مما قد يتيح إمكانية شن هجمات تزوير الطلبات من جانب الخادم (SSRF). وقد تم أرشفة المشروع ومن غير المرجح أن يتم إصدار تصحيح له. تسمح الأداة لرمز Python الأساسي بالوصول إلى واجهة localhost للمضيف. ويمكن استغلال هذا الوصول لتنفيذ هجمات SSRF.

يتأثر n8n بثغرة أمنية حرجة تتعلق بتنفيذ التعليمات البرمجية عن بُعد (RCE) في نظام تقييم تعبيرات سير العمل الخاص به. يمكن للمهاجم المصادق عليه استغلال هذه الثغرة لتنفيذ تعليمات برمجية عشوائية بامتيازات عملية n8n. ويحدث ذلك لأن التعبيرات التي يقدمها المستخدمون المصادق عليهم أثناء تكوين سير العمل يتم تقييمها في سياق تنفيذ لا يتمتع بعزل كافٍ عن بيئة التشغيل الأساسية. قد يؤدي الاستغلال الناجح إلى اختراق كامل للمثيل المتأثر، مما قد يتيح الوصول غير المصرح به إلى البيانات الحساسة، وتعديل سير العمل، وتنفيذ عمليات على مستوى النظام. يُقدَّر عدد الخدمات المعرضة لهذا الخطر سنويًّا بنحو 981,000 خدمة. تتعلق المشكلة بالتحايل على بيئة الحماية (sandbox) الخاصة بـ «Expressão»، مما يسمح بتنفيذ تعليمات برمجية JavaScript تعسفية.

توجد ثغرة أمنية في n8n تسمح للمهاجم بالتحايل على قيود بيئة الحماية (sandbox) الخاصة بـ python-task-executor. ويتم تحقيق هذا التحايل من خلال استخدام تنسيق السلاسل ومعالجة الاستثناءات، مما يسمح بتنفيذ كود Python تعسفي ودون قيود على نظام التشغيل الأساسي. يمكن استغلال الثغرة الأمنية من قبل مستخدم معتمد يتمتع بأذونات أساسية عبر كتلة كود. في الحالات التي تعمل في وضع التنفيذ «Internal»، يمكن السيطرة الكاملة على مثيل n8n. إذا كان المثيل يعمل في وضع التنفيذ «External»، فإن تنفيذ التعليمات البرمجية التعسفية يحدث داخل حاوية Sidecar، مما يقلل من التأثير. ترتبط هذه الثغرة الأمنية بميزة معالجة الأخطاء في Python 3.10 التي تتجاوز التحليل الثابت. يمكن استغلال هذه الثغرة الأمنية من خلال استخدام f-strings والكائن ` traceback `.

تتعرض المتغيرات `cleanIptables` لخطر حقن أوامر نظام التشغيل. وهذا يتيح للمهاجمين غير المصادق عليهم داخل المجموعة إمكانية تنفيذ تعليمات برمجية عن بُعد في المجموعة بأكملها. يمكن للمهاجمين الحصول على صلاحيات الجذر في عقد Kubernetes من خلال استغلال هذه الثغرة الأمنية.

يعرض Chaos Controller Manager في Chaos Mesh خادم تصحيح GraphQL بدون مصادقة لجميع مجموعات Kubernetes. يوفر هذا الخادم واجهة برمجة تطبيقات (API) تسمح للمهاجمين بإنهاء عمليات عشوائية في أي وحدة Kubernetes، مما قد يؤدي إلى رفض الخدمة في المجموعة بأكملها. تنشأ هذه الثغرة الأمنية عن عدم وجود تحقق من المصادقة لوظيفة حاسمة داخل Chaos Controller Manager.

يوجد ثغرة في حقن الأوامر في المتغير `cleanTcs` في Chaos Mesh. تسمح هذه الثغرة للمهاجمين غير المصادق عليهم داخل المجموعة بتنفيذ التعليمات البرمجية عن بُعد في المجموعة بأكملها. ترتبط هذه الثغرة الأمنية بحقن الأوامر في نظام التشغيل.

The Weave server API allows remote users to fetch files from a specific directory, but due to a lack of input validation, it is possible to traverse and leak arbitrary files remotely. In various common scenarios, this allows a low-privileged user to assume the role of the server admin. The issue is being actively exploited.

The issue concerns RAIL documents, an XML-based format used by Guardrails AI for enforcing formatting checks on LLM outputs. Users who consume RAIL documents from external sources are at risk of XML External Entity (XXE) attacks, which could lead to the leakage of internal file data through the SYSTEM entity.

The issue is related to command injection when ingesting a remote Kaggle dataset due to a lack of input sanitization in the `ingest kaggle()` API. This allows for potential command injection attacks. The `ingest kaggle()` API endpoint is vulnerable due to insufficient input validation.

The Vanna library is affected by a remote code execution issue due to prompt injection. This allows an attacker to alter the prompt function used for visualized results and run arbitrary Python code. The issue arises when external input is allowed to the library's `ask` method with `visualize` set to True, which is the default behavior. This vulnerability has been reportedly exploited in the wild.

The issue allows a user to register to a vector-admin server while “domain restriction” is active, even when not owning an authorized email address. This is an authentication bypass in vector-admin.

Design document functions that receive a user HTTP request object may expose authorization or session cookie headers of the user who accesses the document. These design document functions include `list`, `show`, `rewrite`, and `update`. An attacker can leak the session component using an HTML-like output, insert the session as an external resource, or store the credential in a local document with an `update` function. For the attack to succeed, the attacker must be able to insert the design documents into the database and then manipulate a user to access a function from that design document.