Petr Simecek

تسمح ظاهرة تجاوز الحد الأقصى للأعداد الصحيحة في العديد من ميزات الخادم لمستخدم قاعدة البيانات غير المتمتع بامتيازات بإجبار الخادم على تخصيص مساحة أقل من المطلوب والكتابة خارج النطاق المسموح به. وقد يؤدي ذلك إلى تنفيذ تعليمات برمجية عشوائية بصفة مستخدم نظام التشغيل الذي يقوم بتشغيل قاعدة البيانات. في التطبيقات التي تمرر مدخلات مستخدمين بحجم يصل إلى غيغابايت إلى وظائف قاعدة البيانات ذات الصلة، قد يتسبب مزود المدخلات في حدوث خطأ في التجزئة، وهو خطأ يحدث عندما يحاول البرنامج الوصول إلى موقع في الذاكرة لا يُسمح له بالوصول إليه.

يوجد ثغرة في عملية تجاوز المصادقة في الملحق الاختياري `voice-call` عند استخدام التحقق من صحة سياسة قائمة الأذونات الواردة. يقبل النظام معرّفات المكالمات الفارغة ويستخدم المطابقة القائمة على اللاحقة بدلاً من المطابقة الصارمة. وهذا يسمح للمهاجمين عن بُعد بالتحايل على ضوابط الوصول الداخلي عند إجراء مكالمات بمعرّفات مكالمات مفقودة أو أرقام تنتهي بأرقام موجودة في قائمة الأذونات، مما قد يتيح لهم الوصول إلى الوكيل `voice-call` وتشغيل الأدوات. تؤثر هذه المشكلة على عمليات النشر التي تم تثبيت الملحق `voice-call` فيها وتفعيله. ترتبط هذه الثغرة الأمنية بالتحقق من قائمة الأذونات الواردة في الملف `extensions/voice-call/src/manager.ts`، الذي كان يستخدم المطابقة القائمة على اللاحقة ويقبل معرّفات المكالمات الفارغة بعد التوحيد. وعلى وجه التحديد، كانت قيم «from» المفقودة أو الفارغة تُعَدَّل إلى سلسلة فارغة، مما يجعل شرط قائمة الأذونات يُقيَّم على أنه مسموح به. بالإضافة إلى ذلك، كان المطابقة القائمة على اللاحقة تعني أن أي رقم مكالمة تنتهي أرقامه برقم موجود في قائمة الأذونات سيتم قبوله. المكون المعرض للثغرة هو الملحق «voice-call».

يعرض المكون الإضافي لقناة Nostr في OpenClaw، عند تثبيته وتفعيله، نقاط نهاية HTTP غير مصدقة على `/api/channels/nostr/:accountId/profile` و`/api/channels/nostr/:accountId/profile/import`. تسمح نقاط النهاية هذه بقراءة ملفات تعريف Nostr وتعديلها دون مصادقة من البوابة. يمكن للمهاجمين استغلال نقاط النهاية هذه لقراءة البيانات الحساسة من الملف الشخصي، وتعديل ملفات تعريف Nostr، وإجراء تغييرات ضارة دائمة في إعدادات البوابة، ونشر أحداث Nostr موقعة باستخدام المفتاح الخاص للروبوت، في حالة ما إذا كان منفذ HTTP الخاص بالبوابة متاحًا خارج نطاق localhost. يمكن استغلال هذه الثغرة الأمنية عندما يكون منفذ HTTP الخاص بالبوابة متاحًا خارج نطاق localhost.

عندما يتم تمكين وضع webhook في Telegram دون تكوين سر webhook، قد يقبل البرنامج طلبات HTTP POST غير مصدقة على نقطة نهاية webhook في Telegram ويثق في بيانات JSON للتحديث التي يتحكم فيها المهاجم. قد يتيح ذلك إجراء تحديثات Telegram مزورة تزيف قيمتي `message.from.id` و`chat.id`، مما قد يؤدي إلى التحايل على قوائم المرسلين المسموح بهم وتنفيذ أوامر ذات امتيازات خاصة بالبوت. يمكن للمهاجمين تزوير تحديثات Telegram عن طريق تزوير هذه الحقول للتحايل على قوائم المرسلين المسموح بهم وتنفيذ أوامر ذات امتيازات خاصة بالبوت. تحدث هذه الثغرة الأمنية بسبب الفشل في التحقق من صحة أسرار الويب هوك عند تفعيل وضع الويب هوك في Telegram. نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة هي نقطة نهاية الويب هوك الخاصة بـ Telegram. تشمل المعلمات المعرضة للخطر `message.from.id` و`chat.id`.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات OpenClaw الأقدم من 2026.2.2 الوصف لا يقوم البرنامج بالتحقق بشكل صحيح من صحة الأحرف الخاصة في ملف cmd.exe الخاص بنظام Windows في طلبات التنفيذ المستندة إلى قائمة الأذونات، مما قد يسمح للمهاجمين بالتحايل على قيود الموافقة على الأوامر. يمكن للمهاجمين إنشاء سلاسل أوامر تحتوي على أحرف خاصة في شل، مثل `&` أو `%...%`، لتنفيذ أوامر غير معتمدة تتجاوز العمليات المسموح بها في قائمة الأذونات. يستخدم البرنامج `cmd.exe /d /s /c <rawCommand>` لتنفيذ الطلبات على عقد Windows. لا يحاكي تحليل قائمة الأذونات التحليل النحوي وسلوك الأحرف الخاصة في `cmd.exe` الخاص بنظام Windows. يقع الكود المعرض للثغرة في `src/infra/node-shell.ts`. يعزز التصحيح تطبيق قائمة الأذونات في Windows من خلال تضمين النظام الأساسي في تحليل قائمة الأذونات، ورفض أحرف meta الخاصة بـ shell في Windows، واعتبار استدعاء `cmd.exe` غير آمن بالنسبة لقائمة الأذونات في Windows، وتجنب استخدام `cmd.exe` تمامًا في وضع قائمة الأذونات، وتنفيذ argv الذي تم تحليله مباشرةً عندما يكون ذلك ممكنًا. التوصيات قم بالتحديث إلى الإصدار 2026.2.2 أو أحدث.

يحتوي البرنامج على ثغرة في قائمة أذونات الموافقة على التنفيذ، والتي يمكن التحايل عليها عند استخدام صيغة استبدال الأوامر. وعلى وجه التحديد، يمكن للمهاجمين تنفيذ أوامر تعسفية عن طريق حقن صيغة استبدال الأوامر، مثل `$()` أو الأحرف غير المفرغة، داخل سلاسل نصية محاطة بعلامتي اقتباس مزدوجتين. وهذا يتجاوز الحماية المقصودة لقائمة الأذونات. تؤثر المشكلة فقط على التثبيتات التي تم فيها تمكين ميزة قائمة أذونات الموافقة على التنفيذ بشكل صريح.

تسمح عملية المصافحة `connect` لـ WebSocket في البوابة بتجاوز عمليات التحقق من هوية الجهاز عندما يكون `auth.token` موجودًا، ولكن غير مصدق عليه. يمكن للمهاجمين الاتصال بالبوابة دون تقديم هوية الجهاز أو إقرانه، من خلال استغلال التحقق من وجود `auth.token` بدلاً من التحقق من صحته، مما قد يتيح لهم الحصول على صلاحيات المشغل في النشرات المعرضة للثغرة. تكمن المشكلة في ملف `src/gateway/server/ws-connection/message-handler.ts`، حيث يمكن التحايل على متطلبات هوية الجهاز استنادًا إلى وجود `connectParams.auth.token` غير فارغ، بدلاً من نتيجة مصادقة سر مشترك تم التحقق من صحتها. يجب ألا يكون الوصول إلى البوابة متاحًا إلا من شبكة موثوقة ومن قبل مستخدمين موثوقين.

يحتوي البرنامج على ثغرة أمنية من نوع «تزوير الطلبات من جانب الخادم» (SSRF) في معالجة عناوين URL الخاصة بالمرفقات والوسائط. وهذا يسمح للمهاجمين عن بُعد باسترداد البيانات من عناوين URL HTTP(S) تعسفية. يمكن للمهاجم الذي يتمكن من التحكم في عناوين URL للوسائط عبر آليات مثل `sendAttachment` أو وظائف الرد التلقائي أن يُطلق هجوم SSRF ضد الموارد الداخلية، ويحتمل أن يقوم بتسريب البيانات الواردة في الرد الذي تم الحصول عليه كمرفقات. ينشأ هذا الخلل من استدعاء `fetch(url)` غير محمي ضد هجمات SSRF في الإصدارات المتأثرة. بدءًا من الإصدار 2026.2.2، تتضمن عملية استرداد الوسائط عن بُعد فحوصات SSRF، مثل حظر العناوين الخاصة وعناوين loopback وlink-local، وتثبيت DNS، ومعالجة عمليات إعادة التوجيه. المكون المعرض للخطر هو وظيفة استرداد الوسائط عن بُعد.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات OpenClaw الأقدم من 2026.2.12 الوصف يقوم معالج webhook BlueBubbles في OpenClaw بالمصادقة على الطلبات استنادًا إلى عنوان loopback (remoteAddress) فقط، دون التحقق من صحة رؤوس التوجيه. وهذا يسمح بالتحايل على كلمات مرور webhook المُعدة مسبقًا عندما تعمل البوابة خلف بروكسي عكسي. يمكن لمهاجم بعيد غير مصدق عليه حقن أحداث رسائل وردود فعل تعسفية من BlueBubbles عند الوصول إلى نقطة نهاية الوكيل. تحدث المشكلة لأن المعالج يقبل الطلبات على أنها مصدقة إذا كان `remoteAddress` هو عنوان loopback، دون التحقق من صحة رؤوس التوجيه. يمكن استغلال هذه الثغرة عندما يكون OpenClaw Gateway خلف بروكسي عكسي، مثل Tailscale Serve/Funnel أو nginx أو Cloudflare Tunnel أو ngrok. المكون المعرض للخطر هو معالج webhook الخاص بـ BlueBubbles، الذي يقبل الأحداث الواردة عبر نقطة نهاية HTTP POST. ويُستخدم `req.socket.remoteAddress` للمصادقة. التوصيات يجب تحديث الإصدارات الأقدم من 2026.2.12 إلى الإصدار 2026.2.12 أو أحدث. تأكد من تكوين كلمة مرور لـ webhook الخاص بـ BlueBubbles. لا تكشف عن نقطة نهاية webhook الخاصة بالبوابة للجمهور دون مصادقة.