Pierre Barre

يحتوي البرنامج على ثغرة أمنية تسمح بتحميل الملفات دون مصادقة عبر نقاط نهاية واجهة برمجة التطبيقات (API) `/utl/wed/insertImage.do` و`/utl/wed/insertImageCk.do`. تقبل نقاط النهاية هذه الطلبات متعددة الأجزاء دون مصادقة وتخزن الملفات المرسلة على الخادم. في الإصدارات السابقة للإصدار 4.1.2، يتحكم المهاجم في نوع MIME للاستجابة، مما يسمح له باستخدام التطبيق كخدمة استضافة ملفات لمحتوى تعسفي. ابتداءً من الإصدار 4.1.2، يتم تقديم الملفات غير المتعلقة بالصور بنوع المحتوى `application/octet-stream`، مما يمنع المهاجم من التحكم في نوع المحتوى. تسمح هذه الثغرة الأمنية لمهاجم غير مصدق بإرسال ملفات والحصول على رابط تنزيل. يتم إدراج امتداد اسم الملف في القائمة البيضاء، لكن المهاجم يتحكم في محتوى الملف.

يحتوي مكون الإدارة عبر الويب (F2MAdmin) على نقطة نهاية لتحميل الملفات دون مصادقة في `/AudioCodes files/utils/IVR/diagram/ajaxPromptUploadFile.php`. يقبل هذا البرنامج النصي الملفات التي يتم تحميلها ويقوم بكتابتها في الدليل `C:F2MAdmintmp` باستخدام اسم ملف مشتق من ثوابت التطبيق، دون مصادقة أو تفويض أو التحقق من نوع الملف. يمكن لمهاجم عن بُعد غير مصدق عليه تحميل أو استبدال الملفات المتعلقة بالتلميحات الصوتية أو موسيقى الانتظار، مما قد يؤدي إلى التلاعب بمحتوى الصوت الخاص بنظام الرد الآلي (IVR) أو إعداد الملفات لشن هجمات لاحقة.

تستخدم وظيفة تحميل الصور في محرر الويب (Web Editor) بالبرنامج التشفير المتماثل لمعلمات عناوين URL، لكنها تكشف عن ثغرة «أوراكل التشفير». وهذا يسمح للمهاجمين بإنشاء نص مشفر صالح لقيم مختارة. تقوم نقاط النهاية الخاصة بتحميل الصور `/utl/wed/insertImage.do` و`/utl/wed/insertImageCk.do` بتشفير المسارات من جانب الخادم وأسماء الملفات وأنواع MIME، ودمجها في عنوان URL للتنزيل الذي يتم إرجاعه إلى العميل. ثم يتم التعامل مع هذه المعلمات المشفرة على أنها موثوقة من قبل نقاط نهاية أخرى، مثل `/utl/web/imageSrc.do` و`/cmm/fms/getImage.do`. يمكن لمهاجم غير مصدق عليه استغلال ذلك للحصول على تمثيلات مشفرة لمعرفات يختارها المهاجم وإعادة تشغيلها في واجهات برمجة تطبيقات خدمة الملفات. وهذا يتجاوز ضوابط الوصول التي تعتمد على سرية المعلمات المشفرة، مما يتيح إمكانية استرداد ملفات مخزنة عشوائية دون الحصول على التفويض اللازم. المعلمات المعرضة للخطر هي مسارات جانب الخادم وأسماء الملفات وأنواع MIME المشفرة.

يحتوي البرنامج على ثغرة ناتجة عن حقن أمر مصادق عليه في وظيفة اختبار الفاكس التي يتم تنفيذها بواسطة AudioCodes files/TestFax.php. عند طلب إجراء اختبار ”إرسال“ فاكس، يقوم التطبيق بإنشاء سطر أوامر faxsender باستخدام المعلمات التي يقدمها المهاجم، ثم يمررها إلى `RunBatchFile` دون إجراء التحقق الكافي من صحة معلمات شل أو تطهيرها. يتم حفظ الملف الدفعي الناتج في دليل تشغيل مؤقت ثم يتم تنفيذه بواسطة خدمة خلفية تعمل بامتيازات SYSTEM. يمكن للمهاجم المصادق عليه الذي يتمتع بإمكانية الوصول إلى واجهة اختبار الفاكس إنشاء قيم معلمات تقوم بحقن أوامر شل إضافية في الملف الدفعي الذي تم إنشاؤه، مما يؤدي إلى تنفيذ أوامر تعسفي بامتيازات SYSTEM. بالإضافة إلى ذلك، وبسبب الأذونات المفرطة لنظام الملفات في الموقع الذي يتم فيه تخزين ملفات الدُفعات التي تم إنشاؤها، يمكن لمستخدم محلي ذي امتيازات منخفضة على الخادم تعديل ملفات الدُفعات المعلقة لتحقيق نفس التصعيد في الامتيازات.

يحتوي البرنامج على ثغرة أمنية تسمح بقراءة الملفات دون مصادقة عبر البرنامج النصي `download.php`. يكشف البرنامج النصي عن آلية لتنزيل الملفات دون ضوابط وصول مناسبة، مما يسمح للمستخدمين البعيدين غير المصادق عليهم بطلب ملفات من الجهاز باستخدام معلمات المسار واسم الملف التي يزودها المهاجم. وعلى الرغم من أن التطبيق يفرض قيودًا على امتدادات الملفات، إلا أنه يمكن استرداد ملفات النسخ الاحتياطي الحساسة، مما قد يؤدي إلى الكشف عن قواعد البيانات الداخلية وتجزئات بيانات الاعتماد. قد يؤدي استغلال هذه الثغرة إلى الكشف عن تجزئات كلمات مرور المسؤول وغيرها من بيانات التكوين الحساسة. نقطة النهاية المعرضة للخطر هي `/download.php`، وهي تستخدم معلمات مثل `filename` و`path` لاسترداد الملفات.

يحتوي البرنامج على ثغرة أمنية تتعلق بحقن الأوامر في عملية تنشيط الترخيص، وتحديدًا في الملف ’'ActivateLicense.php‘' الموجود في الدليل ’'AudioCodes files‘'. يقوم التطبيق بإنشاء أمر لـ ’'fax server lic cmdline.exe‘' باستخدام اسم ملف مشتق من ملف ترخيص تم تحميله من قبل المستخدم. يتم تضمين امتداد الملف، الذي يتحكم فيه المهاجم، في سلسلة الأوامر دون إجراء التحقق من الصحة أو التنقية اللازمة. وهذا يسمح لمستخدم معتمد بحق بإدخال أوامر شل تعسفية يتم تنفيذها بامتيازات NT AUTHORITYSYSTEM. المعلمة المعرضة للثغرة هي امتداد الملف داخل ملف الترخيص الذي تم تحميله.

يحتوي البرنامج على نقطة نهاية لتحميل النسخ الاحتياطية دون مصادقة تقع في `/AudioCodes files/ajaxBackupUploadFile.php` داخل واجهة الويب F2MAdmin. يحدد البرنامج النصي مسار مجلد النسخ الاحتياطي من تكوين التطبيق، ويقوم بإنشاء الدليل إذا لم يكن موجودًا، ثم ينقل الملف الذي تم تحميله إلى ذلك الموقع باستخدام اسم ملف يتحكم فيه المهاجم، دون أي مصادقة أو تفويض أو التحقق من نوع الملف. في عمليات النشر الافتراضية لنظام Windows حيث يشير دليل النسخ الاحتياطي إلى محرك أقراص النظام، يمكن لمهاجم عن بُعد تحميل ملفات تكوين خادم الويب أو المترجم. قد يؤدي ذلك إلى معاملة ملف سجل أو أي مورد آخر يخضع لسيطرة الخادم على أنه كود قابل للتنفيذ، مما يسمح لطلبات HTTP اللاحقة بتشغيل أوامر تعسفية تحت حساب خادم الويب، الذي يعمل بصفة NT AUTHORITYSYSTEM.

يتضمن مكون الإدارة عبر الويب (F2MAdmin) نقطة نهاية لإدارة البرامج النصية غير خاضعة للمصادقة في `/AudioCodes files/utils/IVR/diagram/ajaxScript.php`. تسمح الإجراء `saveScript` داخل نقطة النهاية هذه بتسجيل البيانات التي يقدمها المهاجم مباشرةً في مسار ملف على الخادم، حيث يتم التنفيذ بامتيازات NT AUTHORITYSYSTEM في نظام Windows. وهذا يسمح لمهاجم بعيد وغير مصادق عليه بتخزين ملفات عشوائية في بنية الدلائل التي يمكن الوصول إليها عبر الويب الخاصة بالمنتج، ومن ثم تنفيذها.

يتحكم مكون الإدارة عبر الويب في البرنامج في خدمات Windows باستخدام نصوص برمجية دفعية موجودة في `C:F2MAdminF2EAudioCodes filesutilsServices`. يتم استدعاء هذه البرامج النصية بواسطة PHP باستخدام الدالة `system()` تحت حساب `NT AUTHORITYSYSTEM` عندما تُطلب إجراءات خدمة معينة عبر نقطة النهاية `ajaxPost.php`. تسمح قوائم التحكم في الوصول (ACLs) المفرطة في السماح لأي مستخدم محلي تمت مصادقته بتعديل محتوى هذه البرامج النصية. من خلال استبدال محتوى البرنامج النصي بأوامر تعسفية، يمكن للمهاجم الحصول على تصعيد امتيازات محلية عندما يتم تنفيذ البرنامج النصي المعدل بصفة `SYSTEM` أثناء عمليات بدء تشغيل الخدمة أو إيقافها.

تم تكوين أجهزة AudioCodes Fax Server و Auto-Attendant IVR حتى الإصدار 2.6.23 (بما في ذلك هذا الإصدار) بأذونات نظام ملفات مفرطة التساهل لمجلد جذر المستندات الويب الموجود في C:F2MAdminF2E. يتمتع المستخدمون المحليون المصادق عليهم بحقوق التعديل في هذا المجلد، في حين يتم تشغيل عملية خادم الويب بامتيازات SYSTEM. وهذا يسمح للمستخدمين المحليين بإنشاء أو تعديل البرامج النصية على جانب الخادم داخل مجلد الجذر الخاص بالويب، ثم تشغيلها عبر طلبات HTTP، مما يؤدي إلى تنفيذ تعليمات برمجية تعسفية بامتيازات SYSTEM.

لا تفرض خدمة HTTP (”webs“) قيودًا كافية على حجم قيم رأس ملف تعريف الارتباط (Cookie)، مما يؤدي إلى حدوث تجاوز سعة المخزن المؤقت (buffer overflow) في المكدس. تؤدي معالجة ملف تعريف ارتباط يزيد حجمه عن 511 بايت إلى الكتابة فوق مخزن مؤقت في المكدس، مما قد يؤدي إلى حدوث عطل أو الاستيلاء على التحكم في التنفيذ.

يخزن البرنامج كلمات مرور المستخدمين باستخدام تجزئة SHA-512 بدون سولت (salt)، مع اللجوء إلى SHA-1 بدون سولت كخيار بديل. تتم عملية التجزئة باستخدام دالة `hash()` في PHP في عدة ملفات، بما في ذلك `server write requests users.php` و`update database.php` و`legacy/Login.php` و`tests/Unit/Api/IdpControllerTest.php`. إن عدم وجود «سولت» لكل مستخدم يجعل عملية التجزئة غير ملائمة لتخزين كلمات المرور، مما يسمح للمهاجم الذي لديه وصول إلى قاعدة بيانات كلمات المرور باستعادة كلمات المرور في نص عادي من خلال هجمات القاموس غير المتصلة بالإنترنت أو جدول «راينبو». يتضمن الكود منطقًا يقوم بترحيل التجزئات القديمة من SHA-1 إلى SHA-512 أثناء تسجيل الدخول، مما قد يعرض المستخدمين الذين ما زالوا يستخدمون التجزئة الأقدم للخطر.

يخزن البرنامج عددًا كبيرًا من بيانات الاعتماد الحساسة، بما في ذلك كلمات مرور قواعد البيانات، وكلمة مرور الجذر لـ MySQL، ومفاتيح SaaS، وكلمة مرور المسؤول لـ Portainer، في ملفات نصية عادية يمكن لأي شخص قراءتها. يمكن لأي مستخدم محلي أو عملية لديها حق الوصول إلى نظام ملفات المضيف استرداد بيانات الاعتماد هذه في صيغة نصية عادية، مما قد يؤدي إلى سرقة بيانات الاعتماد واختراق الجهاز بالكامل. يعزو المورد ذلك إلى نموذج المسؤولية المشتركة، حيث يتوقع من المسؤولين تكوين تشفير التخزين الدائم.

يحتوي Vasion Print Virtual Appliance Host and Application على مستخدم غير موثق، وهو `printerlogic`، مع مفتاح SSH عام مبرمج بشكل ثابت موجود في الملف `~/.ssh/authorized keys`. تمنح إحدى قواعد sudoers المجموعة `printerlogic ssh` امتيازات «NOPASSWD: ALL». ويؤدي امتلاك المفتاح الخاص المقابل إلى منح المهاجم وصولاً كجذر إلى الجهاز.

يتأثر كل من Vasion Print (المعروف سابقًا باسم PrinterLogic) Virtual Appliance Host و Application بثغرة أمنية تتعلق بتزوير الطلبات من جانب الخادم (SSRF). يمكن الوصول إلى البرنامج النصي `/var/www/app/console release/hp/badgeSetup.php` دون مصادقة، وهو يقوم بإنشاء عناوين URL استنادًا إلى معلمات يتحكم فيها المستخدم. يتم استخدام دالة `processCurl()` ودالة `file get contents()` في PHP دون التحقق الصحيح من اسم المضيف أو عنوان URL، مما يسمح للمهاجمين بإرسال طلبات HTTP تعسفية إلى الموارد الداخلية. وقد يؤدي ذلك إلى استكشاف الشبكة الداخلية، وتسرب بيانات الاعتماد، والانتقال بين الأنظمة، وتسريب البيانات. يتم الحصول على `اسم المضيف/عنوان URL` مباشرةً من الطلب دون أي قيود.

يحتوي البرنامج على ثغرة أمنية تتمثل في طلب تزوير من جانب الخادم (SSRF) أعمى يمكن الوصول إليها عبر البرنامج النصي `/var/www/app/console release/hp/log off single sign on.php`. يمكن لمستخدم غير مصدق استغلال هذه الثغرة. يخزن البرنامج اسم مضيف الطابعة في المتغير `printer vo->str host address`، ثم يقوم بإنشاء عنوان URL باستخدام هذه القيمة، ويرسل الطلب باستخدام curl دون أي تحقق من الصحة أو قائمة السماح (whitelisting) أو تصفية الشبكة الخاصة. يمكن للمهاجم استكشاف الخدمات الداخلية أو تنفيذ إجراءات داخلية أو جمع المعلومات.

يحتوي البرنامج على ثغرة تتعلق بالتزوير الأعمى لطلبات جانب الخادم (SSRF) يمكن الوصول إليها عبر البرنامج النصي `/var/www/app/console release/lexmark/dellCheck.php`. يمكن لمستخدم غير مصدق استغلال هذه الثغرة. يخزن البرنامج اسم مضيف الطابعة في المتغير `printer vo->str host address`، ثم ينشئ عنوان URL لإرسال طلب باستخدام curl دون أي تحقق من الصحة أو إدراج في القائمة البيضاء أو تصفية عبر شبكة خاصة. يمكن للمهاجم استكشاف الخدمات الداخلية أو تشغيل إجراءات داخلية أو جمع معلومات استخباراتية.

يحتوي البرنامج على ثغرة أمنية تتعلق بتزوير الطلبات من جانب الخادم (SSRF). يمكن الوصول إلى البرنامج النصي `/var/www/app/console release/lexmark/update.php` عبر الإنترنت دون مصادقة. يقوم البرنامج النصي بإنشاء عناوين URL استنادًا إلى قيم يتحكم فيها المستخدم، ثم يستخدم `curl exec()` أو `file get contents()` دون إجراء التحقق المناسب. وهذا يسمح لمهاجم عن بُعد بتوفير اسم مضيف وجعل الخادم يرسل طلبات إلى موارد داخلية، مما قد يتيح استكشاف الشبكة الداخلية أو الانتقال بين الأنظمة أو تسريب البيانات.

يحتوي البرنامج على ثغرة أمنية تتعلق بتزوير الطلبات من جانب الخادم (SSRF). يمكن الوصول إلى الدليل `console release` عبر الإنترنت دون مصادقة. يتضمن هذا الدليل العديد من نصوص PHP التي تقوم بإنشاء عناوين URL استنادًا إلى البيانات التي يقدمها المستخدم، ثم تستخدم `curl exec()` أو `file get contents()` دون إجراء التحقق الكافي. على الرغم من أن بعض الملفات تحاول التخفيف من تأثير ثغرة SSRF باستخدام `filter var()`، إلا أن هذه الفحوصات ليست شاملة. يمكن لمهاجم بعيد غير مصادق عليه تقديم اسم مضيف، مما يسمح للخادم بإرسال طلبات إلى موارد داخلية، مما قد يتيح استكشاف الشبكة الداخلية أو التنقل بين الأنظمة أو تسريب البيانات.

يحتوي البرنامج على ثغرة تتعلق بالتزوير الأعمى لطلبات جانب الخادم (SSRF) يمكن الوصول إليها عبر البرنامج النصي `/var/www/app/console release/hp/installApp.php`. يمكن لمستخدم غير مصدق استغلال هذه الثغرة. يقوم البرنامج بتخزين اسم مضيف الطابعة في المتغير `$printer vo->str host address`، ثم ينشئ عنوان URL لإرسال طلب باستخدام curl دون أي تحقق من الصحة أو إدراج في القائمة البيضاء أو تصفية عبر شبكة خاصة. يمكن للمهاجم استكشاف الخدمات الداخلية أو تشغيل إجراءات داخلية أو جمع معلومات استخباراتية.