Theodosis Paidakis

توجد مشكلة في التفويض غير الصحيح في منطق حذف الإرسال. يقارن النظام `@push.user` بـ `current user`؛ وعندما يتم إنشاء إرسال بشكل مجهول، تكون كلتا القيمتين nil. ونظرًا لأن لغة Ruby تعطي قيمة `nil == nil` كـ true، فإن فحص الملكية ينجح، متجاوزًا قيد `deletable by viewer`. وهذا يسمح للمهاجم الذي يعرف عنوان URL السري بحذف الدفعة المجهولة الهوية نهائيًا، حتى لو قام منشئها بتعطيل حذف العارض أو إذا كانت عبارة المرور مطلوبة. تؤثر هذه المشكلة فقط على عمليات النشر التي تسمح بالدفعات المجهولة الهوية.

يسمح عيب في مكون «معالج ملفات تعريف الارتباط للجلسة» (Session Cookie Handler) بإجراء عملية مصادقة غير صحيحة عن طريق التلاعب عن بُعد. تكمن المشكلة في الدالة `std::strncmp()` الموجودة في الملف `src/tsessioncookiestore.cpp`. يتميز هذا الهجوم بدرجة عالية من التعقيد وصعوبة الاستغلال.

يمكن لمستخدم معتمد التسبب في استنفاد الموارد عن طريق إرسال طلبات إلى نقطة النهاية ’GET /loading‘ باستخدام معلمة استعلام `id` ضارة. تحدث هذه المشكلة لأن المعالج يفتقر إلى فحص صحة البحث في الخريطة ويحاول استلام البيانات من قناة فارغة (قناة لم يتم تهيئتها)، مما يؤدي إلى حظرها إلى أجل غير مسمى. ونظرًا لعدم وجود مهلات زمنية وإلغاء السياق واستعادة الموارد من جانب الخادم، يستهلك كل طلب بشكل دائم goroutine واحدًا (خيط خفيف الوزن يديره وقت تشغيل Go)، وواحدًا من واصفات الملفات، وحوالي 50 كيلوبايت من الذاكرة. ويستمر هذا الوضع حتى يصل الخادم إلى الحد الأقصى لعدد واصفات الملفات، مما يتسبب في فشل استدعاءات Accept الخاصة بالمستمع وإيقاف إعادة توجيه كل حركة مرور النفق لجميع المستخدمين.

يمكن للمستخدمين المصادق عليهم ذوي الامتيازات المنخفضة، والذين يتمتعون بأذونات إنشاء نفق، إجراء حقن لسطر جديد. من خلال توفير حرف سطر جديد مشفر بنسبة مئوية في المعلمة `domain` لنقطة نهاية إنشاء النفق، يمكن للمهاجم إدخال أسطر عشوائية في ملف authorized keys الخاص بـ SSH لحساب الخادم. وهذا يسمح بإدراج مفتاح عام غير مقيد للحصول على وصول دائم إلى shell، مما يمكّن المهاجم من قراءة بيانات الاعتماد النصية العادية من ملف قاعدة البيانات، بما في ذلك جميع رموز المستخدمين، والمفاتيح الخاصة للنفق، وشهادات TLS.

يمكن لحاملي مفاتيح API المصادق عليهم تشغيل تزوير الطلبات من جانب الخادم (SSRF)، وهو عيب يتم فيه إجبار الخادم على إرسال طلبات غير مصرح بها. من خلال توفير عنوان URL طويل مصمم خصيصًا أثناء عملية إنشاء عنوان URL قصير مع تمكين ميزة التحليل التلقائي للعنوان، يمكن للمهاجم إجبار الخادم على إصدار طلبات HTTP GET عشوائية. ويمكن تحقيق ذلك باستخدام مضيفات عامة تعيد التوجيه إلى أهداف داخلية، مثل عناوين loopback، أو نطاقات link-local، أو نقاط نهاية البيانات الوصفية السحابية مثل 169.254.169.254. ومن ثم يمكن استخراج معلومات الخدمة الداخلية من خلال عنصر العنوان HTML الذي يتم إرجاعه في الاستجابة.

يمكن لحامل مفتاح API معتمد تنفيذ حقن SQL أعمى عن طريق تقديم قيمة غير مدققة في معلمة الاستعلام `orderBy` الخاصة بنقطة نهاية إحصائيات العلامات. ويحدث ذلك لأن المدخلات تمر دون تنقية إلى جملة ORDER BY في Doctrine QueryBuilder، مما يسمح بحقن أجزاء SQL عشوائية. ويمكن أن يؤدي ذلك إلى استخراج بيانات حساسة من أي مستأجر، بما في ذلك عناوين URL الطويلة، وسجلات الزوار، وعناوين IP، وبيانات تحديد الموقع الجغرافي، ووكلاء المستخدمين، وأسرار مفاتيح API المُجزأة، باستخدام تقنيات قائمة على الوقت، أو تقنيات boolean-oracle، أو تقنيات قائمة على الأخطاء.

توجد ثغرة تسمح للمهاجمين عن بُعد غير المصادق عليهم بإدخال صيغ جداول بيانات في بيانات الزيارات المصدرة. من خلال إرسال طلب إلى أي رابط قصير يحتوي على قيم ضارة في رؤوس «User-Agent» أو «Referer» أو مسار الطلب التي تبدأ بأحرف مثل «=» أو «+» أو «-» أو «@»، يمكن للمهاجمين تضمين حمولات صيغ DDE (التبادل الديناميكي للبيانات) أو WEBSERVICE. يتم تنفيذ هذه الحمولات على جهاز المسؤول عند فتح ملف CSV الذي تم تصديره في تطبيق جدول بيانات يقوم بتقييم الصيغ.

توجد ثغرة في البرمجة النصية عبر المواقع المخزنة تسمح للمهاجمين عن بُعد غير المصادق عليهم بتنفيذ تعليمات جافا سكريبت تعسفية في جلسة متصفح المسؤول. يحدث هذا عند إدخال علامات HTML في رسائل نصية للوكيل تتم معالجتها عبر واجهة برمجة تطبيقات الجلسات. يمكن للمهاجمين استخدام حمولات معالجات الأحداث المضمنة، مثل علامة `img` ذات السمة `onerror`، في حدود 60 حرفًا. يتم تخزين الحمولة في سجل الجلسة ويتم إدراجها دون تنقية في `innerHTML` على الصفحة الافتتاحية الافتراضية. وقد يؤدي ذلك إلى سرقة رموز الجلسة وإجراء مكالمات غير مصرح بها إلى نقاط نهاية إدارية تم المصادقة عليها، بما في ذلك تعديل ملفات تعليمات الوكيل.

توجد ثغرة في البرمجة النصية عبر المواقع (XSS) المخزنة، حيث يمكن للمهاجمين عن بُعد غير المصادق عليهم حقن حمولات HTML ونصوص برمجية تعسفية. يحدث هذا عند إرسال اسم مستخدم مُعدّ خصيصًا في طلب POST فاشل لتسجيل الدخول، والذي يتم تسجيله حرفيًا في سجل التدقيق. وعندما يفتح المسؤول لوحة الإشعارات، يتم عرض إدخال السجل باستخدام innerHTML. ونظرًا لوجود سياسة أمان المحتوى (Content-Security-Policy) متساهلة (وهي طبقة أمان تساعد في اكتشاف أنواع معينة من الهجمات والتخفيف من آثارها) تسمح بمعالجات الأحداث المضمنة، يتم تنفيذ الحمولة داخل جلسة عمل المسؤول. وهذا يسمح للمهاجم بالتفاعل مع نقاط النهاية المصادق عليها، مثل تحرير ملفات تعليمات الوكيل وتعديل التكوينات.

توجد مشكلة تهريب طلبات HTTP بسبب إعادة توجيه الرؤوس بشكل غير صحيح ضمن تنفيذ الوكيل الموجود في `src/proxy.rs`. يقوم الوكيل بإعادة توجيه رأس `Transfer-Encoding` الخاص بالعميل إلى الخوادم الخلفية دون تعديل، على الرغم من أن نص الطلب قد تم بالفعل تفكيكه بواسطة `tiny http`. وهذا يسمح بهجمات عدم التزامن CL.TE، حيث يمكن للمهاجم عن بُعد التلاعب بحدود رسائل HTTP للتحكم في المكان الذي يعتقد فيه الخادم الخلفي أن نص الطلب ينتهي.

توجد مشكلة تهريب طلبات HTTP حيث يمكن للمهاجمين عن بُعد تجاوز ضوابط الوصول عن طريق إدخال أحرف تغذية السطر العارية (0x0A) في قيم رؤوس الطلبات التي يقدمها العميل. يتم نسخ هذه القيم حرفياً إلى الاتصالات المنبثقة دون التحقق من صحتها. وهذا يسمح للمهاجم بصياغة قيمة رأس تحتوي على طلب HTTP إضافي كامل تفسره الخلفية، مثل Go net/http و Python http.server، على أنه طلب منفصل. ونتيجةً لذلك، تقوم الخلفية بمعالجة الطلب المُهرب باستخدام الطريقة والمسار ورؤوس الطلب التي يختارها المهاجم، متجاوزةً بذلك منطق ضوابط الوصول الخاص بمعالج rouille.

يمكن لمهاجم عن بُعد غير مصدَّق تعطل عمليات العمل عن طريق إرسال سطر طلب HTTP مشوه يحتوي على سلسلة إصدار غير صالحة. تفشل الدالة `HttpParser::execute()` في تخصيص كائن `Url` عند فشل تحليل الإصدار، مما يترك مؤشر `url` بقيمة NULL. وبالتالي، تقوم الدالة `buildResponse()` بإلغاء مرجعية هذا المؤشر NULL دون التحقق من علامة `valid requ`، مما يؤدي إلى حدوث SIGSEGV (خطأ في التجزئة يحدث عندما يحاول البرنامج الوصول إلى موقع ذاكرة غير مسموح له بالوصول إليه). إذا تكرر هذا الإجراء عبر جميع عمليات العامل، يظل الخادم غير متصل بالإنترنت حتى يتم إجراء إعادة تشغيل يدوية.

An issue allows unauthenticated attackers to read arbitrary files by submitting `../` sequences in the URL path. These sequences are concatenated directly to the configured web root in the `buildResponse()` function of `HttpBuilder` without normalization, dot-segment removal, or boundary checks. Attackers can craft requests that pass through the URL parser unchanged and reach the filesystem call via the `setFile()` function of `HttpFile`, potentially exposing sensitive files like credential stores and private keys if the server process runs as root.

يمكن للمهاجمين غير المصادق عليهم استنفاد الذاكرة المتاحة عن طريق إرسال طلبات HTTP قياسية صحيحة التكوين. يحدث هذا لأن الدالة `HttpParser::execute()` تخصص كائنات `Url` وكائنات `HttpHeaders` ومثيلات `HttpHeader` باستخدام تعبيرات new أولية لا يتم تحريرها أبدًا بسبب عدم وجود دالات التدمير ونداءات الحذف التي يتعذر الوصول إليها. ونتيجة لذلك، تزداد الذاكرة المقيمة في العملية الفرعية بنحو 20 إلى 28 كيلوبايت لكل طلب حتى يتم إنهاء العملية الفرعية.

توجد ثغرة تتعلق بتقسيم استجابة HTTP، حيث يمكن للمهاجمين عن بُعد إدخال رؤوس استجابة تعسفية عن طريق تضمين بايتات علامة العودة (0x0D) أو علامة التقدم (0x0A) في المدخلات التي يتحكمون فيها. ويمكن أن يحدث ذلك من خلال معلمات الاستعلام التي تم فك تشفيرها بنسبة مئوية والمُدرجة في رؤوس الاستجابة، أو عن طريق إدخال أحرف تغذية السطر في قيم رؤوس ملفات تعريف الارتباط التي يتم إدراجها مباشرةً في رؤوس استجابة Set-Cookie. وقد تؤدي مثل هذه الإجراءات إلى تسميم ذاكرة التخزين المؤقت، وتثبيت الجلسة، وتجاوز رؤوس الأمان، مما قد يسمح للمهاجمين بتجاوز سياسة أمان المحتوى (CSP) أو سياسات مشاركة الموارد عبر الأصول (CORS).

توجد ثغرة تسمح بتنفيذ التعليمات البرمجية عن بُعد بعد المصادقة، حيث يمكن للمستخدمين الذين يمتلكون أذونات إدارة `custom fields` تنفيذ تعليمات برمجية تعسفية بلغة Ruby. ويحدث ذلك عند إدخال تعبير ضار عبر نوع الحقل المخصص `select eval`. يمكن للمهاجم تخزين تعبير Ruby خاضع للسيطرة في المعلمة `command` ضمن خيارات الحقل، والذي يتم تقييمه بعد ذلك عبر الدالة `instance eval()` داخل عرض ERB أثناء عرض صفحة تعديل المنشور. وهذا يسمح بتنفيذ التعليمات البرمجية من جانب الخادم بامتيازات عملية خادم الويب.

توجد ثغرة تسمح للمهاجمين المصادق عليهم بإحداث تعطل في الخادم عن طريق تقديم سلسلة سداسية عشرية صالحة مكونة من 24 حرفًا للمعلمة `room`، لا تتطابق مع أي مستند في قاعدة البيانات. يؤدي ذلك إلى إزالة مرجع فارغ (null dereference)، مما ينتج عنه خطأ TypeError لم يتم التقاطه داخل استدعاء Mongoose غير متزامن، مما يؤدي إلى إنهاء عملية خادم Node.js. يمكن الوصول إلى هذه الثغرة عبر نقطة النهاية ’GET /messages‘ ومسارات برمجية أخرى، بما في ذلك واجهة socket.io.

يسمح خلل في التحكم في الوصول للمهاجمين المصادق عليهم بتنزيل المرفقات من الغرف الخاصة والمحمية بكلمة مرور التي ليسوا أعضاء فيها. يحدث هذا لأن النظام يفشل في إجراء فحوصات عضوية الغرفة أثناء استرداد الملفات. يمكن للمهاجم تعداد معرّفات الكائنات (ObjectIds) المجاورة في MongoDB — وهي معرّفات فريدة تستخدمها MongoDB للإشارة إلى المستندات — المستمدة من معرّف ملف معروف لاستعادة الملفات التي تم تحميلها بواسطة مستخدمين آخرين. توجد المشكلة في نقطة النهاية `GET /files/:id/:name` داخل ملف `app/controllers/files.js`، الذي يتحقق فقط من مصادقة تسجيل الدخول ويتجاهل فحص `Room.canJoin()`.

تسمح مشكلة تتعلق بالتفويض غير السليم للمستخدمين المصادق عليهم بأرشفة أي غرفة على الخادم. ويحدث ذلك لأن معالج الغرف لا يتحقق من الملكية عند معالجة طلب DELETE. يمكن للمهاجمين تحديد معرّفات الغرف من خلال نقطة نهاية قائمة الغرف لأرشفة الغرف الخاصة أو المحمية بكلمة مرور بشكل دائم، والتي ليس لديهم صلاحية الوصول إليها. وبمجرد أرشفتها، لا يمكن استعادة هذه الغرف من خلال التطبيق، وتستلزم استعادة مباشرة من قاعدة البيانات.

توجد مشكلة تتمثل في قيام المكتبة بتحليل رأس `Transfer-Encoding` بشكل غير صحيح. عند إرسال هذا الرأس بأي قيمة، بما في ذلك الترميزات غير المقسمة إلى أجزاء، تقوم المكتبة بتطبيق فك الترميز المقسم إلى أجزاء دون قيد أو شرط وتتجاهل رأس `Content-Length`. يؤدي هذا إلى حدوث تباين بين المكتبة ووكيل الواجهة الأمامية الذي تم تنفيذه بشكل صحيح، مما يسمح للمهاجمين عن بُعد بفك تزامن تأطير الطلبات وتنفيذ تهريب الطلبات. بالإضافة إلى ذلك، قد يؤدي إرسال نصوص غير مقسمة إلى أجزاء مع قيم `Transfer-Encoding` غير مقسمة إلى أجزاء إلى فشل قراءة النص، مما يستهلك خيوط العمل ويشغل الاتصالات دون إخطار العملاء بالخطأ.