Yordis Prieto

يؤدي تخصيص الموارد دون قيود أو تقييد إلى إمكانية إحداث هجوم رفض الخدمة (DoS) عبر إنشاء ذرات غير محدودة من مدخلات ثنائية يتحكم فيها المهاجم. تقوم الوحدة النمطية `Guardian.Plug.Keys` باستخلاص مفاتيح مساحة اسم الاتصال والجلسة عن طريق تمرير ملفات ثنائية عشوائية إلى الدالة `String.to atom/1`. وعلى وجه التحديد، تقوم الدالة `base key/1` الموجودة في `lib/guardian/plug/keys.ex` بتحويل البيانات الثنائية إلى ذرات، بينما تقوم الدوال المساعدة `claims key/1` و`resource key/1` و`token key/1` بإنشاء ذرات إضافية. وبالمثل، تقوم الدالة `key from other/1` بتحويل البيانات الثنائية التي تم التقاطها بواسطة تعبير عادي (regex) من خلال `String.to atom/1`. تقوم نقاط الدخول عالية المستوى، مثل `Guardian.Plug.current token(conn, key: key)`، بتمرير المفاتيح التي يوفرها المستدعي مباشرةً إلى هذه الدوال. نظرًا لأن `String.to atom/1` تنشئ ذرة جديدة لكل قيمة ثنائية غير معروفة، ولأن الذرات لا تخضع لعملية جمع القمامة، فقد يتم استنفاد جدول الذرات في BEAM (الذي يبلغ حده الافتراضي حوالي 1,048,576 إدخالًا). إذا قام أحد التطبيقات بتوجيه بيانات غير موثوق بها، مثل معرّف المستأجر أو رأس الطلب، إلى مفتاح Guardian عبر المعلمة `key`، فيمكن للمهاجم إرسال دفق من المدخلات المتنوعة لاستنفاد جدول الذرات وتعطيل عقدة BEAM، مما يؤثر على جميع التطبيقات التي تعمل عليها.

يؤدي تخصيص الموارد دون قيود أو تقييد إلى إمكانية إحداث هجوم رفض الخدمة (DoS) عبر إنشاء ذرات (atoms) غير محدودة من مدخلات ثنائية يتحكم فيها المهاجم. يقوم المشفر `Guardian.Permissions.AtomEncoding` بمعالجة نطاقات الأذونات عن طريق تمرير ملفات ثنائية عشوائية إلى الدالة `String.to atom/1`. عند استدعاء الدالة `encode/3` الموجودة في `lib/guardian/permissions/atom encoding.ex` بقائمة، تقوم الجملة الثنائية `encode value/3` باستدعاء `String.to atom(value)` دون التحقق من قائمة السماح، مما يؤدي إلى تجاهل الحجة `perm set`. ونظرًا لأن `String.to atom/1` تنشئ ذرة جديدة لكل ثنائي غير معروف، ولأن الذرات لا تخضع لعملية جمع القمامة، فقد يتم استنفاد جدول الذرات في BEAM (المحدود بحوالي 1,048,576 إدخالًا). يمكن للمهاجم الذي يقدم مدخلات متنوعة عبر نصوص الطلبات أو مطالبات JWT أن يتسبب في تعطل عقدة BEAM بسبب `system limit`، مما يؤثر على جميع التطبيقات التي تعمل عليها.

يؤدي تخصيص الموارد دون قيود أو تحديد للسعة في وحدة `Guardian.Permissions` إلى إتاحة إمكانية إحداث هجوم رفض الخدمة (DoS) عن طريق استنفاد جدول الذرات في BEAM. يقوم المزيج `Guardian.Permissions` بتثبيت دالة عامة `encode permissions!/1` تستدعي `String.to atom(to string(k))` لكل مفتاح في الخريطة المقدمة قبل التحقق من صحتها. في الدالة `do encode permissions!/2`، يتجاوز الشرط ذو القيمة الصحيحة عملية التحقق من الصحة مقابل مجموعة الأذونات المُعدة مسبقًا، مما يسمح بتخزين المفاتيح ذات القيم الصحيحة كذرات جديدة. نظرًا لأن الذرات لا تخضع لعملية جمع القمامة ولأن جدول الذرات في BEAM له حجم ثابت، فإن المهاجم الذي يمكنه التأثير على خريطة الأذونات التي يتم تمريرها إلى `encode permissions!/1` أو `encode permissions into claims!/2` يمكنه استنفاد الجدول، مما يؤدي إلى تعطل عقدة BEAM وجميع الخدمات قيد التشغيل. ترتبط هذه المشكلة بالملف `lib/guardian/permissions.ex` والدوال `encode permissions!/1` و`encode permissions into claims!/2` و`do encode permissions!/2`.

يؤدي التحقق غير السليم من التوقيعات التشفيرية إلى تمكين مهاجم غير مصدق من إلغاء جلسة عمل الضحية باستخدام رمز مزور. تستخدم الدالة `Guardian.revoke/3` الموجودة في `lib/guardian.ex` الدالة `peek/1` لفك تشفير الرموز المميزة، والتي تقوم فقط بفك تشفير رأس JWT وحمولته باستخدام base64 دون التحقق من التوقيع. ثم يتم تمرير هذه المطالبات غير المتحقق منها إلى دالة الاستدعاء revoke الخاصة بوحدة الرموز المميزة ودالة الاستدعاء `on revoke`، مما قد يؤدي إلى تغيير الحالة. يمكن للمهاجم الذي يعرف أو يخمن قيم المطالبات التعريفية مثل `jti` أو `sub` تزوير JWT وإرساله إلى نقاط النهاية التي تستخدم `Guardian.revoke/3`، مما يؤدي إلى هجوم رفض الخدمة حيث يتم طرد الجلسة الشرعية للضحية. يحدث هذا عندما تقوم وحدة الرمز بتغيير الحالة بناءً على هذه المطالبات، كما هو الحال في عمليات الحذف من القائمة البيضاء أو الإدراج في القائمة السوداء.

يؤدي التعامل غير السليم مع البيانات شديدة الضغط إلى حدوث هجوم رفض الخدمة عبر قنبلة فك الضغط في نصوص استجابات HTTP. عند استخدام `Tesla.Middleware.DecompressResponse` أو `Tesla.Middleware.Compression` في مسار البرمجيات الوسيطة، يتم فك ضغط نصوص الاستجابات بشكل متسرع دون حد أقصى للحجم. تقوم الدالة `decompress body/2` بتمرير نص الاستجابة بالكامل إلى `:zlib.gunzip/1` أو `:zlib.unzip/1` دون وضع حد أقصى لحجم المخرجات. علاوة على ذلك، تقوم الدالة `compression algorithms/1` بتقسيم رأس `content-encoding` بفواصل، وتقوم `decompress body/2` بالتكرار لكل رمز. يمكن للخادم الذي يوفر رأس `content-encoding` يحتوي على عدة رموز gzip أن يؤدي إلى عمليات فك ضغط متكررة، مما يتسبب في تضخم البيانات أسيًّا حيث تتوسع حمولة شبكة صغيرة إلى غيغابايتات من كومة BEAM (منطقة الذاكرة التي تستخدمها الآلة الافتراضية لـ Erlang)، مما يؤدي إلى استنفاد الذاكرة وتعطل أو تجميد العملية المستدعية.

يؤدي الترميز أو الهروب غير الصحيح للمخرجات إلى السماح بحقن رأس جزء متعدد الأجزاء من خلال قيم معلمة `Content-Disposition` غير المحروصة. تقوم الدالة `part headers for disposition()` باستيفاء معلمات التوزيع دون التحقق من صحة أحرف إرجاع العربة (`r`) أو تغذية السطر (` `) أو علامات الاقتباس المزدوجة. يتم استلام هذه القيم من الجهة المستدعية عبر `add field()` (المعلمة `name`) و`add file()` (المعلمة `filename`) و`add file content()` (المعلمة `filename` وخيارات التوزيع الأخرى). يمكن أن يؤدي حرف الاقتباس المزدوج إلى إغلاق معلمة مقتبسة قبل الأوان، في حين أن تسلسلات `r ` يمكن أن تنهي رأس `Content-Disposition` لبدء رأس مزور جديد أو إنهاء كتلة الرأس لإضافة بايتات في مقدمة نص الجزء. بالإضافة إلى ذلك، يستخدم مسار اسم الملف الافتراضي في `add file()` دالة `Path.basename()`، التي لا تزيل أحرف إرجاع العربة أو تغذية السطر.

يؤدي التعامل غير السليم مع التمييز بين الأحرف الكبيرة والصغيرة في `Tesla.Middleware.FollowRedirects` إلى تسرب بيانات الاعتماد إلى مصادر خارجية في عمليات إعادة التوجيه عبر المصادر. تحاول البرمجيات الوسيطة إزالة الرؤوس الحساسة من خلال مقارنتها بقائمة مرشحات مكتوبة بأحرف صغيرة تحتوي على `authorization` و`host`. ومع ذلك، نظرًا لأن Tesla يحتفظ بمفاتيح الرؤوس تمامًا كما قدمها المستدعي، دون أي توحيد، فإن الرؤوس التي تستخدم الكتابة الكبيرة القياسية، مثل `Authorization`، لا تتطابق مع المرشح المكتوب بأحرف صغيرة ويتم توجيهها إلى وجهة إعادة التوجيه. يمكن للمهاجم الذي يستطيع التحكم في استجابة `Location:` — سواء من خلال نقطة نهاية خاصة به، أو مصدر إعادة توجيه مفتوح، أو مصدر مخترق — التقاط رموز حامل (token) أو مواد ترخيص أخرى. يحدث هذا عندما تستخدم التطبيق `Tesla.Middleware.FollowRedirects` وتقوم بتعيين رؤوس تحتوي على مفاتيح غير مكتوبة بأحرف صغيرة.

يؤدي التعطيل غير السليم لتسلسلات CRLF (رجوع العربة وتغذية السطر) في رؤوس HTTP إلى السماح بحقن رؤوس HTTP. تقوم الدالة `Tesla.Multipart.add content type param/2` بإلحاق السلاسل التي يزودها المستدعي بقائمة `content type params` متعددة الأجزاء دون التحقق من صحة أحرف `r` أو ` `. بعد ذلك، تقوم الدالة `Tesla.Multipart.headers/1` بدمج هذه المعلمات حرفياً لإنشاء رأس Content-Type الصادر. يمكن للمهاجم الذي يقدم معلمة تحتوي على `r ` تقسيم سطر الرأس، مما يتيح حقن رؤوس تعسفية في طلب HTTP الصادر. تؤثر هذه المشكلة على التطبيقات التي تقوم بإعادة توجيه المدخلات غير الموثوق بها، مثل مجموعة الأحرف أو سلاسل المعلمات التي يقدمها المستخدم، إلى الدالة `Tesla.Multipart.add content type param/2`. وقد يؤدي ذلك إلى تزوير رؤوس الطلبات الصادرة أو تهريب الطلبات المحتمل ضد الخادم الأعلى.

تسمح مشكلة في Tesla.Adapter.Mint بحدوث هجوم رفض الخدمة (DoS) عن طريق استنفاد جدول الذرات (atom table). تقوم الدالة `open conn/2` بتحويل مخطط URL للطلبات الصادرة إلى ذرة BEAM باستخدام `String.to atom(uri.scheme)` دون التحقق من قائمة السماح. ذرات BEAM هي إدخالات دائمة لا تخضع لعملية جمع القمامة (garbage collection) وتقتصر على جدول محدود يضم حوالي 1,048,576 إدخالًا. يمكن للمهاجم القادر على التأثير على عنوان URL للطلب — من خلال ميزات إعادة توجيه عناوين URL على مستوى التطبيق مثل webhooks أو البروكسيات أو أدوات الاستيراد، أو عبر رأس Location عندما تكون `Tesla.Middleware.FollowRedirects` نشطة — إنشاء ذرة جديدة لكل طلب عن طريق تغيير سلسلة مخطط العنوان. وبمجرد امتلاء جدول الذرات، تتعطل الآلة الافتراضية، مما يؤدي إلى إيقاف تشغيل التطبيق بالكامل.