Zach Daniel

Improper neutralization of escape, meta, or control sequences allows a malicious package publisher or a hostile repository server to inject terminal control sequences into the output of Mix tasks. The software prints strings from the package repository and documentation search service directly to the terminal via `Hex.Shell.info/1` and `Hex.Shell.error/1` without neutralizing control characters. This affects package metadata, configuration snippets in `mix hex.info`, search results in `mix hex.package search` and `mix hex.search`, owner and organization listings, publish and sponsor URLs, the authenticated username in `mix hex.user`, policy identities in `mix hex.policy`, and API error bodies rendered by `Hex.Utils.print error result/1`. An attacker can embed ANSI escape sequences—such as cursor movement, line erase, carriage returns, and OSC 52 clipboard writes—or Unicode bidirectional overrides to forge displayed URLs, package descriptions, and suggested commands, conceal real output, or write to the clipboard. This can be triggered by any developer running a documentation search that surfaces a malicious package.

يمكن لمهاجم غير مصدق عليه حقن تعبير تصفية باستخدام مؤشر ترقيم صفحات مزور لمجموعة المفاتيح. يحدث هذا لأن إجراءات القراءة التي تستخدم ترقيم الصفحات باستخدام مجموعة المفاتيح تقوم بفك تشفير مؤشرات `page[:after]` أو `page[:before]` التي يوفرها العميل في الدالة `decode values/2` الموجودة في `lib/ash/page/keyset.ex` باستخدام `non executable binary to term/2` مع `[:safe]`. ورغم أن هذا الحاجز يمنع دخول الذرات (atoms) والدوال (funs) والمنافذ (ports) الجديدة، إلا أنه لا يمنع الهياكل (structs) المبنية من ذرات تم تخزينها مسبقًا في تطبيق قيد التشغيل. ونتيجةً لذلك، يمكن إدراج تعبير `%Ash.Query.Call{}` الذي تم فك تشفيره في مرشح مجموعة المفاتيح كقيمة مقارنة في `do filters/4` وتقييمه. نظرًا لأن المؤشر يتجاوز ماكرو `Ash.Expr`، يفشل وقت التشغيل في تطبيق بوابة `private?/public?`. يختلف التأثير حسب طبقة البيانات: تسمح AshPostgres بحقن SQL، بينما تسمح طبقات البيانات ETS وSimple بتقييم التعبير أثناء العملية كدعوة دالة عشوائية.

توجد مشكلة استهلاك غير خاضع للرقابة للموارد، حيث يمكن للمهاجم استنفاد ذاكرة العقدة باستخدام مؤشر ترقيم صفحات مصمم خصيصًا لمجموعة المفاتيح. تعمل إجراءات القراءة التي تستخدم ترقيم صفحات مجموعة المفاتيح على فك تسلسل المؤشرات المقدمة من العميل عبر الدالة `decode values/2` الموجودة في `lib/ash/page/keyset.ex`. تقوم هذه العملية بفك تشفير القيمة باستخدام base64 وتمريرها إلى `:erlang.binary to term/2` دون تحديد الحد الأقصى للحجم. ونظرًا لأن تنسيق المصطلح الخارجي لـ Erlang يدعم الحمولات المضغوطة بواسطة zlib، فقد يقوم برنامج فك التشفير بتضخيم مؤشر صغير إلى عشرات الميغابايت من ذاكرة الكومة. وبما أن البرنامج يقوم فقط بتشفير المؤشرات كبيانات غير مضغوطة، فإن برنامج فك التشفير يقبل أشكال المصطلحات التي لا ينتجها برنامج التشفير. يمكن أن تؤدي الطلبات المتزامنة المتعددة إلى تراكم هذه التخصيصات وتسبب إنهاء عمل العقدة. ويتضمن ذلك المتغيرين `page[:after]` و`page[:before]`.

يسمح التعطيل غير السليم للعناصر الخاصة في منطق استعلام البيانات للمهاجم بتزوير علاقة بسجل لا يمكنه تسميته واستعادة القيمة السرية المستخدمة للبحث. يحدث هذا عند استخدام `manage relationship` مع `on lookup: :relate` في علاقة `belongs to`، حيث يتم تمرير قيمة البحث التي يوفرها العميل إلى `Ash.Query.filter/2` دون تحويلها إلى نوع السمة. ونتيجة لذلك، يتم تفسير الخريطة المتداخلة التي يتم إرسالها بدلاً من قيمة عددية على أنها مسند تصفية بدلاً من قيمة حرفية، مما يحول البحث عن سجل محدد إلى استعلام عن أي سجل يطابق شرطًا ما. بالإضافة إلى ذلك، فإن إغفال `Ash.Query.limit(1)` يسمح لـ `Ash.read one/2` بالتمييز بين عدم وجود تطابق، وتطابق واحد، وعدة تطابقات، مما يخلق «أوراكل» لقيمة البحث. لا تتأثر عملية التفويض لأن سياسة القراءة للوجهة لا تزال سارية.

توجد مشكلة تتيح للمستخدمين تعيين قيمة حجة إجراء خاصة يُفترض أن يتم التحكم فيها حصريًا بواسطة كود موثوق به من جانب الخادم. حجج الإجراءات المُعلنة بـ `public?: false` مخصصة للإعدادات الداخلية، مثل تلك التي تتم عبر `Ash.Changeset.set private argument/3`، ولا ينبغي أن تكون قابلة للتعيين عبر مدخلات المستخدم النهائي. ومع ذلك، فإن تصفية هذه الحجج الخاصة تكون غير مكتملة عند إنشاء مجموعة تغييرات من خريطة المعلمات. في مسارات مجموعات التغييرات العادية (`for create`، `for update`، `for destroy`)، لا يتم إزالة الحجج الخاصة إلا إذا كان مفتاح المعلمة ذرة (atom)؛ أما إذا كان المفتاح ثنائيًا (سلسلة)، وهو أمر شائع في المعلمات التي يقدمها المستخدم، يتم الاحتفاظ بالحجة. في المسار الذري (`Ash.Changeset.fully atomic changeset/4`، بما في ذلك التحديثات الذرية والجماعية)، لا يتم استبعاد الحجج الخاصة بغض النظر عن نوع المفتاح. وهذا يسمح للمهاجم بحقن قيم في الحجج الخاصة، مما قد يؤدي إلى تصعيد الامتيازات أو انتهاكات السلامة، خاصةً إذا تم استخدام حجج مثل `acting user id` للتفويض أو ملكية السجلات.

يوجد خلل في آلية التفويض في ash، مما قد يسمح بتجاوز عملية المصادقة. ترتبط المشكلة بالملف `lib/ash/policy/policy.ex` والدالة `Elixir.Ash.Policy.Policy`:expression/2.

يوجد خلل في عملية التفويض في مشروع ash-project ash، مما يسمح بتجاوز عملية المصادقة. ترتبط المشكلة بملفات البرنامج `lib/ash/policy/authorizer/authorizer.ex` وبالروتين `Elixir.Ash.Policy.Authorizer`:strict filters/2.

توجد ثغرة أمنية تتعلق بالتفويض غير الصحيح في ash، مما يسمح باستغلال مستويات أمان التحكم في الوصول التي تم تكوينها بشكل غير صحيح. ترتبط هذه المشكلة بملفات البرنامج `lib/ash/actions/create/bulk.ex` و`lib/ash/actions/destroy/bulk.ex` و`lib/ash/actions/update/bulk.ex`، وبروتينات البرنامج `Elixir.Ash.Actions.Create.Bulk`:run/5 و`Elixir.Ash.Actions. Destroy.Bulk`:run/6، و`Elixir.Ash.Actions.Update.Bulk:run`/6.

تؤثر هذه المشكلة على مكتبة ash authentication phoenix، حيث تظل رموز الجلسة صالحة على الخادم بعد قيام المستخدم بتسجيل الخروج. ويؤدي ذلك إلى ثغرة أمنية تسمح لرموز الجلسة المخترقة بالاستمرار في العمل، حتى بعد تسجيل خروج المستخدم. لا تزال الجلسات المخزنة في قاعدة البيانات تنتهي صلاحيتها، مما يحد من المدة التي يمكن خلالها استغلال هذه الثغرة. لا يمكن للمستخدمين إبطال صلاحية جلساتهم بالكامل عند تسجيل الخروج من أجهزة مشتركة أو أجهزة قد تكون تعرضت للاختراق. ومع ذلك، فإن تغيير كلمة المرور يؤدي إلى إبطال صلاحية جميع الجلسات الأخرى. وقد يتسبب هذا في مشكلات تتعلق بالامتثال لأطر العمل الأمنية التي تتطلب إبطال صلاحية الجلسات بالكامل.