CVE-2026-39842

ملخص

OpenRemote هي منصة إنترنت الأشياء مفتوحة المصدر. تحتوي الإصدارات 1.21.0 وما دونها على ثغرتين مترابطتين لحقن التعبيرات في محرك القواعد تسمحان بتنفيذ تعليمات برمجية عشوائية على الخادم. يقوم محرك قواعد JavaScript بتنفيذ البرامج النصية المقدمة من المستخدم عبر Nashorn's ScriptEngine.eval() دون عزل (sandboxing) أو تصفية للفئات أو قيود على الوصول، كما أن فحص التفويض في RulesResourceImpl يقتصر فقط على تقييد قواعد Groovy للمستخدمين المتميزين (superusers) بينما يترك قواعد JavaScript غير مقيدة لأي مستخدم يمتلك دور write:rules. بالإضافة إلى ذلك، يحتوي محرك قواعد Groovy على مرشح أمان GroovyDenyAllFilter تم تعريفه ولكن لم يتم تسجيله أبدًا، حيث أن كود التسجيل معلّق كتعليق، مما يجعل SandboxTransformer غير فعّال لقواعد Groovy التي ينشئها المستخدمون المتميزون. يمكن لمهاجم غير متميز يمتلك دور write:rules إنشاء مجموعات قواعد JavaScript تُنفَّذ بوصول كامل إلى JVM، مما يتيح تنفيذ تعليمات برمجية عن بُعد بصلاحيات الجذر (root)، وقراءة ملفات عشوائية، وسرقة متغيرات البيئة بما في ذلك بيانات اعتماد قاعدة البيانات، وتجاوز كامل لعزل تعدد المستأجرين (multi-tenant isolation) للوصول إلى البيانات عبر جميع النطاقات (realms). تم إصلاح هذه المشكلة في الإصدار 1.22.0.

• CVE-2026-39842استغلال

  ثغرة حرجة في تنفيذ التعليمات البرمجية عن بُعد في محرك القواعد الخاص بـ OpenRemote تسمح للمستخدمين المصادق عليهم بدور `write:rules` بتنفيذ تعليمات برمجية عشوائية على الخادم بصلاحيات الجذر (root).