📖 نظرة عامة

CVE-2026-28289، التي تُعرف باسم Mail2Shell، هي ثغرة حرجة من نوع تنفيذ الأكواد عن بُعد (RCE) بدون أي نقرة (Zero-Click) تؤثر على FreeScout.

يمكن للمهاجم إرسال بريد إلكتروني مصمم خصيصًا إلى صندوق بريد FreeScout والحصول على وصول إلى شل (Shell) عن بُعد على الخادم المستضيف لها — دون مصادقة ودون أي تفاعل من المستخدم.

🧠 ملخص الثغرة

⚙️ التفصيل الفني

📨 الخطوة 1 — إرسال بريد إلكتروني خبيث

يرسل المهاجم بريدًا إلكترونيًا يحتوي على مرفق مصمم خصيصًا.

🧩 الخطوة 2 — تجاوز تعقيم اسم الملف

يحاول FreeScout حظر الملفات الخطيرة مثل .htaccess، لكن المهاجم:

• يضيف في بداية اسم الملف حرف Unicode بعرض صفري (Zero-Width)
• يتجاوز التحقق من اسم الملف
• يتم حفظ الملف كملف خادم صالح وقابل للتنفيذ

💣 الخطوة 3 — التنفيذ عن بُعد

يصل المهاجم إلى الملف المرفوع عبر مسار ويب وينفذ أوامر عشوائية.

النتيجة:

# Remote shell access achieved
whoami
www-data

✅ إذا نجحت العملية، فإليك بالضبط ما ستراه (خطوة بخطوة):

1. في الطرفية (Terminal) لديك (مباشرة بعد تشغيل السكربت)

✅ Email sent successfully! (Zero-Click RCE triggered)

سترى أيضًا التعليمات الخاصة بالخطوات التالية مطبوعة على الشاشة.

2. عند تشغيل أمر find على خادم FreeScout عبر SSH

سيعيد لك فورًا المسار الكامل الحقيقي للملف المرفوع، على سبيل المثال:

/var/www/html/storage/attachment/2026/03/05/15/webshell.txt

(أو مجلد مشابه باسم التاريخ/الوقت — وهذا يؤكد أن FreeScout حفظ المرفق تلقائيًا).

3. الدليل الحقيقي على النجاح — في متصفحك (هذه هي اللحظة التي تتيقن فيها أنك تمتلك RCE كاملة)

انسخ المسار من الخطوة 2 وافتح عنوان URL هذا:

http://your-freescout-domain.com/storage/attachment/2026/03/05/15/webshell.txt?cmd=whoami

سترى هذا الناتج بالضبط (نص عادي):

www-data

(أو أيًا كان مستخدم Apache/PHP على خادمك — عادةً www-data أو apache أو nobody).

الآن غيّر الأمر وحدّث الصفحة:

http://your-freescout-domain.com/storage/attachment/2026/03/05/15/webshell.txt?cmd=id

سترى:

uid=33(www-data) gid=33(www-data) groups=33(www-data)

وبالنسبة للأمر ls -la:

total 12
drwxr-xr-x 2 www-data www-data 4096 Mar  5 15:00 .
drwxr-xr-x 8 www-data www-data 4096 Mar  5 14:00 ..
-rw-r--r-- 1 www-data www-data   87 Mar  5 15:00 webshell.txt

يظهر هذا الناتج مباشرةً في صفحة المتصفح (داخل وسوم <pre> الخاصة بـ webshell). لا أخطاء، ولا كود PHP مصدري، ولا 404.

هذا يعني أنك تمتلك تنفيذ أكواد كاملًا عن بُعد على الخادم — لقد نجح تجاوز .htaccess + مسافة العرض الصفري (Zero-Width Space) بشكل مثالي، وتمت معالجة مرفق البريد الإلكتروني دون أي تفاعل من المستخدم.

🎯 لماذا تُعد هذه الثغرة خطيرة؟

• ⚡ استغلال بدون أي نقرة (Zero-Click)
• 🌐 سطح هجوم عن بُعد (البريد الإلكتروني)
• 🔓 لا تتطلب أي مصادقة
• 🧨 قدرة كاملة على تنفيذ الأكواد عن بُعد (RCE)
• 📂 احتمال تسريب البيانات
• 🔁 حركة جانبية داخل الشبكات الداخلية

📦 الإصدارات المتأثرة

جميع إصدارات FreeScout:

<= 1.8.206

✅ الإصدار المُصحَّح

قم بالترقية فورًا إلى:

1.8.207 or later

🛡️ خطوات التخفيف

1️⃣ إجراء فوري

• قم بترقية FreeScout إلى أحدث إصدار

2️⃣ تحصين خادم الويب

• قم بتعطيل AllowOverride All في إعدادات Apache
• قيّد التنفيذ داخل مجلدات المرفقات

3️⃣ مراقبة السجلات

ابحث عن:

• ملفات .htaccess مشبوهة
• عمليات رفع مرفقات غير اعتيادية
• محاولات وصول مباشر إلى /storage/attachments/

🔍 نصائح الكشف

قد تتضمن مؤشرات الاختراق (Indicators of Compromise) ما يلي:

• ملفات .htaccess غير معروفة في مجلدات المرفقات
• ارتفاعات مفاجئة في حركة المرور الصادرة
• خادم الويب يطلق عمليات شل (Shell)
• طلبات POST/GET مشبوهة إلى مسارات المرفقات

🧪 إثبات المفهوم (مفاهيمي)

Email → Malicious Attachment (Unicode prefixed filename)
        ↓
Saved to predictable path
        ↓
Web-accessible execution
        ↓
Remote shell

📌 ثغرة ذات صلة

تجاوزت هذه المشكلة الحمايات التي أُضيفت في:

• CVE-2026-27636

مما يدل على أن منطق تعقيم أسماء الملفات غير مكتمل.

📊 تقييم الأثر

🧩 الدروس المستفادة

• يجب تطبيع معالجة Unicode قبل التحقق
• لا تعتمد أبدًا على تصفية أسماء الملفات وحدها
• يجب ألا تسمح مجلدات المرفقات أبدًا بتنفيذ الأكواد
• نواقل الهجوم بدون أي نقرة (Zero-Click) هي أسطح هجوم عالية الخطورة

📚 المراجع

• النشرة الأمنية لـ FreeScout
• سجل NVD الخاص بـ CVE-2026-28289