CVE-2026-27626 — حقن أوامر نظام التشغيل في OliveTin (إثبات المفهوم)

الملخص

OliveTin هي واجهة ويب مستضافة ذاتيًا لعرض أوامر شل محددة مسبقًا للمستخدمين النهائيين. يحتوي هذا المستودع على إثبات مفهوم يُظهر متجهين مستقلين لحقن أوامر نظام التشغيل في مسار تنفيذ وضع Shell في OliveTin، وكلاهما يتجاوز فحوصات سلامة وسيطات الشل التي يقصدها التطبيق.

الخلفية

يسمح OliveTin للمسؤول بتعريف إجراءات — أوامر شل مع وسيطات ذات معاملات — يمكن للمستخدمين المصادق عليهم (أو، حسب التكوين، المستخدمين المجهولين) تشغيلها من واجهة ويب أو عبر webhooks. لمنع المستخدمين من الخروج من الأمر المقصود عبر قيم الوسيطات، يقوم OliveTin بتشغيل كل وسيطة يقدمها المستخدم من خلال checkShellArgumentSafety() قبل تضمينها في سلسلة الأوامر وتسليمها إلى sh -c.

هذه هي الحدود الأمنية التي تكسرها الثغرة. يميز OliveTin بشكل صريح بين "المسؤول يعرّف الأمر" و"المستخدم يوفّر القيمة" — فحص الأمان موجود تحديدًا لمنع المستخدم من تحويل قيمة وسيطة إلى وسيلة لتنفيذ أوامر عشوائية.

السبب الجذري

المتجه 1 — نوع الوسيطة password غير مُفحَص

checkShellArgumentSafety() تنظف فقط قائمة مسموح بها ثابتة من أنواع الوسيطات:

func checkShellArgumentSafety(argType string, value string) bool {
    dangerousTypes := []string{"string", "int", "bool", "choice"}
    for _, dt := range dangerousTypes {
        if argType == dt {
            return sanitizeInput(value)
        }
    }
    // BUG: "password" type not checked
    return true // Assumes safe
}

password هو نوع وسيطة موثق ومقصود لقبول إدخال حساس من المستخدم — لكنه ليس ضمن dangerousTypes، لذا يقع إلى return true غير منقى. أي مستخدم قادر على ملء وسيطة من نوع password على إجراء يعمل في وضع Shell يمكنه حقن محارف شل (;، |، `، $()، إلخ) التي تنفذ أوامر عشوائية كمستخدم عملية OliveTin.

قابلية الاستغلال هنا تضخمها إعدادات OliveTin الافتراضية: التسجيل الذاتي مفعّل و authType: none افتراضيًا، لذا في العديد من النشرات الفعلية "المستخدم المصادق عليه" لا يتطلب أي حاجز حقيقي على الإطلاق.

المتجه 2 — استخراج JSON من webhook يتجاوز فحص النوع بالكامل

بشكل مستقل عن المتجه 1، معالج webhook في OliveTin يستخرج أزواج المفاتيح/القيم العشوائية من جسم JSON الخاص بـ webhook الوارد ويحقنها مباشرة في ExecutionRequest.Arguments (service/internal/executor/handler.go:153-157).

نظرًا لأن هذه المفاتيح المشتقة من webhook لا تحتوي على ActionArgument مطابق مُعرّف في تكوين الإجراء، فإن parseActionArguments() (arguments.go) لا يجد نوع وسيطة لفحصه و يتجاوز checkShellArgumentSafety() بالكامل — ليس فقط لـ password، بل لجميع الأنواع. تُضمن القيمة الخام في أمر الشل وتُمرر إلى sh -c دون أي تحقق.

نظرًا لأن استقبال webhooks الواردة من مصادر خارجية/غير موثوقة هو أحد حالات الاستخدام الأساسية المدعومة من OliveTin، فإن هذا المتجه لا يتطلب أي مصادقة على الإطلاق.

الأثر المشترك

أي مثيل OliveTin يعمل في وضع Shell مع أي إجراء يُفعّل عبر webhook يكون عرضة لـ تنفيذ كود عن بعد غير مصادق عليه، مع صلاحيات عملية OliveTin — مما قد يؤدي إلى اختراق كامل للمضيف اعتمادًا على كيفية نشر OliveTin (على الجهاز الفعلي مقابل حاوية، والصلاحيات الممنوحة، إلخ).

التهيئة المتأثرة

من المحتمل أن تكون عرضة للخطر إذا كان مثيل OliveTin لديك:

• يشغّل الإجراءات في وضع Shell، و
• لديه إجراء واحد على الأقل بنوع وسيطة password مكشوف للمستخدمين غير الموثوقين/ذوي الصلاحيات الأقل (المتجه 1)، أو
• لديه أي إجراء قابل للتشغيل عبر webhook، خاصةً إذا كان يمكن الوصول إليه من خارج نطاق الثقة الخاص بك (المتجه 2)

الاستخدام

python3 CVE-2026-27626.py -u <TARGET> [OPTIONS]

الوسائط

الأثر

• تنفيذ أوامر نظام تشغيل عشوائية كحساب خدمة OliveTin
• اختراق كامل للمضيف أو الحاوية التي تشغل OliveTin
• حركة جانبية إلى أي بيئة يمكن لـ OliveTin الوصول إليها (غالبًا ما يعمل بصلاحيات مرتفعة لإدارة خدمات أخرى)
• المتجه 2 يتيح ذلك بدون أي بيانات اعتماد، ضد أي مثيل مواجه للإنترنت يقبل webhooks

المعالجة

1. قم بترقية OliveTin إلى 0.0.0-20260222101908-4bbd2eab1532 أو أحدث فور توفره في قناة التحديث الخاصة بك.
2. حتى يتم التصحيح:
   • عطّل وضع Shell إذا لم يكن مطلوبًا.
   • تجنب استخدام الإجراءات المُفعّلة عبر webhook في وضع Shell.
   • أزل أو تجنب الوسيطات من نوع password على أي إجراء يمكن الوصول إليه من قبل مستخدمين غير موثوقين.
   • عطّل التسجيل الذاتي وفرض مصادقة حقيقية (authType غير none).
   • قيّد الوصول إلى نقطة نهاية webhook الخاصة بـ OliveTin للمصادر الموثوقة فقط (قائمة السماح في جدار الحماية/الوكيل العكسي).
   • شغّل OliveTin في حاوية بمجموعة صلاحيات ضئيلة وملف تعريف seccomp تقييدي للحد من نطاق الانفجار حتى في حالة الاستغلال.
   • راقب سجلات عملية OliveTin / سجلات تدقيق المضيف لعمليات فرعية غير متوقعة تنتجها خدمة OliveTin.

الجدول الزمني

المراجع

• تنبيه الأمان على GitHub: GHSA-49gm-hh7w-wfvf
• NVD: CVE-2026-27626
• مشروع OliveTin: github.com/OliveTin/OliveTin

الاستخدام المسؤول

تم نشر إثبات المفهوم هذا لأغراض البحث الدفاعي وهندسة الاكتشاف واختبار الاختراق المصرح به فقط. لا تقم بتشغيله ضد أنظمة لا تملكها أو ليس لديك إذن كتابي صريح لاختبارها. قد يؤدي إساءة استخدام هذا الكود ضد أنظمة الطرف الثالث إلى انتهاك قوانين جرائم الكمبيوتر (مثل CFAA في الولايات المتحدة، وقانون إساءة استخدام الكمبيوتر في المملكة المتحدة، وما يعادلها في أماكن أخرى) ويكون المسؤولية الوحيدة على الشخص الذي ينفذه.

المؤلف

Md Saikat (0xh7ml)