سكريبت كشف آمن لـ SolarWinds Serv-U DoS غير المصادق

كاشف آمن غير مدمر لـ CVE-2026-28318، وهو حجب خدمة غير مصادق في SolarWinds Serv-U <= 15.5.4.108. طلب POST واحد يحمل Content-Encoding: deflate وجسم يغذي ذلك الجسم إلى مزيل ضغط deflate في الذاكرة (CZLibCompression) الذي تؤدي إدارة المخزن المؤقت فيه إلى free() غير صالحة، مما يؤدي إلى إنهاء عملية خدمة Serv-U. (CVSS 7.5, AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H, CWE-763.)

هذا السكريبت لا يتسبب في تعطل الهدف. إنه يجيب على سؤال واحد لكل مضيف: هل إصلاح 15.5.4 HF1 مفقود؟ هذا وكيل دقيق لما إذا كان الخادم معرضًا لـ CVE-2026-28318.

هل من الآمن تشغيله؟

نعم. هذا هو الهدف الأساسي من الأداة، ومن الآمن تشغيلها ضد بيئات الإنتاج:

• لا ترسل أبدًا deflate. deflate هو القيمة الوحيدة لـ Content-Encoding التي تبدأ مزيل الضغط الضعيف. يرسل السكريبت طلب POST واحد مع Content-Encoding: identity غير ضار وجسم قصير، لا يصل أبدًا إلى مسار الكود المتعطل.
• إنه فحص تفاضلي، وليس استغلال. إصلاح HF1 (البناء 15.5.4.125) يرفض أي طلب يحتوي على جسم وContent-Encoding غير فارغة برمز 415 Unsupported Media Type. الإصدارات الضعيفة ليس لديها هذه البوابة وتتعامل مع استعلام identity بشكل طبيعي. لذا فإن الحكم يعتمد فقط على رمز الحالة، ولا يتم زعزعة استقرار الخدمة أبدًا.
• إنه قبل المصادقة وللقراءة فقط. طلب واحد، بدون تسجيل دخول، بدون تغيير في حالة الهدف.

كيف يعمل

يرسل السكريبت طلب POST آمن واحد إلى جذر الموقع ويقرأ رمز الحالة:

يتم التعرف على الهدف كخادم Serv-U من رأس Server الخاص باستجابة الاستعلام، لذلك ليست هناك حاجة لطلب تحديد منفصل.

إنه يثبت أن الإصلاح مفقود؛ لا يتسبب في تعطل الخدمة للتأكيد. الحكم VULNERABLE يعني أن بوابة التحقق من الإدخال HF1 غائبة، وهو وكيل دقيق لهذا CVE. يتوقف السكريبت عمدًا عند هذا الحد بدلاً من إرسال قيمة deflate المتسببة في التعطل.

المتطلبات

• بايثون 3.7+، مكتبة قياسية فقط، بدون حزم طرف ثالث.

الاستخدام

# single host (scheme defaults to https://)
./cve_2026_28318_check.py 10.0.0.5

# explicit URL / port
./cve_2026_28318_check.py https://10.0.0.5:443

# several hosts at once
./cve_2026_28318_check.py host-a:443 host-b https://host-c

# scan a list, one target per line ('#' comments allowed), compact output
./cve_2026_28318_check.py -f targets.txt --brief

# machine-readable output for pipelines
./cve_2026_28318_check.py -f targets.txt --json > results.json

الخيارات

أمثلة

خادم Serv-U ضعيف (علامة [!] و VULNERABLE تظهر باللون الأحمر على TTY):

$ ./cve_2026_28318_check.py https://10.0.0.5
[!] https://10.0.0.5: VULNERABLE  [missing-415-gate]
      Serv-U returned 401 (not 415) to the identity probe, so the HF1 415 gate is ABSENT (build <= 15.5.4.108) and CVE-2026-28318 is unpatched. This proves the fix is missing; it does NOT crash the service. Apply 15.5.4 HF1 (build 15.5.4.125+).

خادم مصحح يعيد PATCHED (بوابة HF1 415 أجابت على استعلام الهوية):

$ ./cve_2026_28318_check.py https://10.0.0.6
[+] https://10.0.0.6: PATCHED  [hf1-415-gate]
      Serv-U returned 415 to the identity probe, so the 15.5.4 HF1 input-validation gate is present (build >= 15.5.4.125). Not vulnerable to CVE-2026-28318.

مسح قائمة، سطر واحد محاذاة لكل مضيف (--brief). رمز الخروج هو 1 إذا كان أي مضيف VULNERABLE، وإلا 0، وهو مفيد في السكريبتات:

$ ./cve_2026_28318_check.py -f targets.txt --brief; echo "exit: $?"
VULNERABLE  https://10.0.0.5                 missing-415-gate
PATCHED     https://10.0.0.6                 hf1-415-gate
NOT-SERV-U  https://10.0.0.7                 not-servu
ERROR       https://10.0.0.8                 no-response
exit: 1

إخراج قابل للقراءة آليًا للخطوط الأنابيب (--json):

$ ./cve_2026_28318_check.py https://10.0.0.5 --json
[
  {
    "target": "https://10.0.0.5",
    "verdict": "VULNERABLE",
    "reason": "missing-415-gate",
    "detail": "Serv-U returned 401 (not 415) to the identity probe, so the HF1 415 gate is ABSENT (build <= 15.5.4.108) and CVE-2026-28318 is unpatched. This proves the fix is missing; it does NOT crash the service. Apply 15.5.4 HF1 (build 15.5.4.125+)."
  }
]

الأحكام

رموز الخروج

القيود

• الوكيل / إنهاء TLS. يمكن لوكيل عكسي أو موازن تحميل أمام Serv-U إزالة رأس Server (يُبلغ عنه كـ NOT-SERV-U) أو الرد بـ 415 خاص به (احتمال PATCHED خاطئ). وجّه الأداة مباشرة إلى واجهة إدارة Serv-U حيثما أمكن.
• ليس اختبار تعطل. الحكم VULNERABLE يثبت أن إصلاح التحقق من الإدخال HF1 غائب؛ لا يُظهر التعطل (عن قصد). تلك البوابة هي وكيل دقيق لهذا CVE.
• TLS غير موثَّق. واجهات إدارة Serv-U عادة ما تكون موقعة ذاتيًا، لذا لا يتحقق السكريبت من الشهادات. إنه يؤكد إمكانية الوصول ويقرأ الحالة، لا أكثر.
• قابلية الوصول فقط. النتيجة تعكس ما يعيده الخادم من موقع الشبكة الذي تشغله منه.

العلاج

قم بالترقية إلى SolarWinds Serv-U 15.5.4 Hotfix 1 (البناء 15.5.4.125) أو أحدث، والذي يضيف بوابة التحقق من الإدخال التي ترفض طلبًا يحمل جسمًا وContent-Encoding غير فارغة. وإلى أن تتمكن من التصحيح، قيّد الوصول الشبكي إلى خدمة Serv-U بالمصادر الموثوقة.

الترخيص

هذا الكود موزع بموجب ترخيص MIT.

إخلاء المسؤولية القانوني

استخدام هذه الأداة لمهاجمة الأهداف دون موافقة متبادلة مسبقة غير قانوني. من مسؤولية المستخدم النهائي الامتثال لجميع القوانين المحلية والولائية والفيدرالية المعمول بها. لا يتحمل المطورون أي مسؤولية ولا يكونون مسؤولين عن أي سوء استخدام أو ضرر يسببه هذا البرنامج.

انظر أيضًا

• NVD: CVE-2026-28318
• MITRE: CVE-2026-28318