CVE-2026-33267 — Apache Traffic Server: رأس @ غير موثوق → انتحال بيانات وصفية داخلية

CVSS 10.0 (حرِج) · CWE-20 · GHSA-jrh6-9hgv-mqm7

الملخص

يحجز Apache Traffic Server الرؤوس المسبوقة بـ @ (@Ats-Internal, @ICAP-Status, @TCPInfo, ...) لاستخدامها كـبيانات وصفية داخلية: فهي تعيش في بنية الرؤوس داخل الذاكرة لكنها لا تُسلسَل أبدًا عبر الشبكة. في الإصدارات القابلة للاستغلال (9.2.0–9.2.14, 10.1.0–10.1.3) لا تتم إزالة هذه الرؤوس القادمة من طلب العميل واستجابة المصدر قبل تشغيل خطافات الإضافات (TS_HTTP_READ_REQUEST_HDR_HOOK, TS_HTTP_READ_RESPONSE_HDR_HOOK, إضافات إعادة التعيين). يمكن لمهاجم بعيد انتحال البيانات الوصفية الداخلية لـ ATS؛ وقد تثق الإضافات (cache, ACL, header_rewrite, …) بعدها بحالة داخلية يتحكم بها المهاجم — ويتوقف الأثر على الإضافات المستخدمة.

الإصلاح

• 9.2.x: الالتزام a9aee837db — «CVE-2026-33267: 9.2.x: إزالة رؤوس @ الخارجية قبل خطافات الإضافات»
• master/10.1.x: الالتزام 4ab63dbd93 — الإصلاح نفسه
• تعمل الدالة الجديدة HttpTransact::strip_at_headers() قبل خطافَي READ_REQUEST_HDR / READ_RESPONSE_HDR؛ مع إضافة العدّادَين proxy.process.http.client_request_at_headers_stripped / proxy.process.http.origin_response_at_headers_stripped.

التحقق (2026-08-12, RPi5 arm64, Docker)

إضافة at_probe مخصصة تسجّل رؤوس @ عند كلا الخطافين، مع عميل مقبس خام (يُسقط curl رؤوس @ بصمت):

البناء	@Ats-Internal المقدَّم من العميل	@Origin-Test المقدَّم من المصدر
ATS 10.1.2 (قابل للاستغلال)	🟥 تَسرّب (لاحظته الإضافة)	🟥 تَسرّب (8 عمليات رصد)
ATS 10.1.4 (مُصلَح، مبني من المصدر)	✅ أُزيل («تمت إزالة رأس @ الداخلي»)	✅ أُزيل

الضبط السلبي على البناء المُصلَح: 0 عملية رصد من الإضافة (لا ترى الإضافة الرؤوس أبدًا).

الاستخدام

python3 at_headers_spoof.py 127.0.0.1 8080 /

يُرسل GET / مع @Ats-Internal: pwned و@Another-At: test عبر مقبس خام ويطبع ترويسة الاستجابة. على ATS القابل للاستغلال تتلقى الإضافة المخصصة (أو أي إضافة تثق بالبيانات الوصفية @) الرؤوس المنتحلة؛ أما على البناءات المُصلَحة فتتم إزالتها قبل الخطافات.

ملاحظات الأثر

• تصف النشرات الأمنية العامة بدائية انتحال البيانات الوصفية؛ وتعتمد سلسلة استغلال RCE العملية على الإضافة التي تثق بأي بيانات وصفية @ في النشر المستهدف (مثل توجيهات header_rewrite/cache التي تشير إلى حقول @).
• يعرض هذا المستودع البدائية ويتحقق منها (التسرّب مقابل الإزالة) على كلٍّ من البناءات القابلة للاستغلال والمُصلَحة.

المراجع

• نشرة Apache الأمنية: https://lists.apache.org/thread/5prl9glcm9g2swnq9hqxvnokylm1gr6d
• GHSA: https://github.com/advisories/GHSA-jrh6-9hgv-mqm7
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-33267
• الإصلاح 9.2.x: a9aee837db · الإصلاح 10.1.x: 4ab63dbd93