CVE-2026-40987: تنفيذ PoC لاجتياز المسار في مزامنة الملفات عن بُعد في Spring Integration

هذا المستودع هو PoC أدنى لإعادة إنتاج CVE-2026-40987 الذي تم الكشف عنه من خلال التوصية الأمنية الرسمية لـ Spring.

• التوصية الرسمية: https://spring.io/security/cve-2026-40987/
• العنوان الرسمي: Remote-file synchronizer in Spring Integration writes server-supplied filename under localDirectory without canonicalization
• الخطورة: عالية
• CVSS v3.1: AV:N/AC:H/PR:L/UI:R/S:C/C:L/I:H/A:L
• تاريخ الإفصاح: 2026-06-10

ملخص الثغرة

كان بإمكان مزامن الملفات عن بُعد في Spring Integration استخدام اسم الملف الذي يوفره الخادم البعيد كما هو عند إنشاء مسار التخزين المحلي. إذا لم يكن التحقق من المسار المتعارف عليه (canonical path) كافيًا، يمكن لخادم FTP/SFTP/SMB ضار أو مخترق إرجاع اسم ملف مثل ../escaped-by-ftp-list.txt مما يتيح كتابة ملف خارج localDirectory المحدد.

وفقًا للتوصية الرسمية، هذه ليست مشكلة FTP فقط، بل تنطبق على عائلة مزامنة الملفات عن بُعد FTP/SFTP/SMB في Spring Integration. يستخدم هذا PoC FtpInboundFileSynchronizer لإعادة إنتاج نفس المسار الضعيف بأصغر وأوضح شكل.

النطاق المتأثر

المنتجات المتأثرة وفقًا للتوصية الرسمية:

• Spring Integration

الإصدارات المتأثرة:

• 7.0.0 - 7.0.4
• 6.5.0 - 6.5.8
• 6.4.0 - 6.4.11
• 6.3.0 - 6.3.14
• 5.5.0 - 5.5.20
• الإصدارات الأقدم غير المدعومة قد تكون متأثرة أيضًا.

الإصدارات المصححة:

• 7.0.5 أو 7.0.4.1
• 6.5.9 أو 6.5.8.1
• 6.4.12
• 6.3.15
• 5.5.21

ما يوضحه هذا PoC

يظهر الاختبار مسارين.

1. SpringIntegrationRemoteFilePathTraversalTest

   • يقوم بإعادة إنتاج مسار المزامن عن بُعد المشترك لـ Spring Integration مباشرة.
   • يتحقق مما إذا كان مسار الملف يُنشأ خارج الدليل المحلي المُعد عند اسم ملف بعيد مثل ../escaped-by-spring-integration.txt.

2. SpringIntegrationFtpPathTraversalTest

   • يقوم بتشغيل خادم FTP ضار صغير داخل الاختبار.
   • يضع ../escaped-by-ftp-list.txt في استجابة LIST لخادم FTP.
   • يتحقق من أن FtpInboundFileSynchronizer الفعلي لـ Spring Integration يستلم اسم الملف هذا، ويقوم بتنزيل incoming/../escaped-by-ftp-list.txt، وينشأ الملف الناتج خارج دليل downloads.

التدفق الأساسي لـ PoC هو كما يلي:

configured localDirectory = <temp>/downloads
remote LIST filename      = ../escaped-by-ftp-list.txt
resulting local path      = <temp>/downloads/../escaped-by-ftp-list.txt
normalized location       = <temp>/escaped-by-ftp-list.txt

أي يمكن كتابة ملف خارج دليل التنزيل المقصود من التطبيق.

طريقة التشغيل

ويندوز:

.\mvnw.cmd test

ماك/لينكس:

./mvnw test

النتيجة المتوقعة للإصدار الضعيف:

Tests run: 3, Failures: 0, Errors: 0, Skipped: 0
BUILD SUCCESS

نجاح الاختبار يعني أنه تم إعادة إنتاج السلوك الضعيف. أي في التبعيات الضعيفة، يمر الاختبار ويثبت عملية الكتابة الخارجة عن الدليل.

الإصدارات التي تم التحقق منها محليًا

يمكن التحقق من عدة إصدارات ضعيفة باستخدام الأوامر التالية.

.\mvnw.cmd "-Dspring-integration.version=6.4.10" test
.\mvnw.cmd "-Dspring-integration.version=6.5.8" test
.\mvnw.cmd "-Dspring-integration.version=7.0.4" test
.\mvnw.cmd "-Dspring-integration.version=7.1.0-RC1" test

القيمة الافتراضية لهذا المستودع هي spring-integration.version=7.0.4.

لماذا هي خطيرة

هذه الثغرة تسمح للمهاجم بكتابة محتوى يتحكم به على نظام الملفات المحلي لتطبيق العميل. لا يكون المهاجم عميل HTTP عاديًا، بل يجب أن يكون قادرًا على التلاعب باستجابة خادم ملفات بعيد يثق به التطبيق ويقوم باستطلاعه.

وبالتالي، على الرغم من وجود شروط مسبقة، يمكن أن تحدث التأثيرات التالية إذا تحققت الشروط:

• إنشاء أو استبدال ملفات داخل دليل عمل التطبيق
• وضع ملفات يتحكم بها المهاجم في دليل الإدخال الدفعي، أو جذر الويب، أو الدليل المؤقت، إلخ.
• عند الدمج مع خط أنابيب المعالجة اللاحق، تأثير أكبر على التكامل.

صنفت التوصية الرسمية هذه المشكلة على أنها عالية (High).

الإسناد

تذكر التوصية الرسمية لـ Spring أن الباحثين التاليين أبلغوا عنها بمسؤولية:

• M0untainShley
• SharlongWen
• daehyuh

الروابط المرجعية

• التوصية الرسمية لـ Spring: https://spring.io/security/cve-2026-40987/
• حاسبة CVSS: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:N/AC:H/PR:L/UI:R/S:C/C:L/I:H/A:L&version=3.1