أداة بناء تحديات SecDim Repro — انحراف الضمانات

إعادة إنتاج عملية لتحدٍّ أمني مقترح مستوحى من CVE-2026-88861، المنشور في 10 سبتمبر 2026.

المفهوم الأمني

يتحقق التطبيق بشكل صحيح من جلسة موقّعة، ويتحقق بشكل صحيح من دور admin، لكنه يدمج خاصيتين أمنيتين مستقلتين: الهوية/الدور وضمان المصادقة. يمكن لجلسة aal1 المعتمدة على كلمة المرور فقط استدعاء مسار إنشاء بيانات اعتماد مميز يتطلب خطوة تصعيدية للمصادقة متعددة العوامل (aal2). مفتاح المسؤول الناتج المرتبط بالتطبيق دائم ويظل قابلاً للاستخدام بعد تسجيل خروج الجلسة الأصلية.

هذا يحاكي فشلاً واقعياً في تجاوز المصادقة متعددة العوامل عند حدود التفويض، بدلاً من توقيع معطوب أو رمز مزوّر.

إعادة الإنتاج العملية

go test -v ./...

تُظهر الاختبارات سلسلة الهجوم المحلية الكاملة:

1. الحصول على جلسة مسؤول صالحة وموقّعة معتمدة على كلمة المرور فقط (aal1)؛
2. استخدام مسار التفويض الثغرة لإصدار مفتاح API مميز؛
3. تسجيل خروج الجلسة الأصلية؛
4. الاستمرار في تنفيذ إجراءات مميزة باستخدام المفتاح المُصدَر.

لا توجد خدمة خارجية أو بيانات اعتماد أو هدف إنتاجي متضمن.

الشكل المقصود للتحدي

• التقنية: Go، المكتبة القياسية فقط
• الصعوبة المقترحة: متوسط / متقدم
• الدرس الأساسي: المصادقة متعددة العوامل هي خاصية تفويض للعمليات الحساسة، وليست مجرد خطوة في واجهة تسجيل الدخول.
• مهمة المتعلم: الحفاظ على فحوصات الدور وإبطال الجلسة وسلوك المستخدم العادي مع فرض ضمان الخطوة التصعيدية عند كل حد دائم لتصعيد الامتيازات.
• اتجاهات الاختبارات المخفية: فحوصات مستقلة للدور مقابل AAL، الجلسات القديمة/المُبطلة، الجلسات المخفّضة، إنشاء/تدوير المفاتيح، ادعاءات الضمان المشوّهة، وضمان عدم منح AAL2 دور المسؤول عن طريق الخطأ.
• لماذا هو غير تافه: الرمز صالح وموقّع بشكل صحيح؛ الدور صالح؛ الفشل دلالي ويحدث بعد نجاح المصادقة. الإصلاحات التي تقتصر على تقوية التحقق من الرمز، أو إضافة المصادقة متعددة العوامل عند تسجيل الدخول، أو فحص الدور فقط، لا تزال تفشل في تلبية العقد الأمني.

التصنيف

• CWE-288 — تجاوز المصادقة باستخدام مسار أو قناة بديلة
• CWE-287 — مصادقة غير سليمة
• OWASP A07:2021 — إخفاقات التعريف والمصادقة
• موضوعات OWASP API5/API6 — تفويض الوظائف وتدفقات الأعمال الحساسة

الأساس المرجعي

السيناريو مستوحى من فشل فرض مستوى الضمان الموصوف في CVE-2026-88861 (تجاوز جلسة Capgo/Supabase AAL1 للمصادقة متعددة العوامل على مسار RBAC مميز). إعادة الإنتاج هذه أصلية ومختصرة ومكتفية ذاتياً؛ وهي لا تنسخ المشروع المتأثر.

الإصلاح الموضّح

يتطلب secureCreatePrivilegedAPIKey كلاً من تفويض admin وضمان الخطوة التصعيدية aal2، بينما يفرض activePrincipal بشكل مستقل إبطال الجلسة. تتحقق الاختبارات عمداً من أن أياً من الشرطين لا يحل محل الآخر.