CVE-2026-21020 – ثغرة إلغاء التسلسل متعدد الأشكال في تحليل رسائل Protobuf

كود البرنامج (Python مع protobuf)

# proto_vuln.py - Insecure handling of Any type
import addressbook_pb2  # Example protobuf

# Simulated deserialization that trusts an injected type_url
from google.protobuf import any_pb2

any_msg = any_pb2.Any()
any_msg.type_url = "type.googleapis.com/attacker.Evil"
any_msg.value = b'\x0a\x05admin'  # serialized payload

# Application unpacks to expected type but could instantiate arbitrary class if using dynamic loading
if any_msg.Is(addressbook_pb2.Person.DESCRIPTOR):
    person = addressbook_pb2.Person()
    any_msg.Unpack(person)
    print("Person unpacked, but type_url was spoofed!")

CVE-2026-21020 – إلغاء التسلسل متعدد الأشكال في Protobuf عبر Any

نظرة عامة

تستخدم إحدى الخدمات نوع Any الخاص بـ Protocol Buffers لتغليف الرسائل وتفكيكها ديناميكيًا باستخدام حقل type_url دون التحقق من النوع المتوقع. يمكن للمهاجم إرسال رسالة تحتوي على type_url مزيّف يشير إلى فئة رسائل خطيرة (أو غير مقصودة)، مما يؤدي إلى أخطاء منطقية أو تنفيذ برمجيات.

تفاصيل الثغرة

• النوع: إلغاء تسلسل بيانات غير موثوقة / خلط الأنواع (Type Confusion)
• الأثر: احتمالية تنفيذ برمجيات عن بُعد (RCE) أو تصعيد صلاحيات.
• السبب الجذري: يقوم الخادم بإلغاء تسلسل الحمولة بناءً على type_url الذي يتحكم فيه المهاجم دون قائمة بيضاء.

إثبات الاستغلال

شغّل المحاكاة:

pip install protobuf
python proto_vuln.py

يُظهر ذلك أن نوع Any يمكن تزييفه؛ وإذا كان الكود يقوم بتحميل الفئة ديناميكيًا من type_url، فقد يؤدي ذلك إلى تنفيذ برمجيات عن بُعد (RCE).