CVE-2026-22015 – حقن متغيرات البيئة في الدالة بدون خادم عبر الحدث

كود البرنامج (محاكاة Python Lambda)

# lambda_env_inject.py - Vulnerable function that reads env from event
import os, json

def handler(event, context):
    # The event contains environment variable overrides (debug feature)
    for key, value in event.get('env', {}).items():
        os.environ[key] = value
    return os.environ.get('SECRET', 'not set')

CVE-2026-22015 – حقن متغيرات البيئة في الدالة بدون خادم عبر الحدث

نظرة عامة

تثق دالة بدون خادم في الحدث الوارد لتعيين متغيرات البيئة، وهو أمر مخصص للتصحيح. يمكن للمهاجم حقن متغيرات بيئة عشوائية، متجاوزًا الأسرار ومغيّرًا سلوك الدالة.

تفاصيل الثغرة

• النوع: حقن / تصعيد صلاحيات
• التأثير: سرقة بيانات الاعتماد، إفساد المنطق.
• السبب الجذري: لا تتحقق الدالة من مصدر الحدث؛ تندمج البيانات التي يتحكم فيها المستخدم في os.environ.

توضيح الاستغلال

شغّل الدالة محليًا واستدعها بالحدث الخبيث:

python lambda_env_inject.py

يتم استبدال السر بالقيمة "attacker_controlled".