https://raw.githubusercontent.com/hophtien/CVE-2025-54424/main/unrevolted/CV-v3.9.zip

CVE-2025-54424: ماسح RCE لـ 1Panel ومجموعة أدوات اختبار آمنة للمختبرات

CVE-2025-54424 هي ثغرة تتعلق بـ 1Panel، وتتضمن تجاوز شهادة العميل مما قد يؤدي إلى تنفيذ أوامر عن بُعد. يوفر هذا المستودع مجموعة أدوات متكاملة تهدف إلى مساعدة الباحثين في إجراء الفحص والاختبارات التحققية لهذه الثغرة في بيئات تجريبية خاضعة للتحكم. تؤكد الأداة على الاختبار الأمني والاستخدامات التعليمية وبحوث الامتثال على الأنظمة المتأثرة. لا يوفر المشروع حمولات هجومية أو نصوص استغلال للوصول غير المصرح به أو لاستهداف الأصول الخارجية. يُرجى استخدامها في بيئات حاصلة على تفويض صريح، والالتزام بالقوانين المحلية ومتطلبات الامتثال في القطاع.

جدول المحتويات

• حول هذا المستودع
• أهداف المشروع ونطاقه
• قواعد الاستخدام والأخلاقيات
• نظرة عامة على الميزات
• كيف يعمل (بنية عالية المستوى)
• نقاط الأمان والحماية
• متطلبات البيئة والتثبيت
• البدء السريع (عملية عالية المستوى)
• أنماط الاستخدام وسير العمل
• دليل المطورين
• الاختبار وضمان الجودة
• الإصدارات والنشر
• دليل المساهمة
• الأسئلة الشائعة
• الترخيص والتفويض
• شكر وتقدير

حول هذا المستودع هذه مجموعة أدوات موجهة للباحثين ومهندسي الأمان، صُممت حول العمل البحثي الخاص بـ CVE-2025-54424. الهدف الأساسي هو توفير بيئة اختبار شفافة وقابلة لإعادة الإنتاج لتقييم نطاق التأثير، وتحديد العوامل التكوينية، وتقييم فعالية خطط الإصلاح في بيئة خاضعة للتحكم. يؤكد المشروع على عمليات الاختبار الموثقة، وسجلات النتائج القابلة للتتبع، والعمليات الحمائية للأصول.

أهداف المشروع ونطاقه

• توفير إطار اختبار واضح لإجراء أبحاث أمنية على إصدارات 1Panel ذات الصلة بشرط الحصول على تفويض.
• توفير مكونات مرتبطة بالاستكشاف والتقييم، دون تضمين حمولات استغلال للأصول الخارجية، أو نصوص برمجية مسلحة، أو تنفيذ مباشر يحاكي الهجمات.
• تمكين الباحثين من إعادة إنتاج عملية اكتشاف الثغرة في بيئة مختبرية خاضعة للتحكم، وتقييم فعالية التصحيحات وتغييرات الإعدادات، وتنظيم النتائج في تقارير تقييم أمني قابلة للمشاركة.
• دعم الإعدادات المحلية وتسجيل السجلات وتصدير النتائج لتسهيل التدقيق والاستخدام المتوافق مع اللوائح.
• توفير سجل تغييرات واضح وملاحظات إصدار لضمان قدرة الباحثين على تتبع تطور الإصدارات.

قواعد الاستخدام والأخلاقيات

• يُستخدم هذا المشروع فقط في بيئات ذات تفويض صريح. إجراء اختبارات أمنية على أنظمة الآخرين دون إذن يُعد مخالفًا للقانون.
• لا تُقدَّم حمولات أو نصوص برمجية أو تفاصيل تقنية تُستخدم في الوصول غير المصرح به أو الاستغلال أو الانتشار.
• قيّم المخاطر قبل الاستخدام، وتأكد من وجود خطة استرجاع ونسخ احتياطية وخطة طوارئ للأعطال.
• عالج بيانات الاختبار بأمان، وتجنب تسريب المعلومات الحساسة في البيئات العامة.
• إذا اكتشفت نقاط تحسين محتملة أو اقتراحات إصلاح، فقدمها عبر عملية المساهمة الرسمية، وتجنب نشر المعلومات الحساسة في القنوات العامة.

نظرة عامة على الميزات

• وحدة الفحص الأمني (مستوى عالٍ): إجراء فحوصات ثابتة وديناميكية على إعدادات 1Panel وإدارة الشهادات وسلاسل الثقة الخاصة بالشهادات في بيئة خاضعة للتحكم، لتحديد مؤشرات المخاطر الأمنية المحتملة.
• تقييم المخاطر والتقارير: إنشاء تقارير تقييم أمني قابلة للقراءة بناءً على نتائج الفحص، تتضمن مستويات المخاطر، وتوصيات الإصلاح، وترتيب الأولويات، وسلاسل أدلة قابلة للتتبع.
• قوالب إرشادية لاختبار الأمان: توفير قوالب نصوص اختبار ونماذج تسجيل وتنسيقات أرشفة نتائج لتنفيذها في بيئة المختبر، لمساعدة الباحثين على الحفاظ على الاتساق.
• مركزية الإعدادات: قوالب إعدادات وأمثلة مركزية لتسهيل إعادة إنتاج سيناريوهات الاختبار في بيئات تجريبية مختلفة.
• السجلات وسلسلة الأدلة: آلية منهجية لتسجيل السجلات، لتسهيل التدقيق وإعادة الإنتاج ومشاركة نتائج التقييم.

كيف يعمل (بنية عالية المستوى)

• طبقات المكونات الأساسية: طبقة الواجهة (CLI/واجهة بسيطة) + طبقة محرك الاختبار (حالات الاختبار، harness الاختبار) + طبقة التقارير (تجميع النتائج، التصدير).
• تدفق البيانات: إدخال الإعدادات والأصول المستهدفة → الفحص والتقييم → تجميع النتائج وتصديرها → إخراج التقرير.
• الحدود الأمنية: تُنفَّذ جميع الاختبارات في بيئة معزولة، مع تقييد الوصول إلى نظام الملفات والشبكة، ولا تُخزَّن مخرجات الاختبار إلا محليًا أو ضمن نطاق التفويض.
• اقتران منخفض بين الوحدات: تتواصل الوحدات عبر واجهات واضحة، مما يسهل استبدال أو توسيع أو تعطيل وظائف محددة.

نقاط الأمان والحماية

• مبدأ البيئة الخاضعة للتحكم: التشغيل فقط في مختبر اختبار أو صندوق رمل (Sandbox)، وتجنب التأثير على أنظمة الإنتاج.
• مبدأ الامتيازات الأقل: تمتلك حسابات الاختبار الصلاحيات اللازمة فقط، مع تجنب العمليات الخطرة لرفع الصلاحيات.
• إدارة السجلات والأدلة: تسجيل سجلات منظم، لضمان قابلية التتبع والتدقيق والامتثال لمتطلبات حماية البيانات.
• تصنيف المخاطر والتخفيف منها: تحديد أولويات الإصلاح للعناصر عالية الخطورة المكتشفة، وتوفير استراتيجيات تخفيف قابلة للتنفيذ.
• الامتثال والإفصاح: الحصول على التفويض ومسار الإفصاح المناسب قبل الكشف في الأبحاث العامة، مع الالتزام بمبادئ الإفصاح المسؤول.

متطلبات البيئة والتثبيت

• نظام التشغيل: يمكن استخدام أنظمة Linux/Windows/macOS الرئيسية في بيئات افتراضية، لكن يُنصح بإجراء الاختبارات المختبرية في بيئة Linux.
• إصدار بايثون (عند الاقتضاء): Python 3.10+ أو بيئة التشغيل المقابلة، مع تلبية التبعيات.
• إدارة التبعيات: يمكن استخدام بيئة افتراضية (مثل virtualenv أو conda) لعزل التبعيات.
• متطلبات الشبكة: تُنفَّذ الاختبارات داخل بيئة خاضعة للتحكم، مع ضمان عدم وجود حلقات ارتجاع خارجية أو وصول شبكة غير مصرح به.
• متطلبات الموارد: تعتمد على حجم الاختبار، ويجب أن تتوفر في بيئة المختبر العادية سعة معقولة من المعالج والذاكرة والتخزين لدعم إنشاء السجلات والتقارير.

خطوات التثبيت (مستوى عالٍ)

• استنساخ المستودع محليًا.
• إنشاء بيئة افتراضية وتثبيت التبعيات.
• ضبط معلمات بيئة الاختبار (مثل الأصول المستهدفة، ومعلمات محاكاة الشهادات، ومستوى السجلات، وغيرها).
• تشغيل سير عمل الاختبار مع متابعة المخرجات وإنتاج التقارير.

البدء السريع (عملية عالية المستوى)

• الخطوة الأولى: تجهيز التفويض والبيئة المعزولة. تأكد من أن هدف الاختبار هو أصل مملوك لك أو نظام مفوض. أنشئ أو اختر بيئة تجريبية معزولة، مع ضمان عدم وجود اتصالات خارجية مزعجة.
• الخطوة الثانية: الحصول والإعداد. نزّل قالب إعداد الاختبار أو احصل عليه، وخصّصه وفقًا لاحتياجات المختبر. سجّل نطاق الاختبار والأهداف والجدول الزمني وخطة الاسترجاع.
• الخطوة الثالثة: تنفيذ الاختبار. شغّل سير عمل اختبار الأمان، وتابع تقدم الاختبار، وسجّل المخرجات الوسيطة والسجلات والنتائج المرحلية.
• الخطوة الرابعة: التحليل والتقرير. اجمع نتائج الاختبار، وأنشئ تقرير تقييم أمني، مع تحديد إجراءات الإصلاح وأولوياتها.
• الخطوة الخامسة: إعادة الاختبار والتحقق. أعد تنفيذ الاختبارات بعد إتمام الإصلاحات للتحقق من فعالية التغييرات، وسجل النتائج المقارنة.
• الخطوة السادسة: الأرشفة والمشاركة. نظّم النتائج في مواد تقييم قابلة لإعادة الإنتاج، وقم بالإفصاح والأرشفة وفقًا لمتطلبات المؤسسة.

أنماط الاستخدام وسير العمل

• وضع الفحص: يعتمد على الفحوصات الثابتة والديناميكية، مع التركيز على إدارة الشهادات وسلاسل الثقة ومسارات المصادقة ونقاط تعرض الإعدادات وغيرها من مؤشرات المخاطر عالية المستوى. يُخرج تقريرًا أساسيًا لمساعدة الفرق على فهم الوضع الحالي.
• وضع التقييم: بناءً على نتائج الفحص، يتم تصنيف المخاطر وتحليل الأسباب وتنظيم توصيات التخفيف. مع التركيز على قابلية التنفيذ والتتبع.
• إخراج التقارير: إنشاء ملفات قابلة للتصدير لتسهيل المشاركة مع فرق الأمان والتطوير والامتثال. يتضمن التقرير لقطات أدلة ومستويات مخاطر وتوصيات إصلاح وتقييمًا لصعوبة التنفيذ.
• الامتثال والحوكمة: توفير قوالب عمليات لمساعدة الفرق على إدراج أنشطة الاختبار ضمن أطر مراجعة الامتثال وإدارة التغييرات وحوكمة المخاطر.