CVE-2026-82876 — تجاوز التحقق من توقيع البرنامج الثابت لمحرك Phison S11 SSD (PoC)

إثبات مفهوم لـ CVE-2026-82876 (CVSS 3.1: 8.2 عالية / CVSS 4.0: 9.3 حرجة، CWE-347): وحدة التحكم PS3111-S11 SATA SSD من Phison تتحقق من توقيعات RSA لتحديثات البرنامج الثابت مقابل معامل عام مضمّن داخل صورة البرنامج الثابت نفسه بدلاً من معامل مثبّت في تخزين وحدة التحكم غير القابل للتغيير. يمكن لأي شخص توليد زوج مفاتيح RSA خاص به، وإعادة توقيع برنامج ثابت معدّل، وتضمين المعامل المطابق — وكل محرك قائم على S11 يقبل الصورة العبث بها كصورة أصلية.

إعلان مصاحب: CVE-2026-84696 (CWE-306) — أوامر بائع فريدة مميزة (VUCs) مكشوفة عبر واجهة ATA مع مصادقة غائبة أو قابلة للتجاوز (CRC-16 تحدي-استجابة)، مما يسمح بوصول قراءة/كتابة إلى ذاكرة وحدة التحكم و NAND الخام — أي نفس استمرارية الزرع بدون حتى المرور عبر مسار تحديث البرنامج الثابت.

بحث الثغرات بواسطة Michael Herbert (trulycrisp). نُشرت CVEs في 31 أغسطس / 2 سبتمبر 2026 (NVD)، والإعلانات بواسطة VulnCheck.

ما يفعله هذا الـ PoC

forge_signature.py هو عرض على مستوى المنطق، بدون تبعيات — مكتبة Python 3 القياسية النقية، بدون الحاجة إلى أجهزة:

يبني صورة اصطناعية تحاكي تخطيط .BIN الموثق لـ S11 (رأس 512 بايت | كود الحارق | مقطع توقيع 3072 بايت | كود عادي) وتوقيع RSA-2048/PKCS#1 v1.5/SHA-256 حقيقي فوقها.
يتحقق منها بمنطق المحرك الخاص — بما في ذلك الخلل: المعامل العام لـ RSA يُقرأ من الإزاحة +768 من الصورة.
يُظهر أن العبث بدون إعادة توقيع يفشل بشكل صحيح (التشفير منفذ بشكل سليم — لكن التثبيت ليس كذلك).
يُظهر أن مقطع التوقيع اختياري: صورة بدون أي توقيع على الإطلاق يتم قبولها (سلوك S11 الموثق).
التجاوز: يولّد زوج مفاتيح المهاجم، ويعيد توقيع الكود المزروع، ويضمّن معامل المهاجم — التحقق ينجح.
يعيد تنفيذ مجموع اختباري للتمهيد بنمط CRC-32 الخاص بوحدة التحكم (من البحث الأصلي) لإظهار ما يتحقق منه مسار التمهيد فعلياً بعد التثبيت: فقط ذلك المجموع الاختباري، الذي يعيد المهاجم حسابه.

الاستخدام

$ python3 forge_signature.py

يستغرق ~5–15 ثانية (توليدان لمفتاح RSA-2048 بـ Python نقي). لا توجد حزم طرف ثالث.

تشغيله ضد محرك حقيقي

يتوقف هذا المستودع عمداً عند مستوى المنطق. للعمل ضد أجهزة فعلية قائمة على S11، استخدم أدوات الباحث الخاصة (Python):

$ git clone https://github.com/trulycrisp/psychite
$ cd psychite && python3 -m pip install -e .
$ example/drive_info.py /dev/sg0                  # تحديد المحرك
$ example/read_firmware.py /dev/sg0 firmware.bin  # تفريغ البرنامج الثابت المثبت
$ example/firmware_tool.py unpack firmware.bin fw/  # فك الحزم للتعديل
$ example/firmware_tool.py pack fw/ firmware.bin    # إعادة الحزم
$ example/update_firmware.py firmware.bin /dev/sg0  # التثبيت (خطير)

لتدقيق حالة قفل VUC لمحرك (فحوصات قراءة فقط)، استخدم disksec:

$ disksec list
$ disksec run /dev/sg0 -vv -o report.txt

الأجهزة المتأثرة

برنامج وحدة تحكم Phison PS3111-S11 الثابت ≤ SBFQT1.3 — لا يتوفر إصلاح حتى وقت كتابة هذا. يغذي S11 حصة كبيرة من محركات SATA SSD الاقتصادية، بما في ذلك (وفقاً لجدول أجهزة الباحث): Kingston A400 / Q500، Toshiba/Kioxia TR200، PNY CS900 / CS2040 / Elite، Seagate BarraCuda Q1، Silicon Power A58، Patriot Burst، MSI S270، Team GX1، وغيرها الكثير.

تحذير

هذا الكود للبحث الأمني المصرح به والتعليم فقط. لا تقم بوميض البرنامج الثابت إلا لمحركات تملكها. يمكن للبرنامج الثابت المعدّل أن يعطّل المحرك بشكل دائم، وتثبيت زرع على محركات لا تملكها جريمة في معظم الولايات القضائية.

المراجع

البحث الأصلي: https://trulycrisp.github.io/drivefirmware/phison_s11/
إعلان VulnCheck (CVE-2026-82876): https://www.vulncheck.com/advisories/phison-ps3111-s11-controller-firmware-signature-verification-bypass
إعلان VulnCheck (CVE-2026-84696): https://www.vulncheck.com/advisories/phison-ps3111-s11-controller-firmware-missing-authentication-on-vendor-unique-commands
NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-82876 · https://nvd.nist.gov/vuln/detail/CVE-2026-84696
أدوات الباحث: https://github.com/trulycrisp/psychite · https://github.com/trulycrisp/disksec
مقال Hunt-Benito: https://www.hunt-benito.com/blog/the-key-ships-with-the-lock-cve-2026-82876-phison-s11-ssd-firmware-signature-bypass/

الأكثر شعبية

the-key-ships-with-the-lock-cve-2026-82876-phison-s11-ssd-firmware-signature-bypass