CVE-2025-10230 — ثغرة حقن أوامر في خطاف WINS لـ Samba

لا يتحمل المؤلف أي مسؤولية عن إساءة الاستخدام أو الأضرار الناجمة عن هذه الأداة.
يتم توفير البحث لأغراض تعليمية ودفاعية فقط.

الوصف

يحتوي هذا المستودع على إثبات المفهوم (PoC) لـ CVE-2025-10230، وهي ثغرة حقن أوامر في آلية خطاف WINS في Samba.

تؤثر الثغرة في تركيبات Samba حيث:

• wins support = yes مفعّل
• تم تعريف أمر شل مخصص في wins hook = ...
• يتلقى الخادم طلب تسجيل NetBIOS مشوّه
• يتم دمج اسم NetBIOS مباشرة في استدعاء الشل، مما يتيح تنفيذ الأوامر

يوضح إثبات المفهوم هذا كيف يمكن لحزم تسجيل اسم NetBIOS المصممة خصيصًا تشغيل أوامر شل عشوائية داخل Samba.

معلومات تقنية

CVE-2025-10230 هي ثغرة حقن أوامر في تطبيق خادم WINS في Samba، وتحديدًا عند العمل كوحدة تحكم مجال Active Directory مع تفعيل دعم WINS ومعامل 'wins hook' مُعدّل.

• آلية الثغرة: عند استلام حزمة تسجيل WINS، يتم إدراج اسم NetBIOS من الحزمة مباشرةً في أمر شل يتم تنفيذه بواسطة عملية Samba. لا يتم إجراء أي تحقق أو تهريب لاسم NetBIOS، والذي يمكن أن يصل إلى 15 حرفًا وقد يتضمن أحرفًا شِلية.
• ناقل الهجوم: يرسل المهاجم حزمة تسجيل WINS مصممة خصيصًا إلى منفذ UDP 137 تحتوي على اسم NetBIOS مع أحرف شِلية (مثل ;، |، &، أو backticks). يتم تنفيذ كود الشل المحقون بصلاحيات عملية Samba، والتي غالبًا ما تكون صلاحيات الجذر.
• السبب الجذري: نقص تعقيم المدخلات لحقل اسم NetBIOS قبل تمريره إلى أمر شل (CWE-78: حقن أوامر نظام التشغيل).
• التهيئة المتأثرة: فقط خوادم Samba التي تعمل كوحدات تحكم مجال Active Directory مع 'wins support = yes' ومعامل 'wins hook' غير فارغ في smb.conf تكون معرضة للخطر. التهيئة الافتراضية غير متأثرة.

حساب CVSSv3

CVSS:3.1: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H  (10.0)

توفر التصحيح

تم نشر التصحيحات التي تعالج هذه المشكلة على:

https://www.samba.org/samba/security/

بالإضافة إلى ذلك، تم إصدار Samba 4.23.2 و 4.22.5 و 4.21.9 كإصدارات أمنية لتصحيح الخلل. يُنصح مسؤولي Samba بالترقية إلى هذه الإصدارات أو تطبيق التصحيح في أقرب وقت ممكن.

ناقل الهجوم (ملخص تقني)

1. يقوم المهاجم بصياغة حزمة تسجيل خدمة أسماء NetBIOS (NBNS)
2. يحتوي الاسم على أحرف حمولة ضمن الحد المسموح ≤15 حرفًا
3. يستقبل Samba طلب WINS على المنفذ 137/UDP
4. يتم تنفيذ معالج wins hook مع إدخال غير معقم
5. يتم تشغيل الحمولة بصلاحيات عملية Samba (غالبًا الجذر)

القيود

• لا يمكن أن تحتوي أسماء NetBIOS على < > ;**
• يجب أن يكون حجم الحمولة ≤ 15 حرفًا
• يحدث الحقن من خلال وسائط موضعية

أمثلة لأوامر يتم تنفيذها بنجاح:

ls
pwd
uname

المسار: /etc/samba/smb.conf

[global]
    wins support = yes
    wins hook = /usr/bin/ls

استخدام إثبات المفهوم

python3 poc/cve-2025-10230.py \
    -t <TARGET_IP> \
    -n <PAYLOAD_NAME> \
    -i <SOURCE_IP>

مثال 192.168.0.10 (خادم Samba) | bin (عرض الدليل) | 192.168.0.50 (أي شيء)

python3 poc/cve-2025-10230.py -t 192.168.0.10 -n bin -i 192.168.0.50

هيكل المستودع

CVE-2025-10230/
│
├── poc/
│   └── cve-2025-10230.py
│
├── evidence/
│   └── logs.md
│
├── conf/
│   └── smb.conf
│
└── README.md

المؤلف والاتصال

- الباحث: krakhen.dev
- GitHub: @nehkark
- البريد الإلكتروني: [email protected]
- الموقع: https://vciso.cloud
- المرجع: https://github.com/dptsec/CVE-2025-10230/