CVE-2024-21534: ثغرة تنفيذ التعليمات البرمجية عن بُعد في jsonpath-plus (<=10.0.7)

الملخص

يحتوي هذا المستودع على استغلال (Proof of Concept - PoC) لثغرة حرجة من نوع تنفيذ التعليمات البرمجية عن بُعد (RCE) في حزمة jsonpath-plus، وتؤثر على الإصدارات السابقة للإصدار 10.0.7. تعود المشكلة إلى عدم كفاية تنظيف المدخلات، مما يسمح للمهاجمين بتنفيذ تعليمات برمجية عشوائية عبر استغلال الإعدادات الافتراضية غير الآمنة في وحدة VM في Node.js. نُشرت الثغرة في 2024-10-11 وحصلت على درجة CVSS تبلغ 9.8 (حرجة).

ملاحظة: على الرغم من المحاولة للتخفيف من هذه الثغرة في الإصدار 10.0.0، تظل الثغرة قابلة للاستغلال عبر بعض الاختلافات في الحمولات (payloads) كما نوقش في القضية رقم 226.

---

الوصف

تمكّن هذه الثغرة المهاجمين عن بُعد من تنفيذ تعليمات برمجية عشوائية على الأنظمة المتأثرة بسبب الاستخدام غير الآمن لوحدة VM في Node.js. تمت معالجة هذه الثغرة مبدئيًا في الإصدار 10.0.0، لكن التحقيقات الإضافية أظهرت أنه لا يزال من الممكن استغلالها بحمولات محددة.

---

إعداد الاستغلال وإعادة الإنتاج

المتطلبات الأساسية

لإعادة إنتاج الاستغلال، تأكد من تثبيت الأدوات التالية:

• Docker

استخدم الموارد المتوفرة لبناء صورتك الخاصة أو استخدم الصورة التي نشرتها على Dockerhub:

خطوات إعادة الإنتاج

1. استنسخ هذا المستودع:

   root@kitploit:~

   git clone https://github.com/your-username/CVE-2024-XXXX-PoC.git
   cd CVE-2024-XXXX-PoC
   TODO
   

---

شكر خاص لأندريا أنجيلو راينيري (Andrea Angelo Raineri) لمساهمته في تحديد هذه الثغرة والإبلاغ عنها، ولمساعدته الكريمة في إيجاد الاستعلام الصحيح لاستغلال الثغرة.