CVE-2026-30480: LibreNMS تضمين الملفات المحلي (LFI) عبر اجتياز المسار

نظرة عامة

توجد ثغرة تضمين الملفات المحلي (LFI) في وحدة NFSen الخاصة بـ LibreNMS. يمكن للمهاجم المُصادق استغلال تسلسلات اجتياز المسار لتضمين ملفات PHP عشوائية من نظام ملفات الخادم.

الحقل	القيمة
المنتج	LibreNMS
البائع	مشروع LibreNMS
نوع الثغرة	تضمين الملفات المحلي (LFI) / اجتياز المسار
CWE	CWE-98, CWE-22
درجة CVSS	7.5 - 8.5 (عالية)
المصادقة مطلوبة	نعم
تاريخ الاكتشاف	2026-02-01

المكوّن المتأثر

الملف: includes/html/pages/device/nfsen.inc.php
الأسطر: 46-48

if (is_file('includes/html/pages/device/nfsen/' . $vars['nfsen'] . '.inc.php')) {
    include 'includes/html/pages/device/nfsen/' . $vars['nfsen'] . '.inc.php';
} else {
    include 'includes/html/pages/device/nfsen/general.inc.php';
}

وصف الثغرة

يتم اشتقاق المعامل $vars['nfsen'] من إدخال المستخدم ($_GET/$_POST) ويتم دمجه مباشرة في عبارة include() دون تعقيم مناسب. التحقق الوحيد المُنفَّذ هو فحص is_file()، والذي لا يمنع تسلسلات اجتياز المسار.

السبب الجذري

1. يتدفق إدخال المستخدم مباشرة إلى بناء مسار الملف
2. لا يوجد تعقيم لأحرف اجتياز المسار (../)
3. لا يوجد تحقق من القائمة البيضاء للقيم المسموح بها
4. is_file() يتحقق فقط من الوجود، وليس من سلامة المسار

إثبات المفهوم

المتطلبات الأساسية

• مستخدم LibreNMS مُصادق
• الوصول إلى جهاز واحد على الأقل مع تبويب Netflow/NFSen

خطوات إعادة الإنتاج

1. سجّل الدخول إلى LibreNMS كمستخدم مُصادق

2. انتقل إلى تبويب Netflow لأي جهاز:

   https://[TARGET]/device/[DEVICE_ID]/tab=netflow
   

3. أضف المعامل الخبيث:

   https://[TARGET]/device/[DEVICE_ID]/tab=netflow?nfsen=..%2f..%2fapi-access
   

4. لاحظ أنه يتم تحميل محتوى صفحة الوصول إلى API بدلاً من محتوى NFSen

السلوك المتوقع مقابل الفعلي

السيناريو	المتوقع	الفعلي
طلب عادي	صفحة NFSen العامة (التدفقات، الحزم، الحركة)	صفحة NFSen العامة
طلب خبيث	صفحة NFSen العامة	محتوى صفحة الوصول إلى API

التأثير

نوع التأثير	الوصف
كشف المعلومات	تضمين وتنفيذ ملفات .inc.php عشوائية
تصعيد الامتيازات	الوصول إلى صفحات مخصصة للمسؤولين كمستخدم بصلاحيات منخفضة
تنفيذ كود عن بُعد محتمل (RCE)	إذا تمكن المهاجم من التحكم في محتوى أي ملف .inc.php

لقطات الشاشة

0. إصدار LibreNMS

الرابط: https://[REDACTED]/about

الإصدار: 22.11.0-23-gd091788f2 (الخميس 15 ديسمبر 2022)

الوصف: معلومات إصدار LibreNMS تُظهر الإصدار المُختبر. هذا الإصدار بعد تصحيح CVE-2021-44278 (v21.12.0)، مما يؤكد أن هذه ثغرة جديدة غير مُصححة.

---

1. صفحة NFSen العادية

الرابط: https://[REDACTED]/device/114/tab=netflow

الوصف: صفحة NFSen/Netflow العادية تُظهر أقسام التدفقات والحزم والحركة. هذا هو السلوك المتوقع دون استغلال.

---

2. الاستغلال - صفحة الوصول إلى API (مستخدم مسؤول)

الرابط: https://[REDACTED]/device/114/tab=netflow?nfsen=..%2f..%2fapi-access

الحمولة: ..%2f..%2fapi-access (اجتياز مسار مُرمَّز بعنوان URL)

الوصف: عند حقن الحمولة الخبيثة، يتم تحميل محتوى صفحة الوصول إلى API بدلاً من محتوى NFSen. يُظهر هذا نجاح تضمين الملفات المحلي - تم تضمين ملف api-access.inc.php بدلاً من general.inc.php.

---

3. الاستغلال - خطأ الصلاحيات (مستخدم قراءة عام)

الرابط: https://[REDACTED]/device/114/tab=netflow?nfsen=..%2f..%2fapi-access

الحمولة: ..%2f..%2fapi-access (اجتياز مسار مُرمَّز بعنوان URL)

الوصف: نفس الاستغلال تمت محاولته مع مستخدم بصلاحيات أقل (قراءة عامة). تعرض الصفحة خطأ "ليس لديك صلاحيات كافية لعرض هذه الصفحة". يؤكد هذا:

1. أن ثغرة LFI عملت (تم تضمين الملف)
2. تم تفعيل فحص الصلاحيات الداخلي للملف المستهدف
3. يتم عرض محتوى مختلف مقارنة بصفحة NFSen العادية

الإصدارات المتأثرة

• إصدارات LibreNMS التي تحتوي على وحدة NFSen
• تم الاختبار على: 22.11.0-23-gd091788f2 (15 ديسمبر 2022)
• الثغرة موجودة في فرع master الحالي
• ملاحظة: هذه ثغرة مختلفة عن CVE-2021-44278 (التي أثرت على showconfig.inc.php وتم تصحيحها في v21.12.0). تؤثر هذه الثغرة على nfsen.inc.php ولا تزال غير مُصححة.

المعالجة

الإصلاح الموصى به

تنفيذ تحقق قائم على القائمة البيضاء:

$allowed_pages = ['general', 'stats', 'channel'];

if (in_array($vars['nfsen'], $allowed_pages, true)) {
    include 'includes/html/pages/device/nfsen/' . $vars['nfsen'] . '.inc.php';
} else {
    include 'includes/html/pages/device/nfsen/general.inc.php';
}

إصلاح بديل

استخدام basename() لإزالة اجتياز المسار:

$nfsen_page = basename($vars['nfsen']);
if (is_file('includes/html/pages/device/nfsen/' . $nfsen_page . '.inc.php')) {
    include 'includes/html/pages/device/nfsen/' . $nfsen_page . '.inc.php';
}

الجدول الزمني

التاريخ	الإجراء
2026-02-01	اكتشاف الثغرة
2026-04-14	نشر CVE، إخطار البائع
2026-04-14	الكشف العام

المراجع

• CWE-98: التحكم غير السليم في اسم الملف لعبارة Include/Require
• CWE-22: التقييد غير السليم لاسم المسار إلى دليل مقيد
• OWASP اجتياز المسار
• الموقع الرسمي لـ LibreNMS

إخلاء المسؤولية

يُقدَّم تقرير الثغرة هذا لأغراض تعليمية وأبحاث أمنية مصرح بها فقط. اتبع الباحث ممارسات الكشف المسؤول من خلال إخطار البائع قبل الكشف العام.

الإشادة

اكتشفها: Ömer Baran Parlak
البريد الإلكتروني: [email protected]
GitHub: parlakbarann