CVE-2026-34486: تجاوز EncryptInterceptor في Apache Tomcat

نظرة عامة

CVE-2026-34486 هو تراجُع (Regression) ناتج عن الإصلاح غير المكتمل لثغرة CVE-2026-29146. في تكرار الكتلة (Cluster Replication) في Apache Tomcat، يكون EncryptInterceptor مسؤولاً عن تشفير رسائل الكتلة والمصادقة عليها. أدت إعادة هيكلة في إصلاح CVE-2026-29146 إلى نقل استدعاء super.messageReceived(msg) عن غير قصد إلى خارج كتلة try-catch التي تتعامل مع حالات فشل فك التشفير. ونتيجة لذلك، عندما تفشل رسالة في فك التشفير (أي أنها تُستقبل كنص صريح بينما يتوقع المعترض بيانات مشفرة)، تظل الرسالة الأولية غير المشفرة تُمرَّر عبر سلسلة المعالجات بدلاً من تجاهلها.

التفاصيل التقنية

تراجُع في تدفق الكود

يتم استدعاء الأسلوب EncryptInterceptor.messageReceived() عند وصول رسالة كتلة. التدفق المتوقع هو:

1. استقبال بايتات الرسالة الأولية
2. فك تشفير الرسالة والتحقق منها (داخل كتلة try-catch)
3. إذا نجح فك التشفير، استدعِ super.messageReceived(msg) لتمرير الرسالة المفكوك تشفيرها
4. إذا فشل فك التشفير، تجاهل الرسالة (أو سجّل خطأً)

في الإصدارات المتأثرة، يظل منطق فك التشفير/التحقق مغلَّفاً داخل كتلة try-catch، لكن سلسلة الاستدعاء أعيدت هيكلتها بحيث يتم تنفيذ super.messageReceived(msg) خارج كتلة try-catch التي تحمي عملية فك التشفير. المتغير msg يُصرَّح به قبل كتلة try-catch ويُعيَّن داخل الكتلة. عندما يرمي فك التشفير استثناءً، يحتفظ msg بقيمته الأولية (غير المشفرة/الخام)، وتكتفي كتلة catch بتسجيل الخطأ — دون إرجاع مبكر. يستمر التنفيذ إلى super.messageReceived(msg) مع البيانات الخام غير المعالجة.

هذا يعني أن المهاجم الذي يمكنه الوصول إلى منفذ كتلة Tomcat يمكنه حقن رسائل عشوائية غير مشفرة سيقبلها المعترض ويعالجها.

كود زائف مبسّط للخلل

public void messageReceived(Message msg) {
    // msg arrives raw
    try {
        // decrypt and populate msg fields
        decrypt(msg);
    } catch (Exception e) {
        log.error("Decryption failed", e);
        // BUG: no return statement here
    }
    // msg is still the original unencrypted object when catch is hit
    super.messageReceived(msg); // outside try-catch → passes raw data
}

يجب أن يضمن الإصلاح أحد الأمرين:

• استدعاء super.messageReceived(msg) فقط داخل كتلة try بعد نجاح فك التشفير، أو
• إرجاع فوري من كتلة catch بحيث لا يتم تمرير الرسالة غير المشفرة أبداً.

الإصدارات المتأثرة

إعادة الإنتاج

المتطلبات الأساسية

• مثيل Tomcat متأثر مع تمكين تكرار الكتلة باستخدام EncryptInterceptor
• وصول شبكي إلى منفذ كتلة Tomcat (غالباً 4000 أو 5000، يُكوَّن عبر <Receiver>)
• Python 3.6+

الخطوات

1. حدد عضو كتلة Tomcat الذي يحتوي على EncryptInterceptor مُكوَّناً في server.xml.
2. حدد عنوان ومنفذ مستقبل الكتلة.
3. شغّل سكربت الاستغلال لإرسال رسالة كتلة خام مصمّمة بعناية.
4. لاحظ أن الرسالة تُقبل وتُسجَّل بواسطة المستقبل، متجاوزةً التحقق من التشفير.

إثبات المفهوم (PoC)

يوضح سكربت exploit.py في هذا الدليل التجاوز. فهو يبني رسالة كتلة Tomcat مصغّرة (استناداً إلى تنسيق تسلسل ClusterMessage) ويرسلها مباشرةً إلى منفذ المستقبل دون أي تشفير. سيقبل المعترض المتأثر الرسالة ويمررها على الرغم من غياب التشفير.

التخفيف

قم بالترقية إلى إصدار مصحّح من Apache Tomcat:

إذا لم يكن من الممكن الترقية فوراً، فقيّد الوصول الشبكي إلى منفذ كتلة Tomcat بحيث يقتصر على المضيفين الموثوقين فقط (على سبيل المثال، عبر قواعد جدار الحماية أو ربط المستقبل بواجهة loopback أو واجهة خاصة).

المراجع

• CVE-2026-34486
• CVE-2026-29146 (الثغرة الأصلية)
• نشرات أمان Apache Tomcat
• توثيق EncryptInterceptor