CVE-2026-52616 — mcp-nmap-server: حقن أوامر نظام التشغيل عبر run_nmap_scan

أداة MCP run_nmap_scan تبني أمرها عبر استيفاء السلاسل النصية للمعاملين target وadditionalFlags وتشغّله عبر child_process.exec، أي /bin/sh -c.

⚠ اقرأ هذا أولاً — معرّف مكرر

كانت هذه الثغرة علنية بالفعل قبل وجود معرّف CVE هذا. وهي مغطاة بـ CVE-2026-3484 / GHSA-xc68-rrqc-qgq3، المخصصتين من VulDB والمُنشَرتين في 2026-03-03 ضد mcp-nmap-server <= 1.0.1 — نفس الحزمة، ونفس موضع الحساسية CWE-78 عبر child_process.exec.

تم تخصيص CVE-2026-52616 لـ s1ko من قبل MITRE CNA-LR في 2026-07-13 استجابةً لتقرير مستقل. يبدو أن هذا التخصيص مكرر، وقد تم وسمه على هذا النحو. المعرّف السابق CVE-2026-3484 هو الذي ينبغي الاستشهاد به.

نُشر هذا المستودع من أجل الاكتمال وتوثيق التكرار، وليس كادعاء باكتشاف جديد. الفضل في الإفصاح العلني الأصلي ليس عائدًا لـ s1ko.

فخ تسمية جدير بالملاحظة لأي شخص يزيل التكرار: حزمة npm هي mcp-nmap-server والمستودع هو nmap-mcp-server. الترتيبان يشيران إلى المشروع ذاته.

نموذج التهديد

وسائط أدوات MCP خاضعة لتأثير المهاجم. تُنتج بواسطة LLM من المحتوى الذي يعالجه الوكيل — المستندات، صفحات الويب، مخرجات الأدوات — لذا فإن حقن المطالبات غير المباشر يمنح المهاجم التحكم في القيم التي يستقبلها معالج الأداة. المعالج الذي يغذّي أيًا من تلك القيم إلى Shell يحوّل هذا التأثير إلى تنفيذ كود على المضيف الذي يشغّل خادم MCP. هذا هو نفس النموذج المتبع في الحالة السابقة aws-mcp-server / CVE-2026-5058.

التنفيذ

dist/index.js — يُلحق الهدف بسلسلة أمر تُسلَّم بعد ذلك إلى exec:

command += ` ${target}`;
…
const { stdout, stderr } = await promisify(exec)(command);

child_process.exec يشغّل وسيطته في /bin/sh -c، لذا فإن كل ما أسهم به المتصل هو صيغة Shell. مخطط الإدخال Zod يصرّح بـ z.string()، الذي يتحقق من النوع ولا يقول شيئًا عن المحتوى، لذا تمرر الرموز الفوقية دون عوائق. تصل additionalFlags إلى السلسلة نفسها عبر المسار نفسه.

استدعاء run_nmap_scan مع ضبط target على 127.0.0.1; touch /tmp/marker; echo INJECTED يُنتج:

/bin/sh -c "nmap … 127.0.0.1; touch /tmp/marker; echo INJECTED"

إعادة الإنتاج

poc/driver.mjs يتحدث MCP عبر stdio: يهيّئ الخادم، ويصدر استدعاء tools/call واحدًا لـ run_nmap_scan مع target محقون، ويتحقق من وجود ملف علامة (marker). الحمولة هي أمر touch غير ضار.

npm pack [email protected]
tar xf mcp-nmap-server-1.0.1.tgz && cd package && npm install
node ../poc/driver.mjs

المتوقع على إصدار متأثر:

==== POC RESULT (mcp-nmap-server) ====
marker /tmp/PWNED_nmap created: true
verdict: CONFIRMED — command injection executed

ليست هناك حاجة إلى تثبيت nmap — الأمر المحقون يعمل ضمن سلسلة /bin/sh -c نفسها بغض النظر عمّا إذا كان الملف التنفيذي الأول يُحَل بنجاح. تم التحقق منه في 2026-06-01 داخل حاوية معزولة وأُعيد التحقق منه في 2026-06-13. شغّله فقط ضد بنية تحتية مصرّح لك باختبارها.

الكشف

• سطر أمر nmap يحتوي على ; أو && أو || أو | أو backtick أو $(.
• عملية sh -c يبدأ سطر أمرها بـ nmap وتحتوي على أمر ثانٍ بعد فاصل — إشارة من شجرة العمليات (auditd, eBPF, Falco, EDR) لا تعتمد على تسجيل التطبيق.
• عمليات فرعية غير متوقعة لعملية خادم MCP. nmap متوقع؛ أما وجود Shell أو مفسّر أو عميل شبكة فليس كذلك.
• سجلات استدعاءات أدوات MCP التي تحتوي فيها target أو additionalFlags على رموز فوقية خاصة بالـ Shell. يجب أن يطابق target عنوان IP أو نطاق CIDR أو اسم مضيف فقط، ولا شيء غيره.

MITRE ATT&CK T1059.004 مترجم الأوامر والبرمجة النصية: Unix Shell.

التخفيف

المستودع مؤرشَف وللقراءة فقط، وأحدث إصدار على npm هو المتأثر 1.0.1، ولن يُنشر أي إصدار مُصحَّح. الإزالة هي التخفيف:

• توقف عن استخدام الحزمة. إنها غير مُصانة، وعرضة للثغرات علنًا منذ مارس 2026، ولن تُصلح.
• إذا كان لا بد من إبقائها، شغّلها في حاوية أو جهاز افتراضي كمستخدم غير مميز، دون بيانات اعتماد في بيئتها ودون اتصال شبكة صادر يتجاوز نطاق الفحص، ولا تعرّضها عبر نقل شبكي.
• غلّف الخادم أو انسخه (fork) للتحقق من target مقابل نمط IP/CIDR/اسم مضيف ولإدراج additionalFlags في قائمة مسموح بها قبل وصول أيٍّ منهما إلى سلسلة الأمر.

الإصلاح، لأي شخص يعمل fork له، هو استدعاء execFile("nmap", [...args]) بمتجه وسائط بدلاً من بناء سلسلة نصية لـ exec. التحقق من المحتوى، وليس فقط التحقق من النوع عبر Zod، هو المطلب الأساسي.

NIST SP 800-53r5 SI-10؛ OWASP ASVS v4 §5.3.8؛ تخفيفات CWE-78 M1 وM2.

الجدول الزمني

المراجع

• الإشعار الأصلي — https://github.com/advisories/GHSA-xc68-rrqc-qgq3
• CVE الأصلي — https://nvd.nist.gov/vuln/detail/CVE-2026-3484
• حزمة npm — https://www.npmjs.com/package/mcp-nmap-server
• المستودع (مؤرشَف) — https://github.com/PhialsBasement/nmap-mcp-server
• سابقة لنموذج تهديد MCP — CVE-2026-5058 (aws-mcp-server)

إشعارات مصاحبة من نفس جولة البحث: CVE-2026-52617, CVE-2026-52618.

الترخيص

MIT — انظر LICENSE.