ثغرة حرجة CVE-2026-42088 في OpenC3 COSMOS تسمح بتجاوز صلاحيات الإدارة عبر Redis و Docker

◎مقدمة حول الثغرة CVE-2026-42088

أُعلن مؤخرًا عن ثغرة أمنية حرجة تحمل المعرّف CVE-2026-42088 تؤثر على منصة OpenC3 COSMOS، وهي منصة مفتوحة المصدر تُستخدم على نطاق واسع في إرسال الأوامر إلى الأنظمة المدمجة (Embedded Systems) واستقبال البيانات منها، وتُوظَّف في قطاعات حساسة مثل الفضاء، الطيران، الدفاع، والأبحاث العلمية. حصلت هذه الثغرة على تقييم CVSS 9.6 ضمن الفئة الحرجة، مما يجعلها من أخطر الثغرات التي ظهرت في هذا النوع من الأنظمة خلال الفترة الأخيرة.

تكتسب هذه الثغرة أهمية خاصة لدى مديري الاستضافة ومهندسي البنية التحتية في المملكة العربية السعودية ودول الخليج، لا سيما أولئك الذين يديرون بيئات مبنية على حاويات Docker وقواعد بيانات Redis، وهما المكونان المركزيان اللذان استُغلّا في هذه الثغرة.

◎التفاصيل التقنية للثغرة

تنشأ الثغرة في منصة OpenC3 COSMOS في الإصدارات السابقة لـ 7.0.0-rc3، تحديدًا داخل مكوّن Script Runner، وهو أداة تسمح للمستخدمين بتنفيذ نصوص برمجية بلغتي Python وRuby مباشرةً من حاوية openc3-COSMOS-script-runner-api.

المشكلة الجوهرية أن جميع حاويات Docker الخاصة بالمنصة تتشارك نفس شبكة Docker الداخلية (Docker Network)، مما يعني أن أي مستخدم لديه صلاحية تشغيل السكربتات يمكنه صياغة سكربت مخصّص يتجاوز طبقة فحص الصلاحيات في الـ API ويتصل مباشرةً بأي خدمة داخل الشبكة، ومنها:

• قاعدة بيانات Redis: قراءة وتعديل البيانات الحساسة، بما فيها الأسرار (Secrets) وإعدادات COSMOS.
• خدمة Buckets: قراءة وكتابة ملفات الإعدادات والسجلات (Logs) وملفات الإضافات (Plugins).
• خدمات إدارية أخرى: كانت في الأصل مقتصرة على لوحة الإدارة (Admin Console) أو على المستخدمين ذوي الصلاحيات الإدارية.

تصنّف هذه الثغرة ضمن CWE-250 (Execution with Unnecessary Privileges)، أي تنفيذ العمليات بامتيازات أعلى من اللازم، وهي من أخطر فئات الضعف الأمني، إذ تسمح بالتحايل على حدود الصلاحيات بين مكونات النظام.

◎سيناريو الاستغلال

لنفترض أن مؤسسة سعودية تشغّل منصة OpenC3 COSMOS لإدارة أقمار صناعية صغيرة (CubeSats) أو أنظمة قياس تليمتري. في الوضع الطبيعي، يُمنح بعض المهندسين صلاحية كتابة وتشغيل السكربتات من أجل المهام التشغيلية اليومية، دون أن تكون لديهم صلاحيات إدارية.

وفق هذه الثغرة، يستطيع أي مهندس (أو مهاجم حصل على حسابه) كتابة سكربت Python بسيط يتصل مباشرةً بعنوان Redis الداخلي داخل شبكة Docker:

• استخراج مفاتيح التشفير والأسرار المخزّنة.
• تعديل إعدادات المنصة لتعطيل آليات الحماية.
• رفع ملفات إضافات خبيثة إلى خدمة Buckets لتُنفَّذ لاحقًا بصلاحيات عالية.
• الوصول إلى سجلات العمليات وحذفها لإخفاء الآثار.

النتيجة: تصعيد كامل للصلاحيات (Privilege Escalation) من مستخدم عادي إلى مدير نظام، مع إمكانية تعطيل العمليات الحرجة أو تسريب بيانات حساسة.

◎الأنظمة والإصدارات المتأثرة

• المنتج: OpenC3 COSMOS
• الإصدارات المتأثرة: جميع الإصدارات السابقة لـ 7.0.0-rc3
• الإصدار الآمن: 7.0.0-rc3 فما فوق (ويُنصح بالترقية إلى 7.0.0 المستقرة)
• المكونات المتأثرة: Script Runner API، شبكة Docker الداخلية، Redis، خدمة Buckets

◎تقييم الخطورة والتأثير

بتقييم CVSS يبلغ 9.6، تُعدّ هذه الثغرة حرجة للأسباب التالية:

• سهولة الاستغلال: لا تتطلب سوى صلاحية تشغيل السكربتات، وهي صلاحية شائعة للمستخدمين العاديين.
• تأثير واسع: يشمل السرية (قراءة الأسرار)، والسلامة (تعديل الإعدادات)، والتوفّر (تعطيل الخدمات).
• إمكانية الحركة الجانبية (Lateral Movement): الوصول إلى جميع الخدمات داخل شبكة Docker المشتركة.
• صعوبة الاكتشاف: الاتصال يتم من داخل الشبكة الموثوقة، مما يُضعف فاعلية أنظمة كشف التسلل التقليدية.

◎الإجراءات الموصى بها لمديري الاستضافة في السعودية

1. الترقية الفورية

الحل الرسمي هو الترقية إلى الإصدار OpenC3 COSMOS 7.0.0-rc3 أو أحدث. يُنصح بما يلي:

• مراجعة ملاحظات الإصدار على صفحة الإصدار الرسمية.
• إجراء نسخة احتياطية كاملة من إعدادات Redis وملفات Buckets قبل الترقية.
• اختبار الترقية في بيئة تجريبية (Staging) قبل تطبيقها على الإنتاج.

2. الإجراءات الاحترازية المؤقتة

في حال تعذّر الترقية الفورية، يمكن تطبيق الإجراءات التالية:

• تقييد صلاحيات Script Runner: سحب صلاحية تشغيل السكربتات من جميع المستخدمين غير الإداريين.
• عزل شبكات Docker: فصل حاوية Script Runner في شبكة Docker مستقلة عن حاويات Redis وBuckets.
• تمكين مصادقة Redis: ضبط كلمة مرور قوية عبر requirepass وتفعيل Redis ACLs للحد من الأوامر المتاحة.
• مراقبة السجلات: تفعيل التسجيل الكامل لجميع العمليات داخل Script Runner وتحليلها دوريًا.

3. تعزيز حماية بيئة Docker

• تطبيق مبدأ الامتيازات الأدنى (Least Privilege) على جميع الحاويات.
• استخدام Docker Secrets بدلًا من متغيرات البيئة لتخزين البيانات الحساسة.
• تفعيل Network Policies داخل Kubernetes إن وُجد.
• مراجعة سياسات Seccomp وAppArmor للحاويات.

4. مراجعة السجلات بحثًا عن دلائل اختراق

يجب على فرق الأمن في المؤسسات السعودية فحص:

• سجلات Script Runner بحثًا عن سكربتات تتضمن اتصالات شبكية غير معتادة.
• سجلات Redis بحثًا عن أوامر CONFIG GET، KEYS *، أو FLUSHALL غير المألوفة.
• سجلات Buckets بحثًا عن رفع ملفات مشبوهة أو تعديلات على ملفات الإضافات.

◎السياق المحلي: المملكة العربية السعودية

تمتلك المملكة العربية السعودية استثمارات متنامية في قطاع الفضاء والاتصالات الفضائية، مدعومة من الهيئة السعودية للفضاء وهيئة الاتصالات والفضاء والتقنية (CST/CITC). كما أن رؤية 2030 تدفع نحو توطين التقنيات المتقدمة، بما فيها منصات التحكم والتليمتري المفتوحة المصدر مثل OpenC3 COSMOS.

وبناءً على الإطار التنظيمي السعودي، تُلزم الضوابط الأساسية للأمن السيبراني (ECC-1:2018) الصادرة عن الهيئة الوطنية للأمن السيبراني (NCA) المؤسسات الوطنية بـ:

• إدارة الثغرات وسد القصور خلال فترة زمنية محددة وفقًا لدرجة الخطورة.
• تطبيق مبدأ الفصل بين البيئات وتقييد الصلاحيات.
• مراقبة الأحداث الأمنية والاستجابة للحوادث.

كما أن اللائحة التنفيذية لـ نظام حماية البيانات الشخصية (PDPL) تُلزم الجهات بحماية البيانات المستضافة في مراكز البيانات المحلية، وأي اختراق لمنصة تحكم كهذه قد يُشكّل انتهاكًا يستوجب الإبلاغ.

يُنصح مديرو الاستضافة في مراكز البيانات السعودية — سواء لدى مزودي الخدمات الوطنيين أو السحابات المحلية مثل سحابة STC، Mobily، أو سحابة الوطنية (NCloud) — بإصدار تعميم داخلي فوري للعملاء الذين يشغّلون OpenC3 COSMOS، وتقديم الدعم الفني لترقية البيئات المتأثرة.

◎الدروس المستفادة

تُذكّرنا هذه الثغرة بأن الثقة الضمنية داخل شبكات Docker تمثّل خطرًا حقيقيًا. فكثير من فرق التطوير تفترض أن الخدمات الداخلية للشبكة آمنة بحكم عدم تعرّضها للإنترنت، متجاهلةً أن أي مكوّن قابل للتحكم من قِبل المستخدم (مثل Script Runner) يمكن أن يتحوّل إلى نقطة انطلاق للهجوم.

من أفضل الممارسات:

• تطبيق نموذج Zero Trust حتى داخل الشبكات الخاصة.
• استخدام mTLS بين الخدمات الداخلية.
• فرض مصادقة قوية على جميع قواعد البيانات الداخلية، بما فيها Redis.
• إجراء اختبارات اختراق دورية تشمل سيناريوهات التصعيد الجانبي داخل Docker.

◎خدمات 4jawaly الداعمة للأمن السيبراني

في فورجوالي (4jawaly)، وبصفتنا شركة سعودية مرخّصة من هيئة الاتصالات والفضاء والتقنية (CITC برقم 291-10-32) وحاصلة على شهادة ISO 27001، نقدّم خدمات استضافة آمنة وحلول تنبيه فوري عبر الرسائل النصية وWhatsApp Business API، مما يساعد فرق الأمن على:

• إرسال تنبيهات فورية لفريق الاستجابة للحوادث عند اكتشاف ثغرات حرجة.
• إشعار العملاء والمستخدمين بنوافذ الصيانة اللازمة لتطبيق التصحيحات.
• أتمتة الإشعارات الأمنية عبر روبوتات الدردشة الذكية المبنية على الذكاء الاصطناعي.

◎خاتمة

تُعدّ ثغرة CVE-2026-42088 تذكيرًا حازمًا بأهمية تطبيق مبدأ الامتيازات الأدنى وعدم الوثوق في عزل الشبكات وحده. على جميع المؤسسات السعودية التي تستخدم OpenC3 COSMOS أن تُسارع بالترقية إلى الإصدار 7.0.0-rc3 أو أحدث، مع مراجعة شاملة لبيئات Docker وRedis لديها، وتطبيق طبقات الحماية الإضافية قبل أن يُستغلّ الضعف من قِبل جهات خبيثة داخلية أو خارجية.