الوسم: بيانات اعتماد مبرمجة

◎ملخص تنفيذي للثغرة CVE-2026-42374

كشف باحثون في مجال الأمن السيبراني عن ثغرة حرجة تحمل المعرّف CVE-2026-42374 في أجهزة التوجيه (الراوتر) من نوع D-Link DIR-600L Hardware Revision B1، والتي تحتوي على باب خلفي (Backdoor) مزروع في الشركة المصنعة عبر بروتوكول Telnet. هذه الثغرة حصلت على درجة خطورة 9.8 من 10 (حرجة) وفقاً لمقياس CVSS، وتسمح لأي مهاجم متصل بالشبكة المحلية بالحصول على صلاحيات الجذر (root) الكاملة على الجهاز دون الحاجة إلى أي مصادقة مشروعة.

ما يزيد من خطورة هذه الثغرة هو أن الجهاز المتأثر قد وصل إلى نهاية دورة حياته (End-of-Life)، مما يعني أن الشركة المصنعة D-Link لن تصدر أي تحديثات أمنية لمعالجة هذه الثغرة، وبالتالي تبقى جميع الأجهزة العاملة حالياً عرضة دائمة للاستغلال.

◎تفاصيل الثغرة التقنية

تعود الثغرة إلى وجود بيانات اعتماد ثابتة ومبرمجة مسبقاً (Hardcoded Credentials) داخل البرنامج الثابت (Firmware) للجهاز، وهو ما يُصنّف ضمن فئة الضعف CWE-798: Use of Hard-coded Credentials. وتتلخص آلية عمل الباب الخلفي في النقاط التالية:

• يقوم الجهاز عند الإقلاع بتشغيل خدمة Telnet تلقائياً عبر السكربت /bin/telnetd.sh.
• اسم المستخدم المبرمج مسبقاً هو Alphanetworks.
• كلمة المرور الثابتة هي wrgn61_dlwbr_dir600L ويتم قراءتها من الملف /etc/alpha_config/image_sign.
• تستخدم النسخة المُعدّلة من telnetd خيار -u user:password لتمرير بيانات الاعتماد.
• تتحقق دالة login المخصصة من بيانات الاعتماد باستخدام strcmp() فقط.
• عند نجاح المصادقة، يحصل المهاجم على shell بصلاحيات الجذر (root) مباشرة.

◎الأنظمة والأجهزة المتأثرة

تؤثر هذه الثغرة بشكل مباشر على:

• D-Link DIR-600L – النسخة العتادية Hardware Revision B1.
• جميع إصدارات البرنامج الثابت (Firmware) العاملة على هذه النسخة العتادية، لأن الباب الخلفي مزروع في مستوى النظام.
• الحالة الرسمية: End-of-Life (EOL) – لن تصدر تحديثات أمنية.

تجدر الإشارة إلى أن أجهزة DIR-600L لا تزال شائعة الاستخدام في المنازل والمكاتب الصغيرة في المملكة العربية السعودية ودول الخليج، خاصة في البيئات التي لم تقم بتحديث بنيتها التحتية الشبكية منذ سنوات.

◎سيناريوهات الاستغلال المحتملة

يمكن للمهاجم استغلال هذه الثغرة في عدة سيناريوهات خطيرة:

1. الاستغلال من الشبكة المحلية (LAN)

يستطيع أي مهاجم متصل بالشبكة الداخلية — سواء عبر Wi-Fi أو عبر منفذ إيثرنت — الاتصال بخدمة Telnet على المنفذ 23 واستخدام بيانات الاعتماد المكشوفة للحصول على صلاحيات root.

2. الاستغلال عن بُعد عبر الإنترنت

في حال كان منفذ Telnet (23) مفتوحاً على واجهة WAN بسبب خطأ في الإعداد أو بسبب إعادة توجيه المنافذ (Port Forwarding)، يصبح الجهاز عرضة للاستغلال من أي مكان في العالم.

3. تحويل الجهاز إلى نقطة انطلاق لهجمات أوسع

بعد الحصول على shell بصلاحيات root، يمكن للمهاجم:

• اعتراض حركة المرور الشبكية (Man-in-the-Middle).
• سرقة بيانات الاعتماد وجلسات المستخدمين.
• تحويل الجهاز إلى جزء من شبكة بوتات (Botnet) مثل Mirai.
• شن هجمات حجب الخدمة الموزعة (DDoS) ضد أهداف أخرى.
• التمحور (Pivoting) نحو أجهزة أخرى داخل الشبكة الداخلية.
• زرع برامج ضارة مستمرة في البرنامج الثابت.

◎الخطورة على البيئة السعودية والخليجية

تكتسب هذه الثغرة أهمية خاصة في السياق السعودي والخليجي لعدة أسباب:

• الانتشار الواسع للأجهزة المنزلية والمكتبية: لا تزال أجهزة D-Link منتشرة في المنازل والمكاتب الصغيرة والمتوسطة (SMBs) في المملكة.
• التوجه الوطني نحو رؤية 2030: تعتمد خطط التحول الرقمي على بنية شبكية آمنة، وأي جهاز مخترق يُشكل تهديداً للمبادرات الحكومية والخاصة.
• متطلبات هيئة الاتصالات والفضاء والتقنية (CST/CITC): تفرض الهيئة معايير صارمة على مشغلي الشبكات ومزودي خدمات الاستضافة للحفاظ على أمن الأجهزة المتصلة.
• الضوابط الأساسية للأمن السيبراني (ECC) من الهيئة الوطنية للأمن السيبراني (NCA): تُلزم الجهات الحكومية والحيوية بإزالة الأجهزة التي وصلت إلى نهاية عمرها التشغيلي.

◎خطوات عملية لمسؤولي الاستضافة وتقنية المعلومات في السعودية

الإجراء الفوري: العزل والاستبدال

نظراً لعدم وجود تحديث أمني متاح، فإن الحل الوحيد الفعّال هو:

1. جرد الأجهزة: قم بفحص شامل للبنية التحتية الشبكية للتعرف على أي أجهزة D-Link DIR-600L B1.
2. الاستبدال الفوري: قم باستبدال الأجهزة المتأثرة بأجهزة حديثة مدعومة من الشركة المصنعة وتتلقى تحديثات أمنية منتظمة.
3. العزل المؤقت: في حال تعذر الاستبدال الفوري، ضع الجهاز في شبكة معزولة (VLAN) خلف جدار حماية صارم.

تدابير تقنية للتخفيف المؤقت

• تعطيل Telnet: قم بتعطيل خدمة Telnet من واجهة الإدارة إن أمكن (رغم أن الباب الخلفي قد يبقى نشطاً في مستوى النظام).
• إغلاق المنفذ 23: تأكد من أن المنفذ 23 (Telnet) مُغلق تماماً على واجهة WAN.
• تقسيم الشبكة (Network Segmentation): افصل الأجهزة غير الموثوقة في شبكة فرعية مستقلة.
• مراقبة حركة المرور: استخدم أدوات IDS/IPS لرصد أي محاولات اتصال على المنفذ 23.
• قائمة التحكم في الوصول (ACL): قيّد الوصول إلى واجهة الإدارة بعناوين IP محددة فقط.

تدابير إدارية وتنظيمية

• وضع سياسة واضحة لإدارة دورة حياة الأجهزة الشبكية (Hardware Lifecycle Management).
• منع شراء أو نشر أي جهاز وصل إلى نهاية عمره التشغيلي EOL.
• توثيق جميع الأصول الشبكية وحالتها في سجل الأصول (Asset Register).
• التنسيق مع المركز الوطني الإرشادي للأمن السيبراني (HCC) في حال رصد أي نشاط مشبوه.

◎كيفية الكشف عن الاستغلال

للتأكد من عدم استغلال الجهاز، يُنصح بمراجعة المؤشرات التالية:

• فحص سجلات جدار الحماية بحثاً عن اتصالات صادرة غير معتادة من عنوان IP الخاص بالجهاز.
• مراقبة استهلاك الباندويدث الشبكي — ارتفاع غير مبرر قد يدل على مشاركة الجهاز في هجمات DDoS.
• البحث عن اتصالات قادمة على المنفذ 23 من عناوين خارجية.
• استخدام أدوات مسح مثل nmap للتأكد من حالة منفذ Telnet: nmap -p 23 <ip>.
• محاولة تسجيل الدخول ببيانات الاعتماد المكشوفة للتحقق من وجود الباب الخلفي (داخل بيئة اختبار مُصرّح بها فقط).

◎دور مزودي خدمات الاستضافة السعوديين

يتحمل مزودو الاستضافة ومراكز البيانات المحلية في المملكة — وبخاصة تلك المرخصة من هيئة الاتصالات والفضاء والتقنية — مسؤولية حماية عملائهم من خلال:

• فحص دوري للأجهزة الشبكية الموجودة في مراكز البيانات.
• توعية العملاء بمخاطر الأجهزة التي وصلت لنهاية عمرها.
• تقديم خدمات استبدال ونقل البنية التحتية إلى أجهزة حديثة ومدعومة.
• الالتزام بمتطلبات ISO 27001 في إدارة الأصول والتحكم بالمخاطر.

في 4Jawaly، وبوصفنا شركة سعودية مرخصة من هيئة الاتصالات والفضاء والتقنية (الترخيص رقم 291-10-32) وحاصلة على شهادة ISO 27001، فإننا نؤكد على أهمية اتباع أفضل الممارسات في إدارة دورة حياة الأصول التقنية، وخاصة الأجهزة الشبكية الحساسة.

◎الخلاصة والتوصيات النهائية

تمثل ثغرة CVE-2026-42374 تهديداً دائماً لا يمكن معالجته بالتحديثات البرمجية، والحل الوحيد الفعّال هو الاستبدال الكامل لأجهزة D-Link DIR-600L B1 بأجهزة حديثة مدعومة. إن الاستمرار في استخدام هذه الأجهزة يُعرّض البنية التحتية الشبكية لمخاطر جسيمة، قد تصل إلى اختراق كامل للشبكة وتسريب البيانات الحساسة.

ندعو جميع مسؤولي تقنية المعلومات في المملكة العربية السعودية إلى اتخاذ إجراءات فورية لجرد أجهزتهم الشبكية واستبدال الأجهزة التي وصلت إلى نهاية عمرها، امتثالاً لمتطلبات الهيئة الوطنية للأمن السيبراني، وحمايةً للبيانات الوطنية والشخصية.