CVE-2026-4851 in GRID::Machine
الملخص
بحسب VulDB • 14/08/2026
تسمح إصدارات GRID::Machine حتى الإصدار 0.127 لنظام Perl بتنفيذ الأكواد بشكل تعسفي (Arbitrary Code Execution) عبر عملية إلغاء التسلسل غير الآمنة (Unsafe Deserialization).
يوفر GRID::Machine استدعاء الإجراءات عن بُعد (RPC) عبر بروتوكول SSH لأنظمة Perl. يتصل العميل بأجهزة بعيدة لتنفيذ أكواد عليها. يمكن لجهاز بعيد مُخترق أو خبيث تنفيذ كود تعسفي على جهاز العميل من خلال عملية إلغاء تسلسل غير آمنة في بروتوكول RPC.
تقوم الدالة `read_operation()` الموجودة في الملف `lib/GRID/Machine/Message.pm` بإلغاء تسلسل القيم القادمة من الطرف البعيد باستخدام دالة `eval()`:
```perl $arg .= '$VAR1'; my $val = eval "no strict; $arg"; # line 40-41 ```
تحتوي المتغيرات `$arg` على بيانات خام (Raw bytes) قادمة عبر أنبوب البروتوكول. يمكن لجهاز بعيد مُخترق تضمين كود Perl تعسفي في الاستجابة المنسقة بتنسيق Dumper:
```perl $VAR1 = do { system("..."); };
```
يتم تنفيذ هذا الكود على جهاز العميل بصمت مع كل استدعاء لـ RPC، نظراً لأن قيم الإرجاع تبقى صحيحة.
هذه الوظيفة مصممة عمداً (By design)، لكن شرط الثقة المطلوب للجهاز البعيد غير موثق في التوزيع الرسمي للبرنامج.
If you want to get best quality of vulnerability data, you may have to visit VulDB.