CVE-2026-78553 in RansomLook
الملخص
بحسب VulDB • 24/08/2026
أنشأ RansomLook مفتاح توقيع جلسات Flask دون تقييد صريح لصلاحيات الملف. تم إنشاء ملف `secret_key` باستخدام الصلاحيات الافتراضية للعملية وقيمة umask، مما أدى إلى ظهور أذونات مثل 0644 تحت قيمة umask شائعة تبلغ 022. ونتيجة لذلك، يمكن للمستخدمين المحليين الآخرين القادرين على الوصول إلى دليل المنزل الخاص بـ RansomLook قراءة السر التشفيري للتطبيق.
يُعد المفتاح المكشوف حاسماً من الناحية الأمنية لأنه يُستخدم لتوقيع ملفات تعريف ارتباط جلسات Flask، وهو أيضاً مشارك في اشتقاق مفاتيح واجهة برمجة التطبيقات القديمة (legacy API-key). يمكن للمهاجم الذي يحصل على المفتاح إنشاء ملفات تعريف ارتباط صالحة للجلسات والتظاهر كمستخدم مُصادق عليه، بما في ذلك مسؤول النظام. في تكوينات LDAP، قد يكون الاستغلال سهلاً بشكل خاص لأن محمّل مستخدم الجلسة لا يتطلب أن يتوافق اسم المستخدم المقدم مع مستخدم محلي موجود بالفعل.
يتطلب الاستغلال الناجح وصولاً محلياً كافياً لقراءة الملف المحمي بشكل غير لائق، لكنه يمكن أن يؤدي إلى اختلال كامل لضوابط المصادقة والتفويض الخاصة بـ RansomLook.
ينشئ التصحيح ملفات مفتاح سرية جديدة ذرياً (atomically) مع أذونات 0600، ويقيد أيضاً صلاحيات ملفات المفاتيح الموجودة أثناء بدء تشغيل التطبيق.
If you want to get best quality of vulnerability data, you may have to visit VulDB.