كشفت شركة Nokia عن ثغرة أمنية حرجة في أنظمة CloudBand Infrastructure Software (CBIS) وNokia Container Service (NCS) Manager API، والتي تحمل المعرّف CVE-2023-49564.
تتيح الثغرة، المصنفة بدرجة خطورة 9.6 وفق مقياس CVSS v3.1، للمهاجمين غير المصرح لهم تجاوز آليات التحقق باستخدام تلاعب مخصص في ترويسات بروتوكول HTTP، ما يمنحهم وصولاً كاملاً إلى واجهات برمجية حساسة دون الحاجة إلى بيانات اعتماد صحيحة.
تفاصيل الثغرة وآلية الاستغلال
اكتشف الباحثون في Orange Cert الثغرة خلال فحوصات أمنية روتينية، وتم الإعلان عنها في 18 سبتمبر 2025. وأوضح باحثو الأمن في Nokia أن الخلل يكمن في آلية تحقق ضعيفة ضمن تنفيذ التوثيق داخل حاوية Nginx Podman التي تعمل على خادم CBIS/NCS Manager.
يُمكّن هذا الخلل المهاجمين من التحايل على ضوابط الوصول عبر التلاعب بترويسات الطلبات ودفع النظام إلى معالجتها كأنها طلبات شرعية. ويتطلب استغلال الثغرة الوصول عبر شبكة مجاورة (CVSS AV:A)، الأمر الذي يرفع من خطورتها في البيئات المؤسسية، حيث يحتمل استغلالها من قبل مهاجمين نجحوا مسبقاً في التسلل إلى الشبكة الداخلية.
بمجرد استغلال الثغرة، يمكن للمهاجمين الوصول إلى بيانات التكوين الحساسة، تعديل إعدادات النظام، وتعطيل العمليات الشبكية، مع تأثير بالغ على السرية والتكامل والتوافر.
تفاصيل تقنية وإجراءات التخفيف
تعمل آلية التجاوز عبر استغلال ثغرة في منطق التحقق داخل حاوية Nginx عند معالجة طلبات API، حيث يفشل النظام في التحقق بشكل صحيح من رموز التوثيق المضمنة في ترويسات HTTP. النتيجة هي فتح الطريق أمام مستخدمين غير مصرح لهم للوصول إلى نقاط نهاية يجب أن تكون محمية بصلاحيات إدارية.
المتأثرون بالثغرة هم مستخدمو CBIS إصدار 22 وNCS إصدار 22.12. وأتاحت Nokia إصدارات معالجة عبر تحديثات CBIS 22 FP1 MP1.2 وNCS 22.12 MP3.
ويمكن للمؤسسات تقليل المخاطر مؤقتاً من خلال فرض قيود خارجية عبر جدران الحماية على وصول الشبكات إلى واجهة الإدارة، مع تطبيق التحديثات الأمنية فوراً لضمان الحماية الكاملة.
