في تطور جديد يسلط الضوء على التحديات المستمرة في مجال الأمن السيبراني، تم الكشف عن ثغرتين أمنيتين خطيرتين في مكتبة روبي ساميل (ruby-saml) المفتوحة المصدر، والتي قد تمكن الجهات الخبيثة من تجاوز الحماية المقدمة عبر لغة التأكيد الأمني (SAML).

ما هي لغة التأكيد الأمني (SAML)؟

لغة التأكيد الأمني (SAML) هي لغة ترميز مبنية على XML ومعيار مفتوح يُستخدم لتبادل بيانات المصادقة والتفويض بين الأطراف المختلفة. تسهل هذه اللغة ميزات مثل الدخول الموحد (SSO)، مما يسمح للأفراد باستخدام مجموعة واحدة من بيانات الاعتماد للوصول إلى مواقع وخدمات وتطبيقات متعددة.

تفاصيل الثغرات الأمنية

تم تتبع الثغرات الأمنية برموز CVE-2025-25291 وCVE-2025-25292، حيث تحصلان على درجة CVSS تقدر بـ 8.8 من 10.0، مما يدل على خطورتها العالية. تؤثر هذه الثغرات على الإصدارات التالية من المكتبة:

• أقل من 1.12.4
• من 1.13.0 إلى أقل من 1.18.0

تعود أصول هذه الثغرات إلى كيفية تعامل كل من مكتبات REXML وNokogiri مع تحليل XML بشكل مختلف، مما يؤدي إلى إنشاء هياكل وثائق مختلفة تمامًا من نفس المدخلات XML. هذا التباين في التحليل يمكن أن يسمح للمهاجم بتنفيذ هجوم Signature Wrapping، مما يؤدي إلى تجاوز المصادقة.

الإجراءات التصحيحية والتوصيات

تم معالجة الثغرات في إصدارات روبي ساميل 1.12.4 و1.18.0. كما تم سد ثغرة DoS عن بُعد عند التعامل مع استجابات SAML المضغوطة (رمز CVE-2025-25293 بدرجة CVSS: 7.7). يُوصى المستخدمون بتحديث مكتباتهم إلى الإصدار الأخير لحماية أنفسهم من التهديدات المحتملة.

تداعيات أمنية وهجمات محتملة

أشارت شركة GitHub المملوكة لشركة مايكروسوفت، والتي اكتشفت وأبلغت عن هذه الثغرات في نوفمبر 2024، إلى أن هذه الثغرات يمكن أن تُستغل من قِبل الجهات الخبيثة لتنفيذ هجمات الاستحواذ على الحسابات. وأوضح الباحث في مختبر أمن GitHub، بيتر ستوكلي، أن المهاجمين الذين يمتلكون توقيعًا صالحًا واحدًا، تم إنشاؤه باستخدام المفتاح الذي يُستخدم للتحقق من استجابات أو تأكيدات SAML، يمكنهم استخدامه لإنشاء تأكيدات SAML بأنفسهم، مما يمكنهم من تسجيل الدخول كأي مستخدم.

رؤى وخبرات الخبراء

يرتبط هذا الاكتشاف بمحاولات سابقة للتصدي لثغرات مشابهة، حيث تحرك كل من GitLab وروبي ساميل قبل حوالي ستة أشهر لمعالجة ثغرة أمنية حرجة أخرى (رمز CVE-2024-45409) بدرجة CVSS: 10.0، والتي كانت تؤدي أيضًا إلى تجاوز المصادقة.

دعوة للنقاش والتفاعل

ما رأيك في التحديات المستمرة التي تواجهها المكتبات المفتوحة المصدر في مجال الأمن السيبراني؟ كيف يمكن تعزيز التعاون بين المجتمع التقني لتحسين الأمان الرقمي؟ نرحب بمناقشاتكم وآرائكم في هذا المجال الحيوي.

لمتابعة المزيد من المقالات الحصرية، يرجى متابعتنا على منصة X (تويتر) وفيسبوك.