رصد ثغرة أمنية في إطار عمل Emissary مفتوح المصدر التابع لوكالة الأمن القومي الأمريكية

رصد محللو الأمن السيبراني ثغرة أمنية لتزوير الطلبات من جانب الخادم داخل Emissary، وهو إطار عمل موزع قائم على الوكلاء لتحليل البيانات طورته وكالة الأمن القومي الأمريكية وتديره كمشروع مفتوح المصدر. وتنطوي نقطة الضعف، المصنفة ضمن سجل تتبع الثغرات باسم CVE-2026-54442، على إجراءات معيبة للتحقق من محددات مواقع الموارد الموحدة في أحد المكونات الملاحية الأساسية ضمن شيفرة البرنامج البرمجية. ويوصي القيد المنشور في السجلات التقنية التابعة لـ VulDB في 31 أكتوبر 2026 مديري الأنظمة ومقاولي الدفاع ومستخدمي المؤسسات الذين يديرون نسخاً محلية من المنصة بتطبيق التصحيحات المتاحة من المطور فوراً للحد من حركة مرور الشبكة غير المصرح بها الصادرة من داخل مجموعات التطبيقات المتأثرة.

## حقائق رئيسية

- تم تصنيف الثغرة الأمنية بالرمز CVE-2026-54442 وتؤثر على مشروع Emissary مفتوح المصدر التابع لوكالة الأمن القومي الأمريكية. - ينبع الخطأ الجذري من عدم كفاية التحقق من محدد موقع الموارد الموحد داخل ملف Java المسمى NavAction.java. - يمثل الخلل الأساسي ثغرة تزوير الطلبات من جانب الخادم، والتي تتيح إجبار التطبيق على إرسال طلبات شبكة غير مقصودة. - نشرت VulDB سجلات قواعد البيانات التقنية التي توثق هذا الخلل في 31 أكتوبر 2026. - يوصي المشرفون ومتتبعو الثغرات الأمنية بالتطبيق الفوري للتصحيحات لمعالجة الثغرة.

## ما حدث

وفقاً للوثائق المسجلة في مستودع تتبع الثغرات VulDB، حدد باحثو الأمن عيباً وظيفياً في كيفية تحقق منصة Emissary من أهداف الشبكة المقدمة عبر واجهات الإدارة أو التنقل الخاصة بها. وتقع نقطة الفشل المحددة في NavAction.java، وهو ملف تحكم إداري مكتوب بلغة Java يدير منطق التنقل، أو إعادة توجيه واجهة المستخدم، أو ربط النقاط الطرفية داخل بيئة خادم Emissary.

في ظروف التشغيل المعتادة، يعالج NavAction.java معطيات المسار أو المعلمات أو معرفات الموارد الخارجية التي يقدمها المشغلون أو الوحدات المتصلة لتوجيه وكلاء معالجة البيانات الداخلية. وفي الحالة غير المصححة الموثقة في CVE-2026-54442، يفشل الكود في التحقق بشكل كافٍ من سلاسل الوجهة المستهدفة أو تحليلها أو تنقيتها قبل بدء الطلبات اللاحقة. ويتيح هذا الفشل الهيكلي لقيم الإدخال تجاوز حدود الشبكة المتوقعة.

ونظراً لأن الآلية الأساسية تشكل تزوير طلبات من جانب الخادم، يمكن لجهة خارجية أو شبه موثوقة تتفاعل مع المكون حث الخادم المضيف على إصدار استدعاءات شبكة إلى عناوين يحددها المستخدم. وبدلاً من جلب موارد آمنة، يعمل الخادم نفسه كوكيل غير مدرك لما يفعله. ويفيد الإخطار التقني الصادر عن VulDB بأنه تم إعداد التعديل البرمجي المعالج، وأنه يجب على المشغلين الذين يستخدمون توزيعات معرضة للخطر تطبيق التصحيح المناسب لحل الخلل في بيئاتهم التشغيلية.

## أسباب الأهمية

تمثل ثغرات تزوير الطلبات من جانب الخادم إحدى أخطر فئات عيوب تطبيقات الويب من الناحية التشغيلية، لأنها تعكس فعلياً امتيازات محيط الخادم المستهدف ضد بنيته التحتية الداخلية. وعندما ينجح المهاجم في التلاعب بالخادم لإرسال حزم شبكية عشوائية، يمكن إساءة استخدام الهوية الموثوقة لهذا الخادم لتجاوز جدران الحماية المحيطية، وحواجز ترجمة عناوين الشبكة، وقوائم التحكم في الوصول المحلية التي تحمي عادةً البيئات الخاصة من الإنترنت العام.

وفي البنى السحابية الحديثة وبيئات الشركات الافتراضية، غالباً ما تُستخدم هجمات SSRF لاستهداف واجهات الاسترجاع المحلي أو عناوين البيانات الوصفية المحلية للارتباط، مثل خدمة البيانات الوصفية لنسخ السحابة القياسية الموجودة على العنوان 169.254.169.254. ويمكن أن يسمح الوصول إلى هذه النقاط الطرفية للجهات غير المصرح لها باستخراج بيانات اعتماد الهوية السحابية المؤقتة، ورموز التشفير الخاصة، وملفات التكوين، وأسرار تنسيق الحاويات دون الحاجة إلى دخول مباشر إلى الشبكات الفرعية الداخلية.

وبالنسبة للأنظمة التي تشغل إطار عمل Emissary التابع لوكالة الأمن القومي، يتضاعف التأثير بفعل طبيعة عمليات نشر البرنامج النموذجية؛ إذ إن Emissary هو محرك معالجة قائم على الوكلاء مصمم ليكون في صميم خطوط استيعاب البيانات الحساسة، ويتعامل مع تدفقات هائلة من الملفات غير المنقحة والتي يحتمل ألا تكون موثوقة. وإذا أمكن تحويل إطار الاستيعاب نفسه إلى عقدة فحص واستخراج داخلية، فيمكن للأطراف المعادية الحصول على موطئ قدم عميق داخل المركز التحليلي للمؤسسة. وبالنسبة للوكالات الفيدرالية، وشركاء الاستخبارات، وموردي القاعدة الصناعية الدفاعية الذين يتعاملون مع تدفقات بيانات خاضعة لحقوق الملكية، يعد تأمين كل واجهة من واجهات خطوط الأنابيب الآلية ضد SSRF أمراً بالغ الأهمية للحفاظ على الامتثال لهيكلية الثقة الصفرية.

## الخلفية

أطلقت وكالة الأمن القومي برنامجها الرسمي للبرمجيات مفتوحة المصدر عبر "برنامج نقل التكنولوجيا" الخاص بها، وهي مبادرة صيغت بموجب تشريعات نقل التكنولوجيا الفيدرالية للسماح للمختبرات الحكومية ومكونات الاستخبارات بنشر أدوات برمجية غير مصنفة سرياً للقطاع التجاري ومجتمع المصادر المفتوحة. وعلى مدار العقد الماضي، أتاحت هذه الآلية استخدام العديد من الأدوات الاستخباراتية البارزة على نطاق واسع في المجال المدني. ففي عام 2014، نقلت الوكالة NiagaraFiles، وهو محرك ضخم لتوجيه البيانات وتتبع مصدرها، إلى Apache Software Foundation، حيث تحول إلى Apache NiFi. وفي عام 2019، أطلقت الوكالة علناً Ghidra، وهي حزمة برمجية متطورة للهندسة العكسية طورتها مديرية الأبحاث التابعة لها، والتي حظيت سريعاً بتبنٍ واسع النطاق بين باحثي البرمجيات الخبيثة التجاريين والفرق الأكاديمية للأمن السيبراني.

وطُرح Emissary للعامة بموجب هذا النهج مفتوح المصدر نفسه في عام 2015. وقد جرى تطوير النظام داخلياً على مدى عدة سنوات لمعالجة مشكلة أساسية في التعامل مع البيانات: كيفية استيعاب وتحليل وتصنيف وتحويل الملفات الضخمة أو غير المنظمة أو غير المتجانسة على نطاق واسع. وفي بنية Emissary، تتواجد عمليات تشغيل ذاتية ومستقلة تسمى "places" داخل عقد معالجة تعمل بنظام الند للند. وتُقيّم وحدات البيانات الواردة — التي يشار إليها باسم "mobile objects" — وفقاً لجداول التسجيل وتُرسل ديناميكياً من مكان إلى آخر عبر شبكة معالجة، حيث تتحور وتتفكك وتُستخرج بياناتها الوصفية حتى اكتمال التحليل.

ونظراً لاعتماد Emissary على حاويات الويب القياسية المخصصة للمؤسسات وأطر الخدمات المصغرة المكتوبة بلغة Java لتشغيل عقده وعرض واجهات المستخدم الرسومية لإدارته، تخضع نقاط النهاية الإدارية لتهديدات أمن التطبيقات المعتادة. ويشكل NavAction.java، بصفته معالج إجراءات في طبقة العرض والتوجيه، واجهة بين المشغلين البشريين أو الخدمات المصغرة الخارجية والمحرك الأساسي. وقد شكلت العيوب في التحقق من صحة عناوين URL عبر برمجيات المؤسسات القائمة على Java تاريخياً فئة متكررة في Common Weakness Enumeration تحت التصنيف CWE-918، الذي يحدد تزوير الطلبات من جانب الخادم.

## ردود الفعل

لم يصدر مكتب الشؤون العامة لوكالة الأمن القومي ولا المشرفون الأساسيون على مستودع مشروع Emissary على GitHub بياناً صحفياً علنياً فورياً بخصوص CVE-2026-54442 بالتزامن مع إدراج التسجيل في قاعدة البيانات. وفي مسارات عمل معالجة ثغرات المصادر المفتوحة، يقوم المشرفون عموماً بدمج إصلاحات الثغرات عبر عمليات التثبيت القياسية وعلامات الإصدار قبل أو بالتزامن مع إدخالها في قواعد البيانات الأمنية، متجنبين التعليقات العامة البارزة ما لم يتم رصد استغلال نشط في البيئات الواقعية.

وداخل المنتديات المستقلة لأبحاث الثغرات الأمنية، أثار نشر القيد تذكيرات لمديري الأنظمة بشأن الدفاع المحيطي والانضباط في التحقق من المدخلات. وتقوم فرق أمن المؤسسات التي تراقب سلاسل التوريد الفيدرالية بوضع علامات تدقيق دورية على أي قيود في سجل Common Vulnerabilities and Exposures ترتبط بمستودعات مجتمع الاستخبارات. ومن المتوقع أن تقوم مؤسسات قطاع الدفاع الممتثلة لتوجيهات Cybersecurity and Infrastructure Security Agency بتقييم مخزونها البرمجي للتحقق من وجود نُسخ Emissary وتأكيد تطبيق التصحيحات على مستوى الشيفرة المصدرية. وعادةً ما تمثل التنبيهات الرسمية الصادرة عن مجمّعات الثغرات الآلية مثل VulDB إشارة البدء لأدوات الفحص الآلي التي تستخدمها مراكز العمليات الأمنية التجارية لتحديث توقيعات منع التسلل المحلية لديها.

## ما نجهله حتى الآن

لا تزال عدة تفاصيل جوهرية تتعلق بـ CVE-2026-54442 غير واضحة في الإفصاحات الأولية عن الثغرة. ويأتي في مقدمتها ما إذا كان باحثو الأمن أو عمليات الفحص الآلي قد وثقوا استغلالاً نشطاً للثغرة في البيئات الواقعية ضد أنظمة الإنتاج قبل النشر. ويقدم الإخطار الأولي تفاصيل التصنيف التقني دون تأكيد ما إذا كانت شيفرة استغلال لإثبات المفهوم قد تم تداولها علناً أو عبر شبكات بحثية مغلقة.

علاوة على ذلك، لا تزال مصفوفة الإصدارات الدقيقة غير مكتملة في المنشور الأولي المقتضب. ورغم أن الثغرة تشير مباشرة إلى NavAction.java، إلا أن السجل يترك تساؤلات مفتوحة حول إصدارات برمجيات Emissary السابقة المعرضة للخطر وعلامة تصحيح الإصدار المحددة التي تحقق المعالجة الكاملة. كما يظل من غير الواضح ما إذا كانت الثغرة تتطلب وصولاً إدارياً مصدقاً لمكون NavAction لتفعيلها، أم يمكن لمستخدمي الشبكة غير الموثقين القادرين على الوصول إلى منفذ الويب الخاص بالخدمة إطلاق طلبات SSRF عن بُعد. وسيحدد الرد على هذه الأسئلة ما إذا كانت المشكلة ستُصنف كخطر داخلي معتدل أم كثغرة شبكية حرجة وعالية الخطورة وفق مقياس Common Vulnerability Scoring System.

## ما تجب مراقبته

في الأيام المقبلة، ينبغي للمراقبين متابعة مستودع الشيفرة المصدري الرسمي NationalSecurityAgency/emissary على GitHub لنشر تثبيت إصدار صريح أو طلب سحب أو إشعار أمني رسمي يوضح بالتفصيل التعديل البرمجي الدقيق المطبق على NavAction.java. وستحدد هذه الوثائق آليات التحقق الدقيقة التي جرى إدخالها، مثل القوائم المسموح بها الصارمة لمخططات الوجهة وأسماء المضيفين، أو الرفض البرمجي لنطاقات عناوين IP المحلية للاسترجاع والخاصة الداخلية.

وينبغي لخبراء الأمن أيضاً متابعة التحليل اللاحق من National Institute of Standards and Technology. وبمجرد قيام National Vulnerability Database بمعالجة القيد، ستحدد سلاسل متجهات ودرجات خطورة Common Vulnerability Scoring System الرسمية، مبينةً ما إذا كان ناقل الهجوم متاحاً عبر الشبكة، وما إذا كانت امتيازات المستخدم مطلوبة، ومستوى التأثير على السرية والنزاهة والتوافر. وأخيراً، سيراقب مسؤولو التعاقدات الفيدرالية لمعرفة ما إذا كانت الثغرة ستُدرج في النهاية ضمن كتالوج Known Exploited Vulnerabilities التابع لـ Cybersecurity and Infrastructure Security Agency، وهو ما سيحدد مواعيد نهائية ملزمة للمعالجة بالنسبة للوكالات التنفيذية المدنية التي تشغل البرنامج.

يستند هذا المقال إلى تقارير وسجلات تقنية نشرتها VulDB في 31 أكتوبر 2026.