Loom for AWS يمنح كل طلب غير مصادق عليه صلاحيات المسؤول الأعلى — CVE-2026-103956

في 2 أكتوبر 2026، نشرت AWS نشرة الأمان 2026-124-AWS، كاشفة عن CVE-2026-103956 في Loom for AWS، وهي منصة AWS Labs مفتوحة المصدر لبناء ونشر وإدارة وكلاء الذكاء الاصطناعي على Amazon Bedrock AgentCore Runtime. في عملية نشر لم يُهيَّأ فيها أي مزوّد هوية، منحت تبعية المصادقة في الواجهة الخلفية هوية مدير فائق ثابتة لكل طلب وارد — بما في ذلك الطلبات التي لا تحمل ترويسة Authorization إطلاقًا. وكان بإمكان عميل بعيد قادر على الوصول إلى الواجهة الخلفية أن يسجّل خوادم الأدوات، ويقرأ بيانات اعتماد التكامل المخزّنة، ويعيد كتابة سياسات دور IAM المرتبطة بأدوار الوكلاء المُدارة: تحكم إداري كامل في مستوى التحكم بالوكلاء مع انعدام أي مصادقة. يمنح NVD هذه الثغرة تقييم 10.0، حرِجة، بموجب كل من CVSS 3.1 وCVSS 4.0. يعود الفضل في الاكتشاف إلى Kenneth Cox، عبر الإفصاح المنسق. تصف النشرة ما قد تسمح به الثغرة؛ لكنها لا تصف ما فعله أي شخص بها.

ما الذي كانت تبعية المصادقة تفعله فعليًا

كان الخلل يكمن في تبعية المصادقة في الواجهة الخلفية. وفقًا للإشعار الأمني من GitHub GHSA-vgmj-998f-r8mp، كان مسار الشيفرة في تبعية المصادقة في الواجهة الخلفية — get_current_user، الدالة في الواجهة الخلفية Loom — تُعيد هوية مسؤول مضمّنة في الشيفرة، حساب مسؤول فائق في مجموعة g-admins-super، كلما لم يكن هناك أي مجمّع مستخدمين في Amazon Cognito ولا أي مزوّد هوية خارجي نشط. ولم يتحقق مما إذا كان المستدعي قد قدّم رمزًا. ولم ينتقل إلى الرفض. بل أعاد هوية المسؤول على أي حال.

تصف نشرة AWS النتيجة بالطريقة نفسها: أتاح الخلل لأي عميل شبكة الحصول على سلطة إدارية كاملة على مستوى التحكم الخاص بالوكيل. تُصنَّف CVE-2026-103956 ضمن CWE-306 (غياب المصادقة لوظيفة حرجة) وCWE-1188 (تهيئة افتراضية غير آمنة لمورد). متجه CVSS 3.1 الخاص بـ NVD هو AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — قابل للوصول عبر الشبكة، منخفض التعقيد، بلا امتيازات، بلا تفاعل من المستخدم، النطاق متغير، تأثير كامل على السرية والنزاهة والتوافر.

التأطير المهم، والجزء الذي يفسّر لماذا حصل CVSS 10.0 على مشروع صغير مفتوح المصدر، هو أن النشر بدون IdP ليس بحالة غريبة. فتثبيت Loom جديد لم يتم بعد توصيل Cognito به يكون في تلك الحالة بالضبط، وكذلك الحال بالنسبة لنشر لم يُضبط فيه إعداد مزوّد الهوية قط أو توقف عن العمل. ويتعامل التنبيه مع هذا كحالة شائعة وليس كسوء تهيئة كان على المشغّل أن يجلبه على نفسه.

ما يمكن لعميل غير مُصادَق عليه الوصول إليه

• تسجيلات الوكلاء وخوادم الأدوات: يمكن للعميل تسجيل خوادم الأدوات التي يُسمح للوكيل باستدعائها أو تعديلها، وهو ما يشكّل في بنية استدعاء الأدوات الفرق بين وكيل يقرأ تذكرة ووكيل ينفّذ شيئًا.

• بيانات اعتماد التكامل المخزَّنة: تخزّن المنصة بيانات الاعتماد الخاصة بالأنظمة الخارجية التي يتصل بها وكلاؤها وخوادم الأدوات التابعة لها، ويذكر البيان أن تلك البيانات كانت قابلة للقراءة.

• سياسات أدوار IAM على أدوار الوكلاء المُدارة: يصف التنبيه الاستشاري إعادة كتابة سياسات أدوار IAM المرتبطة بالأدوار التي تديرها Loom لوكلائها، وهي الخطوة التي تحوّل السيطرة على طبقة التنسيق إلى سيطرة على ما يمكن للوكلاء فعله داخل حساب AWS.

• كل ما تديره المنصة عدا ذلك: الوكلاء، والذكريات، وتهيئة المُخوِّل والأمان، والإعدادات — واستدعاء أي وكيل يشغّله النشر.

تلك العناصر الأربعة هي قائمة التنبيه نفسه لما يصل إليه الوصول الإداري الكامل، وليست إعادة بناء. ولا يُدّعى أن أي استغلال قد استخدم أيّاً منها.

مُثبَت، وغير مُثبَت

مُثبَت. كانت الثغرة موجودة وموثّقة في مصادر أولية متفق عليها: نشرة الأمن Security Bulletin 2026-124-AWS الصادرة عن AWS بتاريخ 2 أكتوبر 2026، والتنبيه GHSA-vgmj-998f-r8mp المنشور على GitHub في اليوم نفسه، وسجل CVE-2026-103956 في NVD. والإصدارات المتأثرة (ما قبل 1.6.1)، ودرجات CVSS، وتعيينات CWE، وإصدار الإصلاح، والإسناد متسقة فيما بينها. وسجل الأرشيف الخاص بهذه الحادثة مُصنَّف بدرجة ثقة A، وغير متنازع عليه، ويحمل real_harm على أنه false.

تضع حقول السجل نفسها الكشفَ في 2 أكتوبر 2026، بدقة اليوم، وتصف ادعاءَ إثبات مفهوم علني بأنه غير مُتحقَّق منه؛ ولا تحمل النشرة ولا الاستشارة دليلًا على وقوع هجوم. يُدرج السجل العام لـ NVD الخاص بـ CVE-2026-103956 كتالوج CISA للاستغلالات المعروفة على أنه فارغ لهذا الـ CVE، ويحمل سجل الأرشيف real_harm على أنه false. لذا: ثغرة يمكن لعميل شبكة غير مُصادَق عليه استغلالها، مع عدم وجود دليل في المصادر على أن أحدًا قد فعل ذلك.

يستحق الفصل أيضًا. يقيس معيار CVSS 10.0 ما قد تتيحه الثغرة، لا ما فعلته فعلاً. فدرجة 10.0 بدون استغلال وبدون ضرر مسجَّل هي حادثة كادت تقع، والأرشيف يصنّفها على هذا النحو.

الإصلاح، والفجوة التي دامت شهرين قبل تسميته

عالجت AWS المشكلة في Loom 1.6.1، الصادر في 4 أغسطس 2026. هذا التاريخ مهم: فقد صدر الإصدار قبل نحو شهرين من النشرة، وكان رقم CVE موجودًا علنًا. تصف ملاحظات إصدار v1.6.1 التغيير دون تسمية CVE — إذ يتطلب تجاوز المصادقة الآن اشتراكًا صريحًا بالإضافة إلى عميل loopback، وإلا فإنه يفشل مغلقًا مع خطأ 401 — لذا لم تكن خطورة العيب وتصنيفه مرئيين إلا لمستخدمي Loom الذين يتابعون المتتبعات، لا لأي شخص يقرأ ملاحظات الإصدار وحدها. أضاف الإصدار نفسه تحصينًا ضد SSRF لعمليات جلب اكتشاف OAuth.

بالنسبة إلى عمليات النشر المكشوفة بالفعل، تتمثل إرشادات AWS لما قبل الترقية في أن تكون مجموعة مستخدمين من Amazon Cognito أو مزوّد هوية خارجي نشط مهيّأً بالكامل قبل أن يصبح الوصول إلى الواجهة الخلفية ممكنًا من خارج loopback، وأن تتأكد من أن LOOM_ALLOW_UNAUTHENTICATED_LOCAL_DEV غير مضبوط خارج بيئة التطوير المحلية، وأن تقيّد الوصول الشبكي أو وصول مجموعات الأمان إلى الواجهة الخلفية في غضون ذلك. ويوضّح المنشور صراحةً أن تقييد الشبكة يقلّل من احتمال الوصول غير المقصود لكنه لا يسدّ المشكلة دون الترقية، وأن النسخ المتفرعة والتعليمات البرمجية المشتقة تحتاج إلى ترقيع أيضًا.

نفس النشرة، عيوب مختلفة

تشير ملاحظات ملخص السجل إلى أن 2026-124-AWS لا يتعلق فقط بهذه CVE. تم الكشف عن مشكلتين إضافيتين في Loom في اليوم نفسه وتم إصلاحهما في Loom 1.7.0: CVE-2026-103957، وهو SSRF في معالجة اكتشاف OAuth2 يمكن أن يرسل أسرار عميل OAuth2 أو رمز وصول مستخدم آخر إلى نقطة نهاية يتحكم بها المهاجم (CVSS 3.1 6.2، CVSS 4.0 8.2)، و CVE-2026-103958، وهو SSRF في معالجة اتصال خادم الأدوات والوكيل البعيد يمكن أن يصل إلى عناوين داخلية عشوائية، بما في ذلك نقطة نهاية تزويد بيانات الاعتماد الخاصة بالحاوية، ويقرأ الاستجابات (CVSS 3.1 7.6، CVSS 4.0 8.3). تطلب كلاهما مستخدمًا مصادقًا عليه يحمل نطاق mcp:write أو a2a:write. تغطي النشرة أيضًا CVE-2026-104019، وهو حقن أوامر نظام التشغيل في نص التحقق من بدء تشغيل Studio Space المستخدم بواسطة Amazon SageMaker Unified Studio، وحصل على 9.0 حرج وفقًا لـ CVSS 3.1، والتي تقول AWS إنها أصلحتها من جانب الخادم بتغيير تعقيم شامل مطبق عند إعادة تشغيل Space التالية.

بعد الترقية، تطلب AWS من المشغّلين تدوير أسرار عميل OAuth2 لتكاملات MCP وA2A، وإبطال الرموز التي كانت نشطة خلال النافذة المتأثرة وإعادة إصدارها، وإذا تم الوصول إلى بيانات اعتماد دور الحاوية، فقم بتدوير بيانات اعتماد جلسة دور IAM ومراجعة CloudTrail.

لماذا هذا السجل في الأرشيف

CVE-2026-103956 مُسجَّل كثغرة، وليس كحادث: تم اكتشافها، وليس بالضرورة استغلالها، INFRA وCRED، عالمي، خطورة عالية، ثقة عالية. تكمن قيمته في مجموعة السجلات في كونه حالة حدودية لفئة كاملة من مستويات التحكم بالوكلاء. مهمة Loom هي الاحتفاظ بالهويات، وتسجيلات خوادم الأدوات إلى جانب بيانات اعتماد التكامل الخاصة بها، وسياسات IAM التي تقرر ما يمكن للوكلاء الوصول إليه — الطبقة التي تربط منصة الوكلاء بحساب السحابة الذي تعيش فيه. فحص مفقود في تلك الطبقة لا يُضعف وكيلاً؛ بل ينقل السيطرة على الأصول. سجل شقيق في الأرشيف، الإفصاح AgentCorruption في 8 أكتوبر 2026 ضد Amazon Bedrock AgentCore، يصف نفس الطبقة التي يتم الوصول إليها عبر طريق مختلف، سلسلة SSRF من وكيل واحد مواجه للجمهور.

يُدرج الأرشيف كل حادثة موثّقة تخص عميلًا يحويها، ولكل منها مصادرها الخاصة ودرجة خطورتها ودرجة ثقتها وعلامتها المتنازع عليها، إلى جانب هذه الحادثة. تتناول هذه المقالة سجلًا واحدًا في تلك المجموعة، وهذا السجل هو موضع التصنيف الكامل حقلًا بحقل.

هذا سجل واحد، بحث فيه آخرون وأبلغوا عنه، ويُستشهد به هنا عزوًا إليهم. أما طبقة Loom نفسها — الهويات، وتسجيلات خوادم الأدوات، وسياسات IAM التي تحدّد ما يجوز للوكلاء لمسه — فهي الطبقة التي تبلغها أيضًا المدخلات الشقيقة في أرشيف حوادث الذكاء الاصطناعي، ويحمل كل سجل من تلك السجلات مصادره ودرجة خطورته ودرجة ثقته وعلامة كونه محل نزاع.