ثغرة SOAPwn: خلل في معالجة SOAP يؤدي إلى تنفيذ شيفرة ضارة

كشف باحثو WatchTowr Labs عن ثغرة خطيرة في إطار عمل .NET Framework تتيح للمهاجمين استغلال آليات WSDL ووكيل HTTP لإنشاء مسار يؤدي إلى تنفيذ شيفرة عن بُعد (RCE) داخل تطبيقات المؤسسات. وقد أُطلق على الثغرة اسم SOAPwn، وهي ناتجة عن “تحويل غير صالح” (Invalid Cast) في طريقة تعامل .NET مع رسائل SOAP.

وتؤثر الثغرة على منتجات مثل Barracuda Service Center RMM وIvanti Endpoint Manager (EPM) وUmbraco 8، مع احتمال تأثر عدد أكبر من المنتجات نظرًا للاستخدام الواسع لـ .NET في التطبيقات المؤسسية.

كيف يستغل المهاجمون الثغرة؟

تعتمد SOAPwn على قدرة المهاجم على التحكم في ملف WSDL الذي يستخدمه التطبيق لإنشاء وكيل SOAP ديناميكي. وعند تمرير عنوان URL خبيث مثل:

كتابة تعليمات برمجية

file://attacker-controlled-path

يمكن إجبار وكيل SOAP على استخدام معالجات نظام الملفات بدلًا من HTTP، مما يؤدي إلى:

كتابة ملفات تعسفية على النظام
الكتابة فوق ملفات موجودة
تنفيذ شيفرة ضارة عبر تحميل Web Shell أو سكربت PowerShell

كما يمكن للمهاجم تمرير مسار UNC مثل:

كتابة تعليمات برمجية

file://attacker.server/poc/poc

مما يؤدي إلى كتابة طلب SOAP على مشاركة SMB خاضعة لسيطرته، وبالتالي التقاط تحدي NTLM ومحاولة كسره.

استغلال أقوى عبر ServiceDescriptionImporter

وجد الباحثون أن التطبيقات التي تستخدم ServiceDescriptionImporter لإنشاء وكلاء HTTP من ملفات WSDL تكون أكثر عرضة للهجوم، لأن هذه الفئة لا تتحقق من صحة عنوان URL المستخدم.

وبذلك يمكن للمهاجم:

تمرير WSDL مزيف
إسقاط Web Shell كامل بصيغة ASPX أو CSHTML
تحميل سكربتات PowerShell
الحصول على تنفيذ شيفرة عن بُعد داخل التطبيق المستهدف

موقف مايكروسوفت من الثغرة

بعد الإفصاح المسؤول في 2024 و2025، قررت مايكروسوفت عدم إصلاح الثغرة، معتبرة أنها ناتجة عن “سلوك التطبيق” وأن المطورين يجب ألا يعتمدوا على مدخلات غير موثوقة لإنشاء وكلاء SOAP ديناميكيًا.