كُشف مؤخرًا عن ثغرتين أمنيتين خطيرتين – تحملان الرمزَيْن CVE-2025-59054 وCVE-2025-58356 – تؤثران على ثمانية أنظمة مختلفة للحوسبة السرّية تعتمد على تقنية تشفير الأقراص LUKS2 (Linux Unified Key Setup v2)، المستخدمة لحماية البيانات في بيئات التنفيذ الموثوقة.
أنظمة متأثرة بخلل في تشفير الأقراص
وفقًا لتقرير أمني صادر عن شركة Trail of Bits، تشمل الأنظمة المتأثرة كلًا من: Oasis Protocol، Phala Network، Flashbots TDX، Fortanix Salmiac، Edgeless Constellation، Edgeless Contrast، وCosmian VM.
وأوضح الباحث الأمني Tjaden Hess أن المهاجم الذي يمتلك حق الوصول إلى الأقراص التخزينية يمكنه، عبر استغلال هذه الثغرات، استخراج جميع البيانات السرّية المخزّنة على القرص أو تعديل محتواه بالكامل.
خلل في رؤوس البيانات الميتا يسمح بخداع أنظمة التشفير
يعود سبب الثغرتين إلى وجود مرونة مفرطة (malleability) في رؤوس بيانات metadata ضمن بنية LUKS2، ما يتيح للمهاجم خداع بيئة التنفيذ الموثوقة (TEE) لتشفير بيانات حساسة باستخدام خوارزمية فارغة (null cipher)، مما يفقد عملية التشفير فعاليتها بالكامل.
ورغم خطورة الهجوم، أشار الباحثون إلى أنه يتطلب وصولًا فعليًا أو صلاحية كتابة على الأقراص المشفّرة، ما يقلّل من احتمالات استغلاله على نطاق واسع.
تحديث جزئي وتوصيات أمنية
تم إطلاق تحديث جزئي في أداة cryptsetup (الإصدار 2.8.1) لتخفيف أثر الثغرتين، لكن الخبراء ينصحون المستخدمين والمطوّرين الذين يعتمدون على LUKS2 بمراجعة إعدادات التشفير وتطبيق التصحيحات الأمنية فورًا.
حتى الآن، لا توجد أدلة على استغلال الثغرتين في هجمات فعلية، إلا أن الخبراء يحذّرون من أن مثل هذه الثغرات تمثّل تهديدًا كبيرًا لسلامة بيئات الحوسبة السرّية التي تعتمد على عزل البيانات الحساسة في أنظمة التشفير عالية الأمان.
