آسیب پذیری اعتبارنامه‌های Hard-coded در ابزار sar2html (CVE-2026-110667)

شناسه CVE: CVE-2026-110667
تاریخ انتشار: ۱۴ اکتبر ۲۰۲۶، ساعت ۱۹:۰۰
شدت: نامشخص (NA)

شرح آسیب پذیری:
در ابزار sar2html نسخه 4.0.0 محصول cemtan، یک ضعف امنیتی شناسایی شده است. عملکرد آسیب پذیر در فایل sar2html.py قرار دارد و از طریق دستکاری آرگومان SECRET_KEY، امکان سوءاستفاده از اعتبارنامه‌های Hard-coded فراهم می‌شود. این حمله می‌تواند از راه دور اجرا شود. پروژه از طریق یک گزارش issue در جریان مشکل قرار گرفته، اما تا زمان انتشار این گزارش، پاسخی ارائه نکرده است.

جزئیات فنی:
اعتبارنامه‌های Hard-coded (CWE-798) زمانی رخ می‌دهند که کلیدها، رمزهای عبور یا توکن‌ها به‌صورت ثابت در کد منبع برنامه قرار می‌گیرند. در sar2html.py، مقدار SECRET_KEY به‌صورت ثابت تعریف شده است و مهاجم با دستکاری این آرگومان می‌تواند رفتار برنامه را کنترل کند. از آنجا که این مقدار در کد قابل مشاهده است، هر فردی که به کد دسترسی داشته باشد می‌تواند از آن سوءاستفاده کند. در sar2html، این کلید معمولاً برای امضای نشست‌ها یا محافظت از داده‌های حساس به‌کار می‌رود و افشای آن می‌تواند به جعل نشست، دسترسی غیرمجاز یا تغییر داده‌های خروجی منجر شود. اجرای از راه دور این حمله، سطح خطر را افزایش می‌دهد. با این حال، از آنجا که امتیاز CVSS این آسیب پذیری در پایگاه داده به‌صورت NA ثبت شده، ارزیابی دقیق ریسک نیازمند بررسی محیط استقرار و سطح دسترسی به ابزار است.

توصیه امنیتی:
مدیران سیستم باید در اسرع وقت وضعیت sar2html را بررسی کرده و در صورت امکان، مقدار SECRET_KEY را از کد به متغیرهای محیطی منتقل کنند. تا زمان انتشار وصله رسمی، توصیه می‌شود دسترسی به ابزار sar2html محدود به شبکه‌های مورد اعتماد شود، سرویس پشت VPN یا لایه احراز هویت قرار گیرد و پایش لاگ‌های دسترسی فعال گردد. همچنین توصیه می‌شود نسخه‌های Fork یا وصله‌شده توسط جامعه بررسی و در صورت مناسب بودن جایگزین شوند.

نکته عملیاتی برای تیم‌های دواپس و امنیت سرور:
اعتبارنامه‌های Hard-coded یکی از رایج‌ترین و در عین حال کم‌توجه‌ترین ضعف‌ها در ابزارهای داخلی و اسکریپت‌های مدیریتی است. انتقال رمزها و کلیدها به متغیرهای محیطی یا سیستم‌های مدیریت Secrets، پایش مداوم کد منبع برای شناسایی مقادیر ثابت و محدودسازی دسترسی به ابزارهای داخلی، بخشی از اصول نگهداری امن زیرساخت محسوب می‌شود. در محیط‌هایی که ابزارهای جانبی مانند sar2html برای تحلیل لاگ و مانیتورینگ استفاده می‌شوند، بازبینی دوره‌ای امنیت این ابزارها می‌تواند از بروز نفوذهای گسترده جلوگیری کند.