كيف حوّلت 5 ثغرات منفردة منصة زابير إلى كارثة سلسلة توريد: قصة سلسلة Zapocalypse
باحثو Token Security يربطون 5 مشاكل برمجية معروفة (Anti patterns) للتصعيد من حساب زابير مجاني إلى صلاحيات كتابة على حزم NPM العامة والداخلية، بدءًا من استخراج مفاتيح AWS من ذاكرة Lambda المؤقتة. زابير تستجيب للتقرير في غضون 4 أيام، وتؤكد إكمال الإصلاح في 5 مارس 2026، مع عدم وجود دليل على استغلال الثغرة فعلياً.
What was the "Zapocalypse" exploit chain in Zapier, how did each of its five stages work from sandbox escape to NPM publish access, what vulThe Zapocalypse chain connected AWS Lambda, ECR, container image history, NPM tokens, and browser code execution—none of which were individually vulnerable.
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: What was the "Zapocalypse" exploit chain in Zapier, how did each of its five stages work from sandbox escape to NPM publish access, what vul. Article summary: Here is a comprehensive breakdown of the "Zapocalypse" exploit chain, based on the disclosure by Token Security researchers and the reporting by Help Net Security [5].. Topic tags: general, documentation, general web. Reference image context from search candidates: Reference image 1: visual subject "# Welcome to IT-Branschen – The Channel for IT News, Cybersecurity and Digital Trends. ## For Companies, Suppliers and Decision Makers in the IT Industry. ### Digital strategy and" source context "Zapier's NPM account hacked, 425 packages infected" Reference image 2: visual subject "A newly disclosed exploit chain dubbed Zapocalypse shows how a low-privilege code-ex
openai.com
في مايو 2026، كشف باحثو شركة Token Security النقاب عن سلسلة استغلال من خمس مراحل أسموها "Zapocalypse"، والتي أظهرت كيف يمكن لتجميع مجموعة من الممارسات البرمجية الخاطئة والمعروفة أن يحوّل حساباً مجانياً على منصة Zapier إلى صلاحيات كتابة على حزم SDK العامة للمطورين والحزم الداخلية للمنصة. المشكلة لم تكن في نظام واحد، بل كانت كامنة في "التركيب" بين خمسة أنظمة تديرها خمسة فرق مختلفة، لم يضطر أي منها لتتبع مسار هجوم كامل عبر حدوده .
المرحلة الأولى: الهروب من الصندوق الرملي عبر استخراج البيانات من الذاكرة (Memory Scavenging)
بدأت السلسلة داخل ميزة Code by Zapier، التي تتيح للمستخدمين تشغيل أكواد Python و JavaScript داخل حاويات AWS Lambda. كانت منصة زابير تحاول حذف مفاتيح AWS السرية من متغيرات البيئة باستخدام الأمر
del os.environ[k]
قبل تمرير الكود إلى دالة exec(). لكن هذا الأسلوب لا يقوم بتصفير البايتات المتبقية في ذاكرة العملية (process heap)، بل يكتفي باستدعاء دالة unsetenv.
استغل الباحثون هذه الثغرة عبر قراءة الملف الوهمي /proc/self/mem واستخدام أربعة أنماط من التعابير النمطية (regex) لفحص مناطق الذاكرة القابلة للقراءة. نجحوا في استعادة رموز جلسات AWS (STS tokens) الحية الخاصة بدور IAM الخاص بحاوية Lambda، متجاوزين بذلك كل إجراءات العزل .
المرحلة الثانية: تعداد مستودعات الحاويات (ECR) بصلاحيات دنيا
الدور المستعاد كان اسمه allow_nothing_role، لكن الاسم كان مضللاً. فقد منح الدور أربع صلاحيات لخدمة سجل الحاويات المرن (ECR): ecr:DescribeRepositories و ecr:ListImages و ecr:BatchGetImage و ecr:GetDownloadUrlForLayer.
هذه الصلاحيات الأربع كانت كافية لسحب صور الحاويات مباشرة عبر API الخاص بـ AWS، دون الحاجة لأي رمز مصادقة لسجل Docker. باستخدامها، تمكن الباحثون من تعداد 1,111 مستودعاً إنتاجياً وسحب صور الحاويات .
المرحلة الثالثة: استعادة رمز نشر NPM من تاريخ صورة الحاوية
داخل إحدى صور الحاويات المسحوبة، اكتشف الباحثون رمز نشر خاص بمنصة NPM كان قد تسرب إلى تاريخ إعدادات الحاوية. الرمز تم تمريره إلى عملية البناء عبر تعليمة ARG في ملف Dockerfile، مما يجعله يُسجل بشكل دائم في حقل history[] غير القابل للتغيير داخل الصورة. وهذا يعني أن أي شخص يمكنه سحب الصورة كان بإمكانه استخراج الرمز .
المرحلة الرابعة: صلاحيات نشر على NPM مع تجاوز التحقق الثنائي (2FA)
الرمز المستعاد من NPM كان يحتوي على ثلاث خصائص خطيرة:
action: write
و
name: null
و
bypass_2fa: true
. هذه التركيبة منحت صلاحيات نشر لجميع الحزم التي يملكها الحساب المرتبط، بما في ذلك zapier-platform-core و zapier-platform-cli وحزمة التصميم zapier-design-system. يعني إعداد
bypass_2fa: true
أن المصادقة الثنائية لم تكن مطلوبة لأي عملية نشر، مما أتاح وصولاً غير مقيد للكتابة على سجل NPM .
المرحلة الخامسة: موطئ قدم محتمل في سلسلة التوريد وتنفيذ كود داخل المتصفح
الحزمة الأكثر خطورة في السلسلة كانت zapier-design-system، والتي تُحمّل في كل جلسة مصادق عليها على موقع zapier.com. تحقق الباحثون من مسار التحميل هذا عبر أدوات المطورين في المتصفح وتوقفوا عند هذا الحد، ولم ينشروا أي حزمة خبيثة .
لو قام مهاجم بنشر نسخة مسمومة من هذه الحزمة، لكانت قد نفذت كود JavaScript تحت سيطرة المهاجم داخل نطاق zapier.com الموثوق بمجرد التحديث التالي. من هذا الموقع، يمكن للمهاجم إنشاء Zaps وTables وخوادم MCP، والتحكم بالتكاملات الموجودة نيابة عن المستخدمين الموثقين. رموز OAuth ومفاتيح API للخدمات المتصلة تبقى على الخادم، لكن الضرر العملياتي كان سيظل كارثياً .
الجدول الزمني لاستجابة زابير
قدمت Token Security التقرير في 12 فبراير 2026. وخلال أربعة أيام، قامت زابير بفرز التقرير، وإلغاء رمز NPM المسرب، وتشديد الدور الأساسي في AWS. تم تأكيد إكمال المعالجة بحلول 5 مارس 2026. وأفادت زابير بعدم وجود أي دليل على استغلال الثغرة في الواقع .
حصل الباحثون على الحد الأقصى لمكافأة البرنامج وقدرها 3,000 دولار، والتزمت زابير بمراجعة سقف المكافآت في المراجعة التالية للبرنامج .
تجدر الإشارة إلى أن هذا الكشف البحثي منفصل عن هجوم حقيقي على سلسلة التوريد تعرض له حساب زابير على NPM في 24 نوفمبر 2025، عندما اخترقت دودة Shai Hulud 2.0 الحساب وأصابت 425 حزمة .
الدرس الأوسع: 'ثغرات التركيب' تقع بين مسؤوليات الفرق
لخص يائير باليلتي، قائد فريق أبحاث الأمن في Token Security، النتيجة الأساسية:
"كل حلقة في السلسلة كانت نمطاً معروفاً. الثغرة كانت في التركيب، والتركيب هو بالضبط ما يقع بين الفرق المختلفة. صندوق Lambda الرملي، ECR و IAM، رمز GitLab CI، نشر NPM، المتصفح - كل منها مملوك لفريق مختلف، وكل فريق يمكنه النظر إلى الجزء الخاص به ويستنتج بشكل معقول أنه بخير. الخطر لا يظهر إلا عندما تتتبع مساراً عبرها جميعاً."
الخلاصة هي أنه لا يوجد فريق واحد كان يملك ثغرة فردية. فريق Lambda لم يرَ مشكلة في استخراج الذاكرة لأن الرمز كان يفترض أن يكون خارج النطاق. فريق IAM رأى دوراً محصوراً بإجراءات قراءة فقط على ECR. فريق CI/build مرر رمز NPM كمعامل بناء. فريق NPM أدار رمزاً بصلاحية كتابة. فريق المتصفح قام بتحميل حزمة تصميم. كل قرار كان معقولاً بذاته، لكن السلسلة عبر الأنظمة الخمسة كانت كارثية .
هذا يوضح أن مراجعات الهوية والصلاحيات يجب أن تتعقب مسارات الهجوم عبر حدود الأنظمة، بدلاً من تدقيق صلاحيات كل مكون بمعزل عن الآخر. تحتاج المؤسسات إلى مراجعات أمنية عابرة للفرق لفحص كيف يمكن لتكوينات تبدو غير ضارة أن تتركب لتشكل سلاسل هجوم خطيرة عندما تتفاعل الأنظمة معاً .
Studio Global AI
Search, cite, and publish your own answer
Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.
ما هي الإجابة المختصرة على "كيف حوّلت 5 ثغرات منفردة منصة زابير إلى كارثة سلسلة توريد: قصة سلسلة Zapocalypse"؟
باحثو Token Security يربطون 5 مشاكل برمجية معروفة (Anti patterns) للتصعيد من حساب زابير مجاني إلى صلاحيات كتابة على حزم NPM العامة والداخلية، بدءًا من استخراج مفاتيح AWS من ذاكرة Lambda المؤقتة.
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
باحثو Token Security يربطون 5 مشاكل برمجية معروفة (Anti patterns) للتصعيد من حساب زابير مجاني إلى صلاحيات كتابة على حزم NPM العامة والداخلية، بدءًا من استخراج مفاتيح AWS من ذاكرة Lambda المؤقتة. زابير تستجيب للتقرير في غضون 4 أيام، وتؤكد إكمال الإصلاح في 5 مارس 2026، مع عدم وجود دليل على استغلال الثغرة فعلياً.
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
الدرس الأهم: 'ثغرات التركيب' تحدث عندما تبدو قرارات فرق Lambda، IAM، CI، NPM والمتصفح منفردة آمنة، لكنها تتحول إلى مسار هجوم مميت عند تتبعها عبر حدود الأنظمة.
