ثغرة حرجة في Starlette تهدد ملايين وكلاء الذكاء الاصطناعي

تم اكتشاف ثغرة حرجة بكودة BadHost في إطار عمل Python الويبي الشهير Starlette. يتم تحميل الحزمة أكثر من 325 مليون مرة في الأسبوع، مما يجعل هذه الثغرة واحدة من أخطر الثغرات للإنترنت العالمي ونظام بيئة وكلاء الذكاء الاصطناعي.

كيفية عمل ثغرة BadHost

ثغرة BadHost هي خلل في التحقق من صحة رؤوس HTTP Host في Starlette. وهي تسمح للمهاجمين بتجاوز فحوصات الأمان في تطبيقات الويب وتنفيذ هجمات خطيرة. على وجه التحديد، تسمح الثغرة بـ:

• تجاوز حماية CORS و CSRF
• إعادة توجيه حركة المرور إلى خادم ضار
• تنفيذ هجمات Host Header Injection
• تسويس جلسات الويب وملفات تعريف الارتباط للمصادقة
• تنفيذ إعادة توجيه مفتوحة إلى أي مضيف خارجي

إنها ثغرة حرجة لأن Starlette عبارة عن مكتبة ASGI منخفضة المستوى. يتم بناء آلاف أطر العمل الويبية عليها، بما في ذلك FastAPI الأكثر شهرة. ينتشر كل خلل في Starlette إلى جميع التطبيقات التي تستخدمها.

نطاق المشكلة

يتم استخدام Starlette كأساس لـ FastAPI، أسرع إطار عمل ويب نمواً لـ Python. خلال السنوات الثلاث الماضية، أصبح FastAPI معياراً لإنشاء خوادم API والخدمات الدقيقة. وفي عصر الذكاء الاصطناعي، أصبح FastAPI معياراً فعلياً للجزء الخلفي لوكلاء الذكاء الاصطناعي وتطبيقات LLM والخدمات السحابية.

325 مليون تحميل أسبوعي لـ Starlette ليس مجرد رقم كبير. هذا يعني أن الثغرة تؤثر بشكل محتمل على ملايين وكلاء الذكاء الاصطناعي النشطين والتطبيقات الويب والشركات الناشئة والعمارات السحابية للشركات.

«هذه واحدة من أخطر الثغرات في هذا العام لنظام بيئة

Python»، كما يلاحظ الباحثون في المجتمع.

الإجراءات المطلوبة

يجب على المطورين تحديث Starlette بشكل عاجل إلى النسخة المصححة. التحقق من الثغرة بسيط: إذا كان مشروعك يستخدم Starlette أو FastAPI بشكل مباشر أو غير مباشر، فأنت معرّض للثغرة. إجراءات الحماية:

• تحديث Starlette إلى آخر نسخة مصححة عبر `pip install --upgrade starlette`
• تحديث FastAPI وجميع الحزم التابعة
• إعادة تحميل جميع التطبيقات والخدمات بعد التحديث
• فحص سجلات الوصول للبحث عن نشاط مريب
• تحديث جميع وكلاء الذكاء الاصطناعي والروبوتات والخدمات السحابية

يجب على فرق DevOps أتمتة فحص وتحديث التبعيات بحيث يتم نشر هذه الإصلاحات الحرجة في غضون أيام وليس أسابيع.

الدلالات

تعتبر هذه الثغرة مثالاً ممتازاً على هشاشة سلسلة التبعيات في نظام بيئة Python. قد يؤدي خلل واحد في مكتبة منخفضة المستوى إلى تسويس ملايين التطبيقات. في عصر تعمل فيه ملايين الأنظمة الذكية المستقلة على الإنترنت، أصبحت التحديثات الأمنية الحرجة مسألة البقاء. يجب على المؤسسات تطبيق مراقبة تلقائية للثغرات في تبعياتها وعملية تحديث طارئة للأخطاء الحرجة.