آسیبپذیری Salesforce Marketing Cloud و خطر افشای دادههای ایمیل
خلاصهٔ کاملتر
Salesforce Marketing Cloud یا SFMC یکی از بزرگترین پلتفرمهای ارسال ایمیلهای بازاریابی شرکتهاست. این سرویس از موتورهای قالبسازی AMPScript و SSJS برای شخصیسازی محتوا استفاده میکنه. محققان Searchlight Cyber کشف کردن که این سیستم چند نقص جدی داشته که مهاجم میتونست از طریق اونها به دادههای بازاریابی سازمانهای مختلف دسترسی پیدا کنه.
اولین مشکل، template injection بود. تابعی مثل TreatAsContent در AMPScript به عنوان یه «eval رشته به عنوان کد» عمل میکنه. وقتی SFMC موضوع ایمیل رو دوبار ارزیابی میکرد، یه مهاجم میتونست با ثبتنام با نامکاربری مثل %%=RowCount(LookupRows("_Subscribers","SubscriberKey",_subscriberkey))=%% کد دلخواه تزریق کنه. بعد از این، توابع داخلی مثل LookupRows روی Data Views داخلی مثل _Subscribers و _Sent اجرا میشدن و کل دیتاست بازاریابی یه tenant در دسترس مهاجم قرار میگرفت.
مشکل جدیتر در ویژگی «مشاهده ایمیل در مرورگر» بود. پارامتر رمزشده qs در URL این قابلیت، با رمزنگاری CBC بدون احراز هویت پیادهسازی شده بود که در برابر حمله padding oracle آسیبپذیره — یعنی مهاجم میتونست محتوای رمزشده رو رمزگشایی و دوباره جعل کنه. علاوه بر این، یه طرح قدیمیتر هم وجود داشت که از XOR ساده با کلید ثابت استفاده میکرد و رمزگشایی سریع پارامترهایی مثل JobID رو ممکن میساخت.
بدترین بخش ماجرا اینجا بود: SFMC از یک کلید رمزنگاری ثابت مشترک برای همه مشتریان استفاده میکرد. یعنی وقتی مهاجم این طرح رو میفهمید، میتونست توکنهای جعلی برای دسترسی به ایمیلهای سازمانهای دیگه هم بسازه — نه فقط سازمان خودش. این یعنی یه نقص در یه جا، کل زیرساخت مشترک رو در معرض خطر میذاشت.
سیلزفورس این مشکلات رو که در قالب چند CVE ثبت شدن در ژانویه ۲۰۲۶ پَچ کرد: مهاجرت به AES-GCM برای رمزنگاری لینکها، چرخش کلیدها، غیرفعالکردن ارزیابی دوباره subject، و انقضای اجباری تمام لینکهای قدیمی قبل از ۲۱ ژانویه ۲۰۲۶. هیچ سوءاستفاده مخرب تأییدشدهای هم گزارش نشده.
نکات کلیدی:
- تزریق به موتور قالبسازی AMPScript اجازه میداد مهاجم کوئری روی دیتابیس مشترکین بزنه
- رمزنگاری CBC بدون احراز هویت در پارامتر
qsدر برابر حمله padding oracle آسیبپذیر بود - استفاده از کلید رمزنگاری ثابت و مشترک بین همه tenantها، خطر را چند-برابر میکرد
- سیلزفورس به AES-GCM مهاجرت کرد و تمام لینکهای قدیمی رو باطل کرد
- زیرساخت SaaS مشترک میتونه «فقط داده بازاریابی» رو به یه هدف پرارزش تبدیل کنه
