ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
مجموعة أدوات Metalama هي مجموعة أدوات مفتوحة المصدر للأنماط والبنية المعمارية لغة C# وتعتمد على Roslyn. من الإصدار 2023.0.101-rc وحتى 2025.1.18 و 2026.0.25 و 2026.1.19، تقوم التوافقية مع Windows Visual Studio بإلغاء تسلسل رسائل الأنابيب المسماة المحلية دون تقييد أنواع CLR التي يمكن إنشاؤها. يربط الأنبوب بين `devenv` وعملية تحليل شيفرة Roslyn خارج العملية وعملية `CodeLens`، وله اسم متوقع هو `Metalama_{role}_{processId}_{hash(PackageVersion)}`. تستخدم الإصدارات من السلسلة العامة الأولى 2023.0 وحتى 2026.0.x مكتبة Newtonsoft.Json مع ضبط `TypeNameHandling.All`؛ ويقوم `SerializationBinder` اللاحق بإعادة تعيين أسماء التجميعات فقط، بينما يحل `BindToType` أنواعًا عشوائية مقدمة عبر الشبكة دون قائمة سماح. تستخدم الإصدارات 2026.1.0 حتى 2026.1.18 مكتبة MessagePack عديمة الأنواع مع `TypelessObjectResolver` وتنشئ بشكل مشابه أنواعًا عشوائية. يمكن لعملية محلية لنفس المستخدم قادر على الكتابة في الأنبوب إرسال رسائل مصممة تؤدي إلى تنفيذ شيفرة عشوائية مع التأثير على السرية والنزاهة والتوفر داخل عملية Visual Studio المتأثرة. تقيد قوائم التحكم بالوصول (ACLs) الافتراضية لأنابيب Windows الكتابة للمستخدم نفسه المسجل دخوله، لذا لا تسبب هذه الثغرة تصعيد الصلاحيات أو تجاوز حد أمني؛ ولا تستخدم عمليات البناء عبر سطر الأوامر أو MSBuild فقط هذه القناة. يتأثر امتداد Metalama + PostSharp المدعوم من الإصدار 2024.1 حتى 2026.1.4، بينما الإصدارات السابقة من PostSharp الخالية من Metalama غير متأثرة. تظل امتدادات Metalama و Caravela المتقاعدة متأثرة وتتطلب الإزالة أو الانتقال. تم إصلاح مشكلة إطار العمل في الإصدارات 2025.1.18 و 2026.0.25 و 2026.1.19؛ وتم إصلاح امتداد Metalama + PostSharp لـ Visual Studio المدعوم في الإصدار 2026.1.5. تتطلب امتدادات Metalama و Caravela المتقاعدة الإزالة أو الانتقال.
المعالجة
المراجع
- تحذيرhttps://github.com/advisories/GHSA-h26j-4vp7-x9w2
- مرجعhttps://github.com/metalama/Metalama/security/advisories/GHSA-h26j-4vp7-x9w2
- مرجعhttps://github.com/metalama/Metalama/pull/1651
- مرجعhttps://github.com/metalama/Metalama/commit/5b4ced29f2b25631cc2e44d05b0fd5fe838b6cbe
- مرجعhttps://github.com/metalama/Metalama/commit/d97f52e1b53ffe4176b2b05c56ffdf1ccd2f53a9
- مرجعhttps://github.com/metalama/Metalama/releases/tag/release/2025.1.18
- مرجعhttps://github.com/metalama/Metalama/releases/tag/release/2026.0.25
- مرجعhttps://github.com/metalama/Metalama/releases/tag/release/2026.1.19
- مرجعhttps://nvd.nist.gov/vuln/detail/CVE-2026-62848