Katalog podatności CVE

W protokole PAPI systemu AOS-8 występuje podatność typu odmowa usługi (DoS) możliwa do wykorzystania bez uwierzytelnienia. Skuteczne wykorzystanie prowadzi do zakłócenia dostępności dotkniętego interfejsu.

W AOS-10 występują podatności typu uszkodzenie pamięci, które mogą pozwolić nieuwierzytelnionemu zdalnemu atakującemu na przeprowadzenie ataku odmowy usługi. Skuteczne wykorzystanie może zakłócić dostępność dotkniętej usługi.

W systemie AOS-8 występuje podatność polegająca na uszkodzeniu pamięci, która może pozwolić uwierzytelnionemu lokalnemu atakującemu na wykonanie dowolnego kodu. Skuteczne wykorzystanie może umożliwić wykonanie dowolnego kodu z uprawnieniami uprzywilejowanego użytkownika w systemie operacyjnym.

W interfejsie wiersza poleceń AOS-8 występuje przepełnienie bufora, które może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na uruchomienie dowolnych poleceń na hoście, jeśli spełnione są pewne warunki wstępne niezależne od atakującego. Skuteczne wykorzystanie może pozwolić na wykonanie dowolnego kodu jako uprzywilejowany użytkownik i pełne przejęcie systemu.

W AOS-8 występują podatności typu wstrzyknięcie poleceń, które mogą prowadzić do nieuwierzytelnionego zdalnego wykonania kodu poprzez wysłanie specjalnie spreparowanych pakietów PAPI. Skuteczne wykorzystanie pozwala na wykonanie dowolnego kodu jako uprzywilejowany użytkownik w systemie operacyjnym.

Podatności w wielu punktach końcowych interfejsu webowego urządzeń AOS-8 mogą pozwolić nieuwierzytelnionemu zdalnemu atakującemu na wywołanie przepełnienia bufora za pomocą specjalnie spreparowanych żądań. Skuteczne wykorzystanie może pozwolić na wykonanie dowolnych poleceń w systemie operacyjnym i pełne przejęcie systemu.

Podatność w określonym punkcie końcowym interfejsu webowego urządzeń AOS-8 może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na wywołanie przepełnienia bufora. Skuteczne wykorzystanie może pozwolić na wykonanie dowolnych poleceń w systemie operacyjnym i pełne przejęcie systemu.

Podatność w interfejsie webowym AOS-8 może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na zdalne wykonanie kodu. Skuteczne wykorzystanie może prowadzić do pełnej kontroli nad urządzeniem, umożliwiając przechwytywanie ruchu sieciowego i potencjalne przejęcie połączonych systemów.

W protokole PAPI systemu AOS-8 występuje luka przepełnienia bufora, którą można wykorzystać bez uwierzytelnienia. Udana eksploatacja może pozwolić zdalnemu atakującemu bez uwierzytelnienia zakłócić dostępność usługi na kontrolerze, przy ograniczonym wpływie na jej integralność.

W protokole PAPI systemu AOS-8 występuje podatność typu zapis pliku bez uwierzytelnienia. Skuteczne wykorzystanie może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na ograniczoną modyfikację plików w dotkniętym systemie oraz na zakłócenie dostępności dotkniętej usługi.

Podatność w interfejsie zarządzania webowego AOS-8 pozwala nieuwierzytelnionemu atakującemu z sąsiedniej sieci obejść mechanizmy uwierzytelniania i uzyskać dostęp do poufnych informacji. Skuteczne wykorzystanie może ujawnić dane w postaci jawnej, co może narazić inną infrastrukturę sieciową na dalsze kompromitacje.

Luka przepełnienia bufora w protokole PAPI systemu HPE Networking AOS-10 może pozwolić nieuwierzytelnionemu atakującemu z sąsiedniej sieci na dostęp do poufnych informacji. Udana eksploatacja może umożliwić pozyskanie danych potencjalnie przydatnych do dalszego dostępu do usług sieciowych AOS-10 oraz zakłócenie normalnego działania usługi.

W protokole PAPI systemu AOS-10 występuje podatność na wstrzyknięcie poleceń, która może prowadzić do nieuwierzytelnionego zdalnego wykonania kodu przez atakującego z sąsiedniej sieci wysyłającego specjalnie spreparowane pakiety. Skuteczne wykorzystanie może pozwolić na wykonanie dowolnego kodu z uprawnieniami uprzywilejowanego użytkownika w systemie operacyjnym.

Luka obejścia uwierzytelniania w systemie operacyjnym AOS-8 może pozwolić nieuwierzytelnionemu zdalnemu atakującemu ominąć istniejące mechanizmy kontroli dostępu. Udana eksploatacja może umożliwić wykonanie dowolnego kodu jako uprzywilejowany użytkownik i doprowadzić do pełnego przejęcia systemu.

Podatność w interfejsie wiersza poleceń AOS-8 może pozwolić uwierzytelnionemu zdalnemu atakującemu z wysokimi uprawnieniami na przeprowadzenie ataku typu server-side request forgery (SSRF). Skuteczne wykorzystanie może pozwolić atakującemu na wykonanie dowolnych poleceń w systemie operacyjnym.

Luki w zakresie uszkodzenia pamięci w dotkniętym interfejsie systemu AOS-10 mogą prowadzić do zdalnego wykonania kodu przez nieuwierzytelnionego atakującego z sąsiedniej sieci. Udana eksploatacja może pozwolić na wykonanie dowolnego kodu jako uprzywilejowany użytkownik w systemie operacyjnym.

Luka wstrzyknięcia poleceń w interfejsie wiersza poleceń AOS-8 dostępnym przez protokół PAPI może prowadzić do nieuwierzytelnionego zdalnego wykonania kodu przez atakującego z sąsiedniej sieci wysyłającego specjalnie spreparowane pakiety PAPI na port UDP 8211. Udana eksploatacja może pozwolić na wykonanie dowolnego kodu jako uprzywilejowany użytkownik w systemie operacyjnym.

Luka zdalnego wykonania kodu w systemie operacyjnym AOS-10 może pozwolić nieuwierzytelnionemu atakującemu z sąsiedniej sieci na wykonanie dowolnego kodu na dotkniętym urządzeniu. Udana eksploatacja może umożliwić wykonanie dowolnych poleceń jako uprzywilejowany użytkownik i doprowadzić do pełnego przejęcia systemu.

W AWS SAM CLI przed wersją 1.166.2 występuje wstrzyknięcie poleceń systemu operacyjnego w hooku Terraform. Podmiot mogący wpłynąć na konfigurację lub plik planu Terraform wykorzystywany podczas budowania może wykonać dowolne polecenia jako użytkownik budowania na hoście.

W Wasmtime w wersjach przed 24.0.13, 25.0.0–36.0.14, 37.0.0–46.0.3 oraz 47.0.0–47.0.4 występuje ucieczka z piaskownicy systemu plików w wasmtime-wasi. Zależność cap-std nieprawidłowo obsługuje dowiązania symboliczne z końcowym ukośnikiem na macOS oraz na jądrach Linux bez openat2.