Katalog podatności CVE

GitPython to biblioteka Pythona do interakcji z repozytoriami Git. Przed wersją 3.2.1 funkcja create_submodule() w git/objects/submodule/base.py akceptuje ścieżkę podmodułu kontrolowaną przez atakującego, taką jak .git/hooks, i wywołuje _clone_repo() przed bezpiecznym odrzuceniem celu. W wersji 3.1.x _validate_repo_path() nie istnieje i wywołanie kończy się po cichu, a w 3.2.0 i późniejszych sprawdzenie w git/index/base.py zgłasza ValueError dopiero po zapisaniu klonu na dysk i nie usuwa umieszczonego pliku. Atakujący może umieścić wykonywalny hook post-checkout, który zostanie uruchomiony przez późniejszą operację Git.

toml-node to parser TOML dla Node.js i przeglądarek. W wersjach przed 5.0.1 funkcja toml.parse() przekazuje nieograniczone sekwencje cyfr szesnastkowych, ósemkowych, binarnych i dziesiętnych do BigInt() przed sprawdzeniem zakresu 64-bitowego, co pozwala na atak typu denial of service poprzez synchroniczne zablokowanie pętli zdarzeń Node.js.

toml-node to parser TOML dla Node.js i przeglądarki. Przed wersją 5.0.1 funkcja toml.parse() wielokrotnie dzieli i łączy każdy prefiks ścieżki w lib/compiler.js podczas przetwarzania długich kluczy kropkowych, nagłówków tabel, nagłówków tablic tabel i kluczy tabel inline w assign(), deepRef() i setNestedKey(). Powstała praca kwadratowa może zablokować pętlę zdarzeń Node.js na kilka sekund, a wystarczająco długie ścieżki mogą zakończyć proces z powodu wyczerpania pamięci.

toml-node to parser TOML dla Node.js i przeglądarki. Przed wersją 5.0.1 funkcja toml.parse() może zapisywać kontrolowane przez atakującego właściwości do Object.prototype, ponieważ quoteDottedString() w lib/compiler.js tworzy ten sam ciąg księgowania dla różnych ścieżek kluczy w cudzysłowach, co pozwala addTableArray() wyczyścić zabezpieczenie innego klucza. Ścieżka assign() schodzi następnie przez nieposiadaną wartość Date bez zastosowania sprawdzenia posiadanego kontenera i może dotrzeć do łańcucha prototypów. Obiekty utworzone w innym miejscu procesu mogą odziedziczyć wstrzykniętą właściwość. Podatność naprawiono w wersji 5.0.1.

toml-node to parser TOML dla Node.js i przeglądarki. Przed wersją 5.0.1 funkcja addTableArray() w lib/compiler.js ponownie skanuje kompletne zestawy księgowe assignedPaths i valueAssignments dla każdego nagłówka tablicy tabel. Różne ścieżki [[name]] nie są przycinane, więc dokument z wieloma takimi nagłówkami powoduje kwadratową pracę synchroniczną i może zablokować pętlę zdarzeń Node.js, odmawiając usługi innym operacjom w procesie.

Narzędzie nbconvert (jupyter nbconvert) w wersjach 5.4.0–7.17.1 zawiera podatność path traversal w ExtractOutputPreprocessor, gdzie kontrolowana przez atakującego nazwa pliku metadanych wyjściowych komórki jest łączona z output_files_dir bez ograniczenia do docelowego katalogu. Podczas konwersji złośliwego notatnika z eksporterem markdown, LaTeX, reStructuredText lub AsciiDoc dane wyjściowe mogą zostać zapisane w dowolnych lokalizacjach dostępnych dla ofiary.

Django REST framework to zestaw narzędzi do budowania API sieciowych. Przed wersją 3.18.2 funkcja DefaultContentNegotiation.get_accept_list w rest_framework/negotiation.py akceptuje nieograniczoną liczbę i łączny rozmiar tokenów Accept, podczas gdy select_renderer w tym pliku wielokrotnie wywołuje parsowanie _MediaType z rest_framework/utils/mediatypes.py dla każdego tokenu kontrolowanego przez atakującego, każdego renderera i wymuszonej renegocjacji 406. Zdalny nieuwierzytelniony klient może wysłać wiele odrębnych typów mediów zawierających duże wartości parametrów w cudzysłowach z licznymi średnikami, powodując nieproporcjonalne zużycie CPU przez parser parametrów Django i powtarzalną strukturę parsowania DRF. Żądania do dowolnego osiągalnego endpointu mogą blokować synchroniczne workery na dłuższy czas, a równoczesne żądania mogą spowodować niedostępność usługi do momentu zaprzestania żądań. Problem naprawiono w wersji 3.18.2.

W Django REST framework od wersji 3.12.0 do 3.18.2 metoda TokenProxy.delete() używa identyfikatora użytkownika jako klucza głównego, podczas gdy rzeczywiste wiersze identyfikuje ciąg tokena, przez co Django wykonuje zapytanie usuwające, które nie pasuje do żadnego wiersza i zgłasza zero usunięć bez błędu. Aplikacje lub skrypty unieważniające poświadczenia przez TokenProxy mogą sądzić, że token został unieważniony, podczas gdy pozostaje on aktywny i nadal uwierzytelnia, a tokeny DRF nie wygasają automatycznie.

Podatność w bibliotece Perl Algorithm::UrataniTakeda (wersje 0.1.5 do 0.1.7) pozwala na wyczerpanie pamięci poprzez nieczyszczony cache przesunięć błędów podczas wyszukiwania. Cache jest przechowywany dla każdej pary stan trie i znak tekstu i nigdy nie jest usuwany, co prowadzi do wzrostu zużycia pamięci przy każdym wyszukiwaniu z nowymi znakami.

Django REST framework w wersjach od 3.6.4 do 3.18.2 używa wartości charset z nagłówka Content-Type dostarczonego przez klienta w codecs.getreader, akceptując kodeki transformujące bajty, takie jak bz2_codec. Pozwala to nieuwierzytelnionemu klientowi na przesłanie skompresowanego ciała JSON, które zostanie rozpakowane po sprawdzeniu DATA_UPLOAD_MAX_MEMORY_SIZE, zużywając znaczną pamięć na proces roboczy.

Jupyter Server to backend dla aplikacji webowych Jupyter. Od wersji 2.0.0 do 2.6.0 włączenie GatewayClient.url zastępowało normalny KernelWebsocketHandler przez WebSocketChannelsHandler, który uwierzytelniał użytkownika, ale nie wywoływał authorizer.is_authorized(...) dla akcji execute na zasobie kernels. Ograniczony uwierzytelniony użytkownik mógł zatem otworzyć kanał jądra upstream i uzyskać wykonanie kodu jądra pomimo skonfigurowanego Autoryzatora odmawiającego tej akcji, narażając dane i poświadczenia dostępne dla jądra oraz umożliwiając modyfikację lub zakłócenie środowiska jądra. Domyślna konfiguracja bramy jest naprawiona w wersji 2.6.0. W wersji 2.6.0 i późniejszych ten sam obejście autoryzacji pozostaje możliwy, gdy wdrożenie ręcznie rejestruje przestarzały moduł jupyter_server.gateway.handlers, ponieważ jego handler nadal pomija skonfigurowaną decyzję autoryzacji wykonania jądra.

Brak weryfikacji źródła kanału komunikacji w funkcji default_bucket() w Amazon SageMaker Python SDK w wersjach V3 przed 3.10.0 i V2 przed 2.257.3 może pozwolić zdalnym aktorom na wykonanie kodu w docelowym środowisku wykonawczym SageMaker i uzyskanie poświadczeń IAM poprzez wcześniejsze utworzenie przewidywalnie nazwanego zasobnika S3, którego SDK używa bez weryfikacji własności.

Apache Traffic Server w wersjach 9.2.15, 10.1.4 i 10.2.0 zapisuje jedną nieograniczoną linię logu diagnostycznego dla każdego usuwanego wewnętrznego nagłówka @, więc żądanie zawierające wiele takich nagłówków powoduje zapis znacznie większej ilości danych logu niż zawiera samo żądanie.

Apache Traffic Server może zostać wykorzystany do wyczerpania puli roboczej źródła HTTP/1.1 za pomocą zniekształconej ramki DATA HTTP/2 z dopełnieniem. Problem dotyczy wersji od 8.0.0 do 8.1.11, od 9.0.0 do 9.2.15, od 10.0.0 do 10.1.4 oraz 10.2.0. Zaleca się aktualizację do wersji 9.2.16, 10.1.5 lub 10.2.1, które naprawiają problem.

Apache Traffic Server pozwala na wyczerpanie puli wątków roboczych serwera źródłowego HTTP/1.1 poprzez przesłanie skróconej wartości Content-Length w żądaniu HTTP/2. Podatność dotyczy wersji 8.0.0–8.1.11, 9.0.0–9.2.15, 10.0.0–10.1.4 oraz 10.2.0.

Podatność w emulowanym celu MCTP-over-I2C+GPIO (mctp_i2c_gpio_target.c) polega na tym, że po odebraniu I2C STOP nie są czyszczone numer wybranego rejestru (b->reg_addr) ani flaga fazy danych (b->rxtx). Kontroler magistrali może dwoma zwykłymi transakcjami doprowadzić do wywołania mctp_bus_rx() z buforem NULL lub do dereferencji b->tx_pkt->end po jego wyczyszczeniu, co powoduje wyjątek w obsłudze przerwania i reset lub zatrzymanie urządzenia.

Podatność typu race condition w jądrze Zephyr dotyczy funkcji z_waitq_head(), która w systemach SMP odczytuje początek kolejki oczekujących wątków bez trzymania spinlocka _sched_spinlock. W wyniku wyścigu między obsługą wygaśnięcia timera a przerywaniem wątku może dojść do zapisów poza zakresem i use-after-free w kontekście supervisora oraz uszkodzenia stanu schedulera.

Podatność w weryfikatorze trybu użytkownika dla wywołania systemowego peci_transfer() w Zephyr RTOS. Funkcja z_vrfy_peci_transfer() sprawdzała jedynie uprawnienia do obiektu urządzenia i kopiowała strukturę peci_msg, nie weryfikując wskaźników buf ani wartości len w osadzonych strukturach tx_buffer i rx_buffer, które były przekazywane do sterownika bez sprawdzenia. Umożliwia to użytkownikowi z dostępem do urządzenia PECI zapis do pamięci jądra, odczyt pamięci jądra oraz wywołanie błędu w trybie supervisora.

W SourceCodester Food Order Management System 1.0 wykryto podatność w nieznanej funkcji komponentu Admin Endpoint. Manipulacja prowadzi do braku autoryzacji, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystany.

MongoDB Compass nieprawidłowo escapuje niektóre wartości BSON podczas konwersji potoku agregacji zapisanego widoku na edytowalny kod źródłowy. Gdy użytkownik połączy się z wdrożeniem zawierającym specjalnie spreparowany widok i otworzy go do edycji, wartości mogą spowodować wykonanie dowolnego kodu z uprawnieniami użytkownika uruchamiającego Compass.