Katalog podatności CVE

WarehousePG (WHPG) w wersjach 6.27.1–6.27.6 oraz 7.2.1–7.6.0 zawiera podatność braku autoryzacji (CWE-862) w funkcjach rozszerzania klastra gp_expand_lock_catalog() i gp_expand_bump_version(). Każda uwierzytelniona rola bazy danych może je wywołać bez sprawdzania uprawnień, co pozwala zablokować zmiany katalogu w całym klastrze lub wielokrotnie rozłączać sesje posiadające tabele tymczasowe.

System nie unieważnia istniejących tokenów dostępu powiązanych z użytkownikami podorganizacji podczas wrażliwych operacji zarządzania kontem, takich jak reset hasła, zmiana roli lub wyłączenie podorganizacji. W rezultacie wcześniej wydane tokeny pozostają aktywne mimo zmiany lub odebrania kontekstu dostępu użytkownika.

Rekurencyjny serwer BIND, który otrzyma zapytanie z żądaniem rekurencji (RD=1), a następnie zapytanie nierekurencyjne (RD=0), może zakończyć działanie z błędem asercji, powodując odmowę usługi. Aby wystąpiła podatność, serwer BIND musi zezwalać na zapytania rekurencyjne i mieć skonfigurowane co najmniej dwie strefy RPZ: jedną z domyślnym ustawieniem "recursive-only yes", a drugą z "recursive-only no". Problem dotyczy BIND 9 w wersjach 9.16.0 do 9.18.50, 9.20.0 do 9.20.29, 9.21.0 do 9.21.26, 9.11.3-S1 do 9.18.50-S1 oraz 9.20.9-S1 do 9.20.29-S1.

Resolver BIND skonfigurowany zarówno ze strefą "redirect", jak i "qname-minimization strict" może przerwać działanie z błędem asercji podczas przetwarzania przekierowania. Problem dotyczy BIND 9 w wersjach 9.16.0 do 9.18.50, 9.20.0 do 9.20.29, 9.21.0 do 9.21.26, 9.16.8-S1 do 9.18.50-S1 oraz 9.20.9-S1 do 9.20.29-S1.

Odtworzenie podpisanych wiadomości UDP GSS-TSIG może spowodować uszkodzenie pamięci w "named". Atakujący, który przechwyci wcześniej podpisaną wiadomość UDP, może ją odtworzyć, gdy klucz TSIG jest nadal ważny, a także wysyłać spreparowane zapytania do strefy pod swoją kontrolą, co może potencjalnie doprowadzić do zdalnego wykonania kodu.

Apache bRPC w wersji < 1.18.0 udostępnia wbudowane usługi /flags i /pprof, które pozwalają zdalnemu atakującemu na zmianę ścieżek zrzutu (bvar_dump_file, bvar_dump_tabs, mbvar_dump_file) i tworzenie katalogów lub nadpisywanie plików z uprawnieniami procesu serwera. Dodatkowo parametr ?seconds= w /pprof nie jest ograniczany, co umożliwia blokowanie procesowego profilera CPU na dowolnie długi czas.

Podatność typu HTTP request/response smuggling w bibliotece Apache bRPC w wersji < 1.18.0 wynika z niespójnej interpretacji nagłówków HTTP/1.1 przez wbudowany parser. bRPC akceptuje nieprawidłowe formy nagłówków (spacje przed dwukropkiem, spacje w wartościach Content-Length, obs-fold, traktowanie trailerów chunked jako nagłówków, listy Transfer-Encoding z odstępami), co pozwala atakującemu na przemycenie żądań lub nagłówków, gdy bRPC działa za proxy lub load balancerem.

W Apache bRPC (wersje < 1.18.0) występuje nieprawidłowa autoryzacja, która pozwala zdalnym atakującym na dostęp do usług wbudowanych przez port publiczny. Ścieżki protokołów opartych na protobuf nie egzekwowały flagi security_mode, umożliwiając wywołanie usług takich jak brpc.vars lub hotspots.

Podatność w Apache bRPC (wersje < 1.18.0) wynika z niezgodności interpretacji ścieżek HTTP między bRPC a frontowym proxy. Funkcja FindMethodPropertyByURI() pomija puste segmenty ścieżki (podwójne ukośniki), przez co ścieżki takie jak //flags są traktowane jak /flags, mimo że wg RFC 3986 są to różne ścieżki. Dodatkowo HTTP/2 nie waliduje pseudo-nagłówka :path, co pozwala na obejście reguł ACL proxy i dostęp do usług wewnętrznych.

Wyścig danych w transporcie RDMA Apache bRPC (wersje < 1.18.0) pozwala zdalnemu klientowi zawiesić proces serwera (odmowa usługi), gdy RDMA jest włączone podczas kompilacji i działania. Po zakończeniu uzgadniania RDMA serwer nadal przetwarza gniazdo TCP jako kanał RPC, współdzieląc bez synchronizacji bufory wejściowe i stan parsera z przetwarzaniem zdarzeń RDMA, co prowadzi do uszkodzenia danych i awarii.

Podatność w Apache bRPC w wersjach przed 1.18.0 pozwala zdalnemu złośliwemu peerowi wywołać awarię procesu poprzez wyścig między zamykaniem połączenia a odrodzeniem health checka. W oknie, gdy Socket jest adresowalny, ale nie ma deskryptora pliku, dochodzi do niepowodzenia CHECK i zakończenia procesu, co prowadzi do odmowy usługi.

Klient Thrift w Apache bRPC (wersja < 1.18.0, zbudowany z WITH_THRIFT, domyślnie wyłączonym) może zostać zawieszony przez serwer, z którym się komunikuje. Gdy serwer zwróci odpowiedź T_EXCEPTION z nieprawidłową strukturą wyjątku, klient dekoduje ją bez przechwytywania wyjątków Apache Thrift (TProtocolException, TTransportException lub std::length_error), co prowadzi do std::terminate() i zakończenia całego procesu wraz z innymi trwającymi RPC.

Apache bRPC w wersjach przed 1.18.0 zawiera podatność niekontrolowanej rekurencji w komponencie mcpack2pb. Zdalny atakujący może spowodować awarię serwera poprzez wysłanie głęboko zagnieżdżonych danych mcpack, co prowadzi do przepełnienia stosu i crashu procesu.

W funkcji streamingu Apache bRPC w wersjach poniżej 1.18.0 występuje wymuszalny asercja, która pozwala zdalnemu atakującemu na awarię procesu serwera poprzez wysłanie zniekształconej ramki feedback strumienia. Funkcja Stream::SetRemoteConsumed() zawiera CHECK(_cur_buf_size > 0) oraz bezwarunkową asercję CHECK(buf.IsEmpty()) na ładunku ramki, a ich niespełnienie przerywa proces.

W resolverze BIND przychodzące komunikaty protokołu DNS o określonej strukturze powodują dodatkowe przetwarzanie bez nałożonego przez BIND limitu. Komunikat DNS z złośliwie dużą liczbą takich struktur spowoduje, że BIND zużyje nieproporcjonalnie dużo czasu CPU i pamięci podczas przetwarzania. Problem dotyczy BIND 9 w wersjach 9.11.0 do 9.18.50, 9.20.0 do 9.20.29, 9.21.0 do 9.21.26, 9.11.3-S1 do 9.18.50-S1 oraz 9.20.9-S1 do 9.20.29-S1.

Podatność nieprawidłowej walidacji indeksu tablicy w Velneo vServer dotyczy wersji od 36.0 przed 36.6 oraz od 37.0 przed 37.2. Błąd może prowadzić do niebezpiecznego dostępu do pamięci poza zakresem tablicy.

Biblioteka PHPOffice PHPPresentation do wersji 1.2.0 zawiera podatność niezabezpieczonej deserializacji, która pozwala atakującemu na utworzenie dowolnych obiektów PHP poprzez dostarczenie spreparowanego pliku prezentacji. Atakujący może przesłać archiwum ZIP zawierające PhpPresentation.xml, które IOFactory::load przekazuje do unserialize(), umożliwiając wykonanie kodu poprzez łańcuch gadgetów, zapis plików lub atak odmowy usługi.

Trudesk w wersji do 1.2.11 zawiera podatność polegającą na braku uwierzytelniania w trasach debugowania, które są aktywne, gdy zmienna NODE_ENV nie jest ustawiona. Nieuwierzytelniony atakujący może zdalnie wywołać te trasy, w tym /debug/populatedb, co pozwala usunąć wszystkie grupy, tagi i zgłoszenia, a następnie zalogować się na wbudowane konta przy użyciu hasła 'password'.

Trudesk do wersji 1.2.11 zawiera podatność wstrzyknięcia kodu JavaScript po stronie serwera, która pozwala uwierzytelnionym użytkownikom na wstrzyknięcie kodu do klauzuli $where MongoDB poprzez parametr wyszukiwania. Atakujący mogą zamknąć wyrażenie regularne w GET /api/v1/tickets/search, aby zapętlić mongod w celu odmowy usługi lub wycieku pełnych dokumentów zgłoszeń, w tym notatek wewnętrznych.