Katalog podatności CVE

ZenTao PMS przed wersją 22.3 zawiera podatność obejścia autoryzacji w commonModel::isOpenMethod(), która pozwala zalogowanym użytkownikom pominąć kontrole ACL oparte na grupach dla dowolnej metody zawierającej „ajax”. Użytkownicy z minimalnymi uprawnieniami mogą wywoływać metody takie jak task.ajaxGetByID, system.ajaxDBAuthUrl i admin.ajaxChangeTableEngine, aby czytać dane, uzyskiwać poświadczenia bazy danych, uruchamiać zadania CI i modyfikować tabele.

W aplikacji Shopper od wersji 2.0.0 do 2.6.0 występuje brak autoryzacji, który pozwala użytkownikom panelu administracyjnego z uprawnieniem `access_dashboard` na tworzenie administratorów i nadawanie uprawnień. Atakujący mogą wywołać `CreateTeamMember::store()` lub `Permissions::togglePermission()` bezpośrednio przez `/livewire/update`, aby utworzyć konta administratorów i eskalować uprawnienia.

W aplikacji Insurance-Management-System wykryto podatność SQL Injection w funkcji mysqli_query w pliku /Agent/ManagePolicy/EditPolicyHolder.php. Manipulacja argumentem Policy_no/Name pozwala na wstrzyknięcie kodu SQL. Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny.

Podatność w komponencie streaming RPC Apache bRPC (wersje < 1.18.0) pozwala zdalnemu atakującemu na wyczerpanie pamięci serwera i wywołanie odmowy usługi (DoS) poprzez wysłanie pojedynczego żądania RPC deklarującego nadmierną liczbę strumieni. Serwer tworzy osobny strumień odpowiedzi dla każdego identyfikatora z pola extra_stream_ids, bez limitu liczby akceptowanych strumieni w jednym RPC, a każdy strumień alokuje własną kolejkę bthread i zasoby.

Podatność w Apache bRPC (wersje < 1.18.0) polega na nieograniczonym gromadzeniu danych w pamięci podczas składania pofragmentowanych wiadomości strumieniowych. Zdalny atakujący może wysyłać niekończącą się sekwencję ramek kontynuacyjnych, powodując wyczerpanie pamięci serwera i odmowę usługi (DoS).

W kliencie streamingowym Apache bRPC (wersje 1.11.0–1.17.0) występuje podatność typu out-of-bounds read. Klient tworzący wiele strumieni w jednym RPC indeksuje zwrócone identyfikatory extra_stream_id bez uprzedniego sprawdzenia rozmiaru listy, więc złośliwy lub przejęty serwer może zwrócić malformed StreamSettings z mniejszą liczbą identyfikatorów i wywołać odczyt poza granicami bufora.

Podatność na wyczerpanie zasobów w Apache bRPC w wersjach przed 1.18.0 dotyczy wielu parserów przetwarzających dane kontrolowane przez klienta. Dekompresory gzip/zlib/snappy nie ograniczają rozmiaru danych wyjściowych, a parsery AMF, RTMP, sofa-pbrpc i mcpack2pb ufają rozmiarom deklarowanym w transmisji, co pozwala atakującemu wywołać nadmierne zużycie pamięci i awarię procesu.

Apache bRPC w wersji < 1.18.0 zawiera podatność na niekontrolowane zużycie zasobów w ścieżce odbioru HTTP/2 (h2). Zdalny, nieuwierzytelniony atakujący może wysyłać spreparowane ramki HTTP/2, aby wywołać awarię serwera lub nieograniczony wzrost zużycia pamięci. Przyczyną jest brak egzekwowania limitów odbioru (m.in. MAX_CONCURRENT_STREAMS, MAX_HEADER_LIST_SIZE) oraz obejście limitu bufora zapisu przez ramki kontrolne.

Podatność w dekoderze kompresji nagłówków HPACK w stosie HTTP/2 (h2/gRPC) Apache bRPC w wersji < 1.18.0 pozwala zdalnemu atakującemu wywołać awarię procesu serwera poprzez wysłanie spreparowanej sekwencji nagłówków HPACK. Błąd polega na błędnym rozmiarze bufora pierścieniowego tabeli dynamicznej (34 zamiast 33 bajtów na wpis), co prowadzi do przepełnienia i przerwania CHECK, skutkując odmową usługi.

Use-after-free na stercie w komponencie protokołu RTMP Apache bRPC (wersje < 1.18.0) pozwala zdalnemu atakującemu zawiesić serwer RTMP bRPC przez wysłanie spreparowanego komunikatu kontrolnego Abort. Gdy komunikat Abort wskazuje aktualnie parsowany strumień chunków, obiekt jest usuwany podczas działania Feed(), co prowadzi do use-after-free.

Niekontrolowana alokacja zasobów w komponencie mcpack2pb Apache bRPC (wersja < 1.18.0) pozwala zdalnym atakującym zmusić serwer do alokacji dużej ilości pamięci przez wysłanie spreparowanego żądania mcpack z ogromną liczbą elementów tablicy. Parser ufa liczbie elementów z nagłówka bez walidacji względem rzeczywistego rozmiaru ładunku, co może spowodować preallokację około 16 GB pamięci wirtualnej.

W komponencie mcpack2pb Apache bRPC w wersjach poniżej 1.18.0 występuje niedomiar liczby całkowitej. Funkcja UnparsedValue::as_string() oblicza `_size - 1` bez walidacji `_size`; gdy value_size wynosi 0, wyrażenie ulega niedomiarowi do SIZE_MAX, resize() zgłasza std::length_error, a nieprzechwycony wyjątek powoduje przerwanie procesu (SIGABRT).

Podatność typu out-of-bounds read w Apache bRPC przed wersją 1.18.0 występuje na platformach, gdzie typ plain char jest bez znaku (np. ARM64). Bajty wejściowe z ustawionym najwyższym bitem (0x80–0xFF) nie są normalizowane do zakresu signed char, przez co indeksy w tablicach wyszukiwania URL i nagłówków (case-insensitive) wykraczają poza ich rozmiar. Umożliwia to zdalnemu atakującemu wywołanie awarii procesu i odmowy usługi (DoS) poprzez spreparowane dane wejściowe.

Apache bRPC w wersjach przed 1.18.0 nie egzekwuje spójnie skonfigurowanego limitu max_body_size podczas parsowania HTTP/1 i HTTP/2 w trybie nieprogresywnym oraz odpowiedzi memcache i couchbase. Zdalny nieuwierzytelniony peer może spowodować buforowanie danych ponad limit, prowadząc do wyczerpania pamięci i odmowy usługi.

Protokół Legacy Pipe (handshake / sendPipeData) używa zaszytej tożsamości SUPER_USER (root) podczas wykonywania operacji ładowania i usuwania danych. Użytkownik z uprawnieniami tylko na poziomie SYSTEM (np. USE_PIPE lub MAINTAIN), bez uprawnień WRITE_DATA lub DELETE_DATA, może wysłać spreparowane komunikaty PipeData i wykonać operacje jako root, omijając model uprawnień IoTDB.

Implementacja protokołu Redis w Apache bRPC pozwalała parserowi poleceń inline na alokację i kopiowanie całego bufora połączenia przed otrzymaniem kompletnego polecenia zakończonego CRLF. Zdalny atakujący mógł wysyłać długie dane inline bez kończącego CRLF, zwiększając zużycie pamięci i obciążenie CPU, co potencjalnie prowadziło do odmowy usługi.

Parser AMF w komponencie RTMP Apache bRPC przyjmuje długości łańcuchów i liczby elementów tablic bezpośrednio z niezaufanych danych wejściowych. Zdalny nieuwierzytelniony atakujący może wysłać mały ładunek AMF z nadmierną zadeklarowaną długością lub liczbą elementów, powodując nadmierną alokację pamięci przed odrzuceniem niekompletnego ładunku.

Integer underflow i odczyt poza granicami bufora w parserze ramek DATA serwera HTTP/2 w Apache bRPC pozwala nieuwierzytelnionemu zdalnemu atakującemu na wywołanie odmowy usługi poprzez wysłanie zniekształconej ramki DATA z ustawioną flagą PADDED i zerową długością ładunku.

Nieograniczona rekurencja w parserze AMF w Apache bRPC przed 1.18.0 pozwala zdalnemu peerowi RTMP na zawieszenie procesu bRPC poprzez wysłanie głęboko zagnieżdżonych obiektów lub tablic AMF. Parser przetwarzał zagnieżdżone kontenery bez limitu głębokości, co mogło wyczerpać stos natywny.

Nieograniczona rekurencja w parserze odpowiedzi Redis w Apache bRPC przed 1.18.0 pozwala zdalnemu serwerowi Redis na zawieszenie procesu klienta bRPC poprzez zwrócenie głęboko zagnieżdżonej odpowiedzi tablicy RESP. Parser rekurencyjnie przetwarzał każdy poziom zagnieżdżenia bez limitu głębokości.