Katalog podatności CVE

CallBackery w wersjach przed 0.62.0 dla Perla pozwala na atak odmowy usługi przez interpolację ścieżki żądania jako wyrażenia regularnego w CGI, FastCGI i PSGI. Hook before_dispatch usuwa PATH_INFO z końca URI podstawieniem, które interpoluje PATH_INFO bez cytowania, więc klient wybiera zarówno wzorzec, jak i dopasowywany ciąg.

CallBackery w wersjach przed 0.62.0 dla Perla pozwala na wykonanie poleceń systemowych przez polecenia powłoki sqlite3 w przywracanej kopii konfiguracji. restoreConfigBlob() przekazuje zrzut bazy do powłoki sqlite3, która wykonuje linie zaczynające się od kropki jako własne polecenia, więc .shell lub .system uruchamia polecenie systemowe, a .load ładuje kod natywny.

W CallBackery w wersjach przed 0.62.0 dla Perla kopie zapasowe konfiguracji są szyfrowane kluczem AES utworzonym przez dopełnienie hasła znakami "x" i przycięcie do 32 bajtów, bez soli i bez derywacji klucza. Pierwszy blok kopii zawiera 16-znakowe pole długości w formacie hex, więc odszyfrowanie jednego bloku potwierdza zgadywane hasło z pełną prędkością AES.

W CallBackery w wersjach przed 0.62.0 dla Perla podczas tworzenia kopii zapasowej konfiguracji pozostawiany jest w /tmp zrzut bazy danych konfiguracji z uprawnieniami do odczytu dla wszystkich. Funkcja getConfigBlob() zleca powłoce sqlite3 zapis zrzutu do /tmp/cbdump<pid> i nigdy go nie usuwa; plik dziedziczy umask procesu, a podłożony w tej przewidywalnej nazwie dowiązanie symboliczne jest podążane.

W CallBackery w wersjach przed 0.60.1 dla Perla nieuwierzytelnieni klienci mogą odczytać POD dowolnego pliku poprzez path traversal w trasie /doc. Trasa przekazuje żądaną nazwę do Pod::Simple::Search->find bez walidacji, a find dzieli nazwę po "::" i łączy części w ścieżkę pliku, więc nazwa taka jak "..::..::..::etc::motd" wychodzi poza @INC.

W HTTP::Parser::XS w wersjach przed 0.18 dla Perla funkcja parse_http_request obcina PATH_INFO na zakodowanym bajcie NUL. Parser XS dekoduje URL ścieżki żądania i mierzy wynik za pomocą strlen(), więc PATH_INFO kończy się na pierwszym bajcie zdekodowanym z %00; backend czysto perlowy nie jest dotknięty.

W Starlet w wersjach od 0.20 przed 0.33 dla Perla występuje wyczerpanie pamięci przez nieograniczone buforowanie przy dekodowaniu ciał żądań w formacie chunked. Dekoder dodaje każdy odczyt do jednego bufora nieprzetworzonego wejścia; nic nie ogranicza długości wiersza rozmiaru chunka, więc wiersz bez CRLF powiększa bufor tak długo, jak klient wysyła dane, a limit czasu odczytu restartuje się po każdym odczycie; dane dużego chunka są również trzymane w buforze do nadejścia całego chunka.

W Starlet w wersjach przed 0.33 dla Perla odpowiedzi na żądania HEAD zawierają ciało, co psuje kolejną odpowiedź na połączeniu trwałym lub potokowym. Metoda żądania nie jest przekazywana do writera odpowiedzi, więc ciało zwrócone przez aplikację dla HEAD jest wysyłane; z Plack::Middleware::Head ciało jest puste, ale odpowiedź HTTP/1.1 bez nagłówka Content-Length i tak otrzymuje terminator kodowania chunked; odpowiedzi ze statusem 204 lub 304 są również wysyłane z ciałem.

W Starlet w wersjach od 0.20 przed 0.33 dla Perla występuje wyczerpanie CPU przez backtracking wyrażeń regularnych przy dekodowaniu ciał żądań w formacie chunked. Wiersz rozmiaru chunka jest dopasowywany jako ciąg cyfr hex, następnie .* i CRLF; ciąg zakończony samym LF, a potem CRLF, nigdy nie pasuje, a silnik ponawia dopasowanie raz na każdą cyfrę, więc czas rośnie z kwadratem długości ciągu; nic nie ogranicza długości ciągu, który może obejmować kilka odczytów.

W Starlet w wersjach przed 0.33 dla Perla żądanie deklarujące duży Content-Length może zabić worker przez wyczerpanie pamięci. Ciało żądania jest czytane w pętli, która prosi sysread o całą pozostałą zadeklarowaną długość naraz; Perl powiększa bufor odczytu do tego rozmiaru przed nadejściem jakichkolwiek danych, więc długość większa niż dostępna pamięć powoduje zakończenie workera nieprzechwytywalnym błędem braku pamięci, zanim aplikacja zostanie wywołana.

FOSSBilling w wersjach przed 0.8.9 zawiera podatność Cross-Site Request Forgery w punkcie logowania personelu (POST /api/guest/staff/login). Funkcja checkGuestClientAuthentication() zezwala tylko na client_login i client_create, pozostawiając staff_login bez walidacji CSRF lub Origin, co pozwala zdalnym atakującym wymusić uwierzytelnienie.

Dell OpenManage Enterprise w wersjach przed 4.8.0 zawiera podatność na nieprawidłową neutralizację specjalnych elementów w poleceniach SQL (SQL Injection). Użytkownik z niskimi uprawnieniami mający dostęp zdalny może potencjalnie wykorzystać tę podatność, prowadząc do ujawnienia informacji.

Dell OpenManage Enterprise w wersjach przed 4.8.0 zawiera podatność związaną z niewystarczającą ochroną poświadczeń. Użytkownik z niskimi uprawnieniami mający dostęp zdalny może potencjalnie wykorzystać tę podatność, prowadząc do ujawnienia informacji.

Dell OpenManage Enterprise w wersjach przed 4.8.0 zawiera podatność polegającą na niewłaściwym ograniczeniu nadmiernej liczby prób uwierzytelnienia. Nieuwierzytelniony atakujący z dostępem do sieci sąsiedniej może potencjalnie wykorzystać tę podatność, prowadząc do zainicjowania ataków phishingowych.

SQLite w wersjach przed 3.54.0 zawiera podatność na wyczerpanie stosu w funkcji countOfViewOptimization(). Atakujący może doprowadzić do awarii procesu hosta poprzez count(*) na dużym wielowierszowym klauzuli VALUES. Dostarczenie SQL lub pliku bazy danych ze spreparowanym widokiem może wywołać głęboko zagnieżdżone wyrażenia TK_PLUS, których rekurencyjne zwalnianie w sqlite3ExprDeleteNN() wyczerpuje stos C, powodując odmowę usługi.

Powłoka wiersza poleceń SQLite do wersji 3.54.1 zawiera podatność na wstrzyknięcie poleceń w komendzie .recover, która dosłownie wypisuje złośliwe polecenia kropkowe zapisane w wartościach sqlite_schema.sql. Atakujący może przygotować bazę danych, której schemat zawiera poprawną instrukcję CREATE, a po niej linię .shell lub .system, co prowadzi do wykonania poleceń systemowych, gdy ofiara przekieruje wynik .recover do sqlite3.

vsftpd do wersji 3.0.5 zawiera podatność na obejście uwierzytelniania w funkcji ssl_data_accept(), która pozwala nieuwierzytelnionym atakującym przejąć połączenia danych FTPS poprzez wznowienie własnego biletu sesji TLS. Atakujący dzielący adres IP źródłowy ofiary może uzyskać bilet przez AUTH TLS, a następnie połączyć się z portem PASV ofiary, aby wykradać pobierane pliki lub wstrzykiwać dane przesyłane na serwer.

vsftpd do wersji 3.0.5 zawiera podatność polegającą na obejściu kontroli dostępu, która pozwala uwierzytelnionym użytkownikom FTP na wykonanie zabronionych poleceń poprzez użycie aliasów z prefiksem X zgodnych z RFC 775. Sprawdzenie cmds_denied w process_post_login() porównuje dosłowne tokeny, więc atakujący mogą wysłać XRMD, XMKD, XCWD, XPWD lub XCUP, aby wykonać zablokowane operacje, takie jak usuwanie katalogów.

Prometheus w wersjach do 3.15.1 zawiera podatność na wyciek poświadczeń, która pozwala atakującym przechwycić tokeny bearer Azure AD lub Google IAM poprzez przekierowanie żądań remote_write do innego hosta. Atakujący kontrolujący punkt końcowy remote-write lub serwer przekierowujący może zwrócić 3xx do swojego hosta i odtworzyć token, na przykład aby zapisywać metryki w backendzie ofiary.

Plausible Analytics w wersjach do 3.2.1 zawiera podatność typu mass assignment w update_traffic_change_notification, która pozwala uwierzytelnionym edytorom witryny na ponowne przypisanie powiadomień poprzez dostarczenie parametru site_id. Atakujący może przesłać traffic_change_notification[site_id] ustawione na klucz główny innej witryny poprzez PUT /sites/:domain/traffic-change-notification/:type, aby otrzymywać alerty ruchu i dane odwiedzających tej witryny.