Katalog podatności CVE

Błędne obcięcie długości bufora w sprawdzaniu autoryzacji bufora MPU w FreeRTOS-Kernel V11.3.0 i V11.3.1 na porcie MPU Arm Cortex-R82 (Armv8-R AArch64) może w pewnych warunkach pozwolić nieuprzywilejowanemu zadaniu w kompilacjach z włączonym MPU na odczyt lub zapis uprzywilejowanej pamięci jądra poza zweryfikowanym oknem bufora, poprzez wywołanie systemowe bufora strumienia.

Nieprawidłowa autoryzacja w porcie MPU Arm Cortex-R82 (Armv8-R AArch64) w FreeRTOS-Kernel V11.3.0 i V11.3.1 może pozwolić nieuprzywilejowanemu zadaniu w kompilacjach z włączonym MPU na odczyt i zapis uprzywilejowanej pamięci jądra poza przydzielonymi mu regionami, poprzez argument bufora przekazany do wywołania systemowego MPU.

Nieprawidłowa weryfikacja źródła kanału komunikacji w obsłudze Router Advertisement IPv6 w Amazon FreeRTOS-Plus-TCP przed V4.4.2 może pozwolić zdalnej stronie trzeciej wpłynąć na domyślną bramę IPv6, prefiks on-link i konfigurację adresu endpointu poprzez spreparowany Router Advertisement.

W MariaDB w wersjach od 10.6.1 do 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2 instrukcja GRANT PROXY traktuje klauzulę IDENTIFIED z pustym hasłem tak, jakby uwierzytelnianie nie zostało podane, sprawdzając niewłaściwe uprawnienia grantora. Nisko uprzywilejowany atakujący mogący wskazać inne konto może ustawić jego hasło.

W MariaDB polecenia SHOW CREATE SERVER, SHOW CREATE USER oraz mariadb-dump nie cytują spójnie identyfikatorów i wartości podczas serializacji SQL. Niskouprzywilejowany atakujący może utworzyć obiekt ze spreparowanymi identyfikatorami lub wartościami, a następnie doprowadzić do wykonania wstrzykniętego SQL, gdy zatrute dane wyjściowe zostaną zastosowane.

W Mailu menedżerowie domen mogą włączyć spoofing dla hostowanych domen, którymi nie zarządzają. Złośliwy administrator domeny może włączyć spoofing dla innej domeny i wysyłać wiadomości uwierzytelnione przez DKIM/SPF dla domen, do których nie powinien mieć uprawnień.

W Mailu menedżer domeny może zresetować hasła lub uzyskać tokeny dla konta administracyjnego lub innego menedżera domeny o wyższych uprawnieniach. Błąd autoryzacji pozwala menedżerowi domeny przejąć konto o wyższych uprawnieniach i wykorzystać jego uprawnienia.

W destructive_command_guard (dcg) zagnieżdżone lub niezamknięte podstawienia są ponownie skanowane rekurencyjnie po zwróceniu stanu niezakończonego przez wewnętrzny skan, co powoduje wykładniczy czas pracy. Zawieszony hook PreToolUse kończy się otwarciem, pozwalając destrukcyjnemu poleceniu na wykonanie.

Niepoprawna polityka DBus dla lomiri-upload-manager (część lomiri-download-manager) pozwala dowolnemu użytkownikowi na odczyt dowolnego pliku jako root przez DBus.

W libp2p-rust obsługa komunikatów kontrolnych Gossipsub GRAFT bezwarunkowo dodaje tematy dostarczone przez atakującego do connected_peer.topics bez potwierdzenia wcześniejszej subskrypcji. Zdalny nieuwierzytelniony peer może wielokrotnie wysyłać nowe tematy GRAFT, powodując narastający wzrost pamięci na peer, co prowadzi do wyczerpania pamięci i odmowy usługi.

W SparkyFitness endpoint api/admin/backup/restore wstawia przesłaną nazwę pliku do polecenia powłoki. Uwierzytelniony administrator globalny może przesłać archiwum przywracania o spreparowanej nazwie pliku zawierającej metaznaki powłoki, co pozwala na wykonanie dowolnych poleceń systemowych z uprawnieniami procesu serwera.

W pupnp funkcja parse_hostport synchronicznie wywołuje getaddrinfo podczas przetwarzania nazw hostów dostarczonych przez atakującego w żądaniach HTTP i nagłówkach GENA SUBSCRIBE CALLBACK. Zdalny nieuwierzytelniony peer może wybrać wolno odpowiadającą lub nieodpowiadającą nazwę hosta i zablokować wątek miniserwera na czas oczekiwania resolvera, co pozwala na wyczerpanie puli wątków i odmowę usługi UPnP.

W libIEC61850 funkcja checkDataSetAccess odwraca argumenty źródła i celu w StringUtils_copyStringToBuffer podczas konstruowania referencji zbioru danych MMS_ASSOCIATION_SPECIFIC. Powoduje to odczyt poza buforem stosu i skopiowanie tych bajtów do bufora listName, co może doprowadzić do awarii serwera przy żądaniu defineNamedVariableList.

W libIEC61850 funkcja parseUserInformation sprawdza len pod kątem zera przed walidacją ujemnego bufPos zwróconego przez BerDecoder_decodeLength dla obciętej długości długiej formy. Ścieżka continue pomija błąd, odczytuje buffer[-1], resetuje parsowanie i powtarza ten sam stan, co prowadzi do nieskończonej pętli CPU lub odczytu poza buforem i przerwania procesu.

W bibliotece pupnp funkcja raw_to_int w pliku httpparser.c parsuje nagłówek Content-Length za pomocą strtol i rzutuje wynikowy long na 32-bitowy int przed zapisaniem jako unsigned int. W systemach LP64 wartości większe niż INT_MAX mogą zostać obcięte lub zawinięte, przez co parser HTTP może zaakceptować długość ciała inną niż zadeklarowana. Luka naprawiona w wersji 2.0.2.

W bibliotece pupnp nagłówek Transfer-Encoding: chunked powoduje, że parser HTTP pozostawia content_length na zero, podczas gdy dekodowane bajty są gromadzone w msg.entity. Limity g_maxContentLength sprawdzane w http_RecvMessage nie obejmują zdekodowanych ciał chunked, więc zdalny peer może zmusić proces do buforowania encji większej niż skonfigurowany maksymalny rozmiar. Luka naprawiona w wersji 2.0.2.

W bibliotece pupnp funkcja ixmlNode_compare przekazuje pola nodeValue, namespaceURI, prefix i localName bezpośrednio do strcmp, mimo że mogą być NULL dla atrybutów bez przestrzeni nazw. Gdy ixmlElement_removeAttributeNode porównuje dwa różne atrybuty o tej samej nazwie, dochodzi do dereferencji NULL i awarii procesu. Luka naprawiona w wersji 2.0.2.

W edytorze TuxGuitar niezaufany plik .tg może ustawić gervil.soundbank.path tak, aby wskazywał na archiwum na dysku (w tym sam plik .tg), którego wpis META-INF/services/javax.sound.midi.Soundbank wskazuje klasę dostarczoną przez atakującego. Przy otwarciu pliku JARSoundbankReader używa niezweryfikowanego class loadera do załadowania i utworzenia tej klasy, wykonując jej konstruktor z uprawnieniami procesu TuxGuitar. Luka naprawiona w wersji 2.1.0.

W bibliotece libIEC61850 funkcja alternateArrayAccess nie waliduje zakresu podtablicy alternate-access, gdy numberOfElements jest większe od zera. Wywołanie MmsValue_getElement poza zakresem zwraca NULL, a gałąź podtablicy przekazuje tę wartość do MmsValue_isDeletable, powodując dereferencję NULL. Zdalne żądanie MMS Read może więc zawiesić serwery, których modele danych zawierają tablice. Luka naprawiona w wersji 1.6.2.

W bibliotece libIEC61850 usługa plików MMS akceptuje początkową pozycję poza zakresem w fileOpen i zapisuje ją w stanie odczytu pliku. Ścieżka fileRead odejmuje większą pozycję od rozmiaru pliku arytmetyką bez znaku i nie ogranicza odpowiedzi do rzeczywistej wartości zwróconej przez FileSystem_readFile. Zbyt duża odpowiedź może zawierać nieaktualne bajty z bufora połączenia, ujawniając wcześniejsze dane i fragmenty protokołu nieuwierzytelnionemu klientowi. Luka naprawiona w wersji 1.6.2.