Katalog podatności CVE

undici to biblioteka klienta HTTP dla Node.js. W wersjach od 4.2.1 do 6.29.0, od 7.0.0 do 7.30.0 oraz od 8.0.0 do 8.12.1 proces klienta ulega awarii, gdy serwer TLS 1.2 przeprowadzi renegocjację po nawiązaniu połączenia i przedstawi inny certyfikat zaufany przez CA, którego nazwa hosta nie pasuje do żądanego hosta. Node.js ponownie wykonuje weryfikację nazwy hosta na renegocjowanym uzgadnianiu i niszczy gniazdo z błędem certificate-altname, ale obsługa błędów ustanowionego gniazda w undici zakładała, że ten kod błędu nigdy nie wystąpi, więc kontrolowany przez drugą stronę błąd staje się nieprzechwyconym asercją, która kończy proces Node.js, dotykając zarówno ścieżek HTTP/1.1, jak i HTTP/2. Złośliwy lub przejęty punkt końcowy HTTPS osiągany przez undici lub globalny fetch() może zawiesić klienta pojedynczą renegocjacją zainicjowaną przez serwer, powodując awarię wszystkich żądań w locie i pracy w tle, a wykorzystanie nie wymaga kompromitacji CA, ponieważ atakujący kontroluje punkt końcowy i może przedstawić dwa zwykłe ważne certyfikaty. Dotyczy tylko TLS 1.2, ponieważ TLS 1.3 nie obsługuje renegocjacji. Problem naprawiono w undici 6.29.1, 7.30.1 i 8.12.2, a użytkownicy powinni zaktualizować do jednej z tych wersji lub nowszej. Jako obejście należy ograniczyć połączenia wychodzące do TLS 1.3, aby renegocjacja nie mogła wystąpić, gdy docelowe punkty końcowe to obsługują.

GYM One to otwarte oprogramowanie do zarządzania siłownią dla centrów fitness, trenerów personalnych i klubów sportowych. W wersjach przed 1.4.1 plik admin/users/index.php renderuje przechowywane pola profilu firstname, lastname i email na liście użytkowników administratora bez kodowania wyjścia HTML. Atakujący, który może zapisać wartości w tych polach, może spowodować wykonanie treści w przeglądarce administratora, gdy administrator odwiedzi /admin/users/. Trwały skrypt może uzyskać dostęp do danych sesji administratora lub wykonać działania z uprawnieniami administratora, dopóki przechowywany rekord nie zostanie usunięty. Problem naprawiono w wersji 1.4.1.

AliasVault to menedżer haseł z wbudowanym aliasowaniem e-mail, stawiający na prywatność. W wersjach przed 0.29.4 dostawca passkey w rozszerzeniu przeglądarki AliasVault nie wiąże żądań passkey z rzeczywistym pochodzeniem strony ani nie weryfikuje, czy żądany identyfikator strony polegającej pasuje do bieżącej witryny. Złośliwa witryna może podać fałszywe wartości origin i relying-party, a jeśli ofiara z pasującym zapisanym passkey zatwierdzi monit AliasVault, uzyska ważną asercję dla innej witryny. Wykorzystanie wymaga zainstalowanego, odblokowanego rozszerzenia skonfigurowanego jako dostawca passkey, zapisanego passkey dla podszywanej witryny i nie może nastąpić po cichu, ponieważ ofiara musi zatwierdzić monit. Serwer, aplikacja webowa i aplikacje mobilne nie są dotknięte. Problem naprawiono w wersji 0.29.4.

Tianji to otwarta platforma analityczna, monitorowania dostępności i statusu serwerów. W wersjach przed 1.31.29 funkcja getDateQuery() w src/server/utils/prisma.ts konstruuje surowy SQL przez Prisma.sql(), interpolując wartość strefy czasowej żądania bez wiązania parametrów. Wartość strefy czasowej może dotrzeć do podatnych zapytań analitycznych przez dane żądania lub nagłówek HTTP timezone, a workspaceProcedure pozwala każdemu uwierzytelnionemu członkowi przestrzeni roboczej, w tym widzowi tylko do odczytu, na dostęp do tych zapytań. Atakujący może wykonać dowolny SQL na współdzielonej bazie PostgreSQL, co może ujawnić lub zmodyfikować poświadczenia, klucze API i dane dzierżawców albo spowodować niedostępność usługi. Problem naprawiono w wersji 1.31.29.

Luka autoryzacyjna w Idira Conjur 13.9.0 pozwala uwierzytelnionemu użytkownikowi o ograniczonych uprawnieniach wykonywać nieautoryzowane operacje na gałęzi polityki. W określonych warunkach atakujący może odczytać nieautoryzowane sekrety, zmienić administracyjne kontrole dostępu na gałęzi lub wywołać odmowę usługi (DoS).

Problem w Trisolutions BRPerfX w wersji 1.4.4.0 ujawnia poświadczenia LDAP w postaci jawnej w administracyjnym interfejsie konfiguracyjnym. Uwierzytelniony administrator może przeanalizować kod po stronie klienta, aby odzyskać poświadczenia.

Netgate pfSense CE do wersji 2.9.0 zawiera lukę obejścia autoryzacji, która pozwala użytkownikom WebGUI z uprawnieniami tylko do odczytu zastąpić plik config.xml, ponieważ funkcje config_restore() i config_install() ignorują uprawnienie 'User - Config: Deny Config Write'. Atakujący posiadający uprawnienia do stron services_acb.php, uploadconfig.php, diag_confbak.php lub diag_backup.php mogą wgrać wybrany config.xml i uzyskać wykonanie kodu jako root po przeładowaniu lub restarcie.

pfSense CE 2.7.0 do 2.9.0 zawiera lukę wstrzyknięcia poleceń w services_captiveportal_hasync.php, która pozwala użytkownikom z jedynie uprawnieniem Captive Portal HA wykonywać polecenia jako root. Atakujący może ustawić backwardsyncip na złośliwy serwer XMLRPC zwracający connected_users z metaznakami powłoki w polach ip lub mac, które captiveportal_load_pfctl przekazuje bez escapowania do polecenia powłoki pfctl.

pfSense CE 2.4.5 do 2.9.0 zawiera lukę wstrzyknięcia poleceń systemu operacyjnego, która pozwala uwierzytelnionym użytkownikom WebGUI z uprawnieniem Advanced Admin Access wykonywać polecenia jako root poprzez ustawienia Login Protection. Atakujący może przesłać wartości sshguard threshold, block time lub detection time zawierające znaki nowej linii lub $(...), które są zapisywane bez walidacji do sshguard.conf i wykonywane jako root przy restarcie.

pfSense CE do wersji 2.9.0 zawiera lukę wstrzyknięcia poleceń systemu operacyjnego w skrypcie OpenVPN openvpn.connect_async.sh, która pozwala uwierzytelnionym użytkownikom VPN wykonywać polecenia jako root poprzez spreparowane nazwy użytkowników. Atakujący uwierzytelnieni przez RADIUS lub LDAP mogą użyć nazw użytkowników zawierających pojedyncze cudzysłowy i metaznaki powłoki, aby wydostać się z eval'owanej nazwy kotwicy pfctl przy połączeniu lub rozłączeniu.

Netgate pfSense CE 2.7.0 do 2.9.0 zawiera lukę wstrzyknięcia konfiguracji, która pozwala uwierzytelnionym użytkownikom z uprawnieniem IPsec Mobile wykonywać polecenia jako root poprzez pole login_banner. Atakujący może przesłać jednoliniowy banner zawierający '}', aby wydostać się z niecytowanej wartości atrybutu strongswan.conf i zdefiniować wpisy charon.start-scripts, które charon wykonuje jako root przy restarcie.

pfSense CE do wersji 2.9.0 zawiera lukę wstrzyknięcia do crontab w interfaces_ppps_edit.php, która pozwala uwierzytelnionym użytkownikom wykonywać polecenia jako root poprzez wstrzyknięcie znaków nowej linii do pól ptpid lub reset hour/minute. Atakujący posiadający uprawnienie 'WebCfg - Interfaces: PPPs: Edit' mogą przesłać spreparowane wartości POST, które configure_cron() zapisuje bez escapowania do /etc/crontab, uruchamiając dowolne polecenia root według harmonogramu.

Netgate pfSense CE 2.7.0 do 2.9.0 zawiera lukę wstrzyknięcia poleceń systemu operacyjnego, która pozwala uwierzytelnionym użytkownikom z uprawnieniem Traffic Shaper Limiters wykonywać polecenia root poprzez manipulację polem numeru limitera. Atakujący może przesłać złośliwą ukrytą wartość 'number' podczas edycji limitera, a następnie go usunąć, aby delete_queue() przekazało niecytowaną wartość do dnctl przez /bin/sh jako root.

Netgate pfSense CE do wersji 2.9.0 zawiera lukę wstrzyknięcia poleceń systemu operacyjnego, która pozwala uwierzytelnionym użytkownikom z uprawnieniem edycji Virtual IP wykonywać polecenia jako root poprzez zapisanie niezwalidowanego CARP VHID. Atakujący może podać VHID zawierający metaznaki powłoki, które wykonują się przez wywołania ifconfig w interface_ipalias_configure() lub get_carp_interface_status() podczas renderowania statusu CARP.

Netgate pfSense CE do wersji 2.9.0 zawiera lukę wstrzyknięcia poleceń systemu operacyjnego, która pozwala uwierzytelnionym użytkownikom z uprawnieniem edycji gateway wykonywać polecenia jako root poprzez wstrzyknięcie metaznaków powłoki do indeksu strefy link-local IPv6. Atakujący może ustawić Monitor IP bramy, którego niezwalidowana strefa zawiera ładunek, który start_dpinger() przekazuje bez escapowania do polecenia powłoki dpinger podczas stosowania monitoringu.

pfSense CE do wersji 2.9.0 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego. Uwierzytelniony użytkownik z ograniczonymi uprawnieniami Wireless Edit lub Interface Assignments może podać spreparowaną nazwę interfejsu nadrzędnego (np. ath0;<polecenie>), która jest wstawiana bez escapowania do polecenia powłoki ifconfig, co pozwala na wykonanie poleceń jako root.

pfSense CE w wersjach 2.7.0 do 2.9.0 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego. Uwierzytelniony użytkownik z uprawnieniem QinQ edit może zapisać niezwalidowaną nazwę interfejsu nadrzędnego, która następnie jest wstawiana do poleceń powłoki ifconfig, umożliwiając wykonanie poleceń jako root.

LightLLM do wersji 1.2.0 zawiera podatność typu denial of service. Nieuwierzytelniony atakujący może wysłać pojedyncze żądanie do endpointu /generate z wewnętrznym polem pd_kv_trans_params, co powoduje błąd pickle.loads w InferSamplingParams i zabija wątek inferencji, podczas gdy /health pozostaje dostępny, a kolejne żądania zawieszają się do restartu.

undici, biblioteka klienta HTTP dla Node.js, w wersjach 6.23.0-6.29.0, 7.18.0-7.30.0 i 8.0.0-8.12.1 ulega awarii procesu Node.js, gdy złośliwy serwer zwróci odpowiedź z więcej niż pięcioma kodowaniami treści i zamknie połączenie przed wysłaniem ciała. undici odrzuca taką odpowiedź z powodu limitu kodowań, ale utworzony wcześniej strumień wewnętrzny nie ma podpiętego listenera błędów ani przerwania żądania, więc wczesne zamknięcie powoduje niezobsłużony błąd i zakończenie procesu.

undici w wersjach 7.0.0-7.30.0 i 8.0.0-8.12.1, gdy originless Agent łączy interceptory redirect i cache w tej kolejności ze wspólnym store'em cache, buduje klucz cache z oryginalnego URL przed zmianą origin przez redirect. Odpowiedź po przekierowaniu cross-origin jest zapisywana pod oryginalnym kluczem, co umożliwia trwałe zatrucie cache oraz ujawnienie prywatnych danych nieuwierzytelnionemu wywołującemu.