Katalog podatności CVE

Biblioteka exceljs do wersji 4.4.0 zawiera podatność na zanieczyszczenie prototypu w funkcji deepMerge, która nie odrzuca kluczy __proto__, constructor ani prototype podczas scalania obiektów notatek. Atakujący mogą przypisać złośliwą właściwość __proto__ do notatek komórek, modyfikując Object.prototype i wpływając na wszystkie zwykłe obiekty utworzone w procesie.

Podatność w DBD::Pg w wersji 3.21.0 dla Perla: zapis poza granicami sterty w funkcji quote_float. Funkcja quote_float() alokuje długość ciągu + 1, ale dla specjalnych literałów (NaN, Inf, +Inf, -Inf, Infinity, +Infinity, -Infinity) emituje literał otoczony cudzysłowami plus NULL, co powoduje przepełnienie o 2 bajty. Można to osiągnąć przez metodę $dbh->quote, np. $dbh->quote("Infinity", DBI::SQL_NUMERIC). Regresja wprowadzona w 3.21.0 przez przepisanie quote.c.

justhtml w wersjach do 1.11.0 (poprawione w 1.12.0) nie wystarczająco escapuje znaki istotne dla HTML (nawiasy ostre) w węzłach tekstowych podczas konwersji do Markdown. Znaki takie jak < i > są zachowywane, co pozwala na wstrzyknięcie surowego HTML do wyniku Markdown, omijając sanityzację i potencjalnie prowadząc do XSS.

justhtml przed wersją 1.16.0 zawiera wiele problemów z omijaniem sanityzacji HTML, które mogą pozwolić na przetrwanie aktywnej/niebezpiecznej treści (np. script lub style), potencjalnie prowadząc do XSS. Problemy dotyczą głównie zaawansowanego użycia, a nie domyślnej ścieżki JustHTML(..., sanitize=True).

justhtml przed wersją 1.15.0 zawiera wiele problemów bezpieczeństwa w pomocniczych funkcjach sanityzacji URL, serializacji HTML, przepuszczaniu Markdown (html_passthrough=True) oraz w niestandardowych politykach sanityzacji. Atakujący może ominąć sanityzację i wstrzyknąć aktywny HTML i JavaScript, np. przez zakodowane javascript: URL, backslashowe względne URL, łamanie znaczników, reintrodukcję </textarea> przez Markdown lub zachowane tagi <style>/<meta http-equiv=refresh>/<base href>.

Podatność w operatorze StackGres umożliwia eskalację uprawnień. Użytkownik o niskich uprawnieniach, będący właścicielem bazy danych, może uzyskać uprawnienia administratora.

Wtyczka RestrictMate dla WordPressa przed wersją 1.3.0 nie ogranicza roli użytkownika podawanej podczas rejestracji konta, co pozwala nieuwierzytelnionym atakującym na utworzenie nowego konta administratora i uzyskanie sesji administratora, prowadząc do całkowitego przejęcia strony.

W produkcie Comfast CF-N1-S w wersji 2.6.0.1 znaleziono podatność na przepełnienie bufora stosu w funkcji sub_41AD7C pliku /cgi-bin/mbox-config. Manipulacja argumentami timestr/ntp_client_enabled umożliwia zdalne wykonanie ataku. Exploit został opublikowany i może być wykorzystany.

W jądrze Linux w NFS, operacja FREE_STATEID mogła być opóźniona, co prowadziło do użycia po zwolnieniu (use-after-free) obiektu 'struct nfs_server'. Poprawka zwiększa licznik referencji tego obiektu na czas trwania operacji FREE_STATEID, aby nie został usunięty podczas trwających operacji.

W jądrze Linux w podsystemie ovpn wykryto wyścig (race condition) między operacjami usuwania i ponownego haszowania peerów. Umożliwia to wskrzeszenie już usuniętego peera w tablicach haszujących, co prowadzi do użycia po zwolnieniu (UAF).

W jądrze Linux w systemie plików btrfs wykryto podatność w dekompresji LZO dla inline extentów. Specjalnie spreparowany obraz btrfs może wywołać odczyt poza granicami pamięci (KASAN: slab-out-of-bounds) podczas odczytu pliku, co prowadzi do awarii systemu lub potencjalnego naruszenia bezpieczeństwa.

W jądrze Linux w sterowniku vdpa/mlx5 wykryto podatność prowadzącą do odczytu poza przydzielonym buforem (slab-out-of-bounds). Problem wynika z nieprawidłowego obliczenia rozmiaru bufora wejściowego w funkcji create_direct_keys(), co powoduje odczyt 16 bajtów poza przydzielony obszar pamięci.

W jądrze Linux w funkcji __skb_udp_tunnel_segment() stwierdzono potencjalną podatność use-after-free. Funkcja pobiera nagłówek UDP przed upewnieniem się, że nagłówek tunelu znajduje się w skb head. Jeśli operacja pull ponownie alokuje skb->head, zapisany wskaźnik do nagłówka UDP staje się nieprawidłowy.

W jądrze Linux w protokole SCTP wykryto podatność use-after-free. Funkcja sctp_make_heartbeat_ack() przechowuje wskaźnik do transportu bez zwiększania referencji, a gdy transport jest usuwany, zakolejkowany chunk kontrolny może zachować zwisający wskaźnik, co prowadzi do naruszenia pamięci.

W jądrze Linuxa w IPVS po przetworzeniu błędów ICMP w tunelu nie są czyszczone opcje IPv4, co może prowadzić do zapisu poza stosem przez __ip_options_echo().

W jądrze Linux w generycznym XDP po dostosowaniu fragmentów skb, skb->len nie jest aktualizowany, co powoduje, że skb_headlen() jest większe niż rzeczywisty obszar liniowy. W ścieżce odbioru UDP może to prowadzić do kopiowania danych poza obszar liniowy do przestrzeni użytkownika.

W jądrze Linux w funkcji inet_frag_create() timer kolejki fragmentów jest uzbrajany przed opublikowaniem kolejki w tablicy haszującej. Jeśli limit czasu fragmentacji jest zerowy lub ujemny, timer może zadziałać przed publikacją, co prowadzi do wyścigu i pozostawienia nieaktualnego węzła w tablicy.

W jądrze Linuxa w protokole X.25 występuje błąd użycia po zwolnieniu (use-after-free) gniazda przez jego timery. Timery są uzbrajane za pomocą mod_timer() i anulowane za pomocą timer_delete(), więc oczekujący timer nie trzyma referencji na gniazdo, a anulowanie nie czeka na wywołanie zwrotne już działające na innym CPU. x25_heartbeat_expiry() również bezwarunkowo ponownie uzbraja timer, co może prowadzić do użycia po zwolnieniu.

W jądrze Linuxa w module dibs inicjalizacja blokady dibs->lock odbywa się zbyt późno, bo dopiero w dibs_dev_add(), podczas gdy przerwania mogą wystąpić wcześniej. To może prowadzić do użycia niezainicjalizowanej blokady w obsłudze przerwań.

W jądrze Linuxa funkcja xdpf_clone() tworzy klony ramek XDP, ale nie sprawdza wystarczająco, czy dane mieszczą się w obszarze tailroom skb_shared_info. Może to prowadzić do nadpisania danych podczas konwersji klonu na skb.