Katalog podatności CVE

W Gitea token z zakresem write:user może zarejestrować kontrolowany przez atakującego klucz publiczny SSH na koncie właściciela tokenu. Żądania API podpisane odpowiadającym kluczem prywatnym uwierzytelniają się jako to konto przez HTTP Signature bez informacji o zakresie tokenu API, co pomija sprawdzanie zakresu na poziomie trasy.

W Gitea Runner opcje kontenera kontrolowane przez workflow są przekazywane do konfiguracji kontenera zadań Docker, mimo że tryb uprzywilejowany jest wyłączony. Ustawienia przestrzeni nazw hosta, rozszerzone uprawnienia i nadpisania profilu bezpieczeństwa mogą pozostać aktywne, umożliwiając dostęp do przestrzeni nazw hosta i wykonanie poleceń jako root na hoście runnera.

W Gitea lokalne pliki wielokrotnego użytku workflow są rozwiązywane z commita head forka, gdy zaufany workflow gałęzi bazowej jest uruchamiany dla zdarzenia pull_request_target. Autor forka może zmodyfikować przywoływany workflow wielokrotnego użytku, aby wykonać kontrolowany przez atakującego kod z sekretami repozytorium i organizacji dostępnymi dla tego zdarzenia.

Gitea podstawia adres URL pochodzący z pola Context znaczników do szablonów poleceń zewnętrznego renderera bez escapowania ścieżki referencyjnej przed podziałem argumentów w stylu powłoki. Spreparowany Context może wstrzyknąć dodatkowe argumenty renderera, w tym opcje ładujące wykonywalne pliki filtrów. W środowiskach używających podatnego zewnętrznego renderera, takiego jak pandoc, użytkownik mogący umieścić plik filtra w dostępnej ścieżce może doprowadzić do jego wykonania jako konto usługi Gitea, a publiczny endpoint znaczników repozytorium może być osiągalny bez uwierzytelnienia.

Handler OpenID Connect w Gitea akceptuje hasło użytkownika bez wymuszenia weryfikacji zarejestrowanego TOTP lub WebAuthn przed zakończeniem logowania i powiązaniem identyfikatora OpenID. Gdy logowanie OpenID jest włączone, atakujący znający hasło ofiary może uzyskać sesję i powiązać kontrolowany przez siebie identyfikator. Atakujący może następnie logować się przez ten identyfikator bez hasła ofiary ani drugiego czynnika, a zmiana hasła nie usuwa powiązania.

W Gitea, notyfikator przeglądu pull request nie dołącza pull requesta do powiadomienia Actions, przez co bramka zatwierdzania dla forków nie rozpoznaje uruchomienia jako pochodzącego z forka. Zdarzenia komentarzy i zatwierdzeń/odrzuceń przeglądu mogą załadować kod workflow z forka i uruchomić go na runnerach bazowego repozytorium bez wymaganego zatwierdzenia przez opiekuna.

W Gitea, wymóg zatwierdzenia dla pierwszego kontrybutora z forka jest egzekwowany przez blokowanie zadań, ale niektóre ścieżki przejść i wysyłek nie sprawdzają ponownie wymogu zatwierdzenia. Osobne uruchomienie współdzielące grupę concurrency na poziomie zadania może anulować oczekujące zadanie i spowodować ponowne wyemitowanie i wysłanie zablokowanych zadań bez zatwierdzenia.

Podatność w util-linux w wersjach 2.17 do 2.41.6, 2.42 do 2.42.3 oraz 2.42.4 gdy używana jest legacy ścieżka mount(2) bez /proc. Ograniczone żądania mount od nie-roota walidują cel /etc/fstab przed ponownym rozwiązywaniem ścieżki. Lokalny użytkownik z niskimi uprawnieniami, autoryzowany przez wpis fstab z opcją user lub users, może użyć renameat2(RENAME_EXCHANGE) do podmiany komponentu ścieżki i przekierować autoryzowany mount do lokalizacji należącej do roota, np. montując zawartość kontrolowaną przez atakującego nad /etc/sudoers.d, uzyskując uprawnienia roota.

Podatność w util-linux w wersjach 2.39 do 2.41.4 oraz 2.42 do 2.42.1. SUID mount utility w hook_owner.c wykonuje operacje chmod() i lchown() oparte na ścieżce na wcześniej zwalidowanym celu montowania. Lokalny użytkownik z niskimi uprawnieniami, autoryzowany przez wpis /etc/fstab z opcją user lub users oraz opcją X-mount.mode, X-mount.owner lub X-mount.group, może użyć renameat2(RENAME_EXCHANGE) do wyścigu z zapisywalnym przodkiem celu i przekierować uprzywilejowaną zmianę właściciela lub trybu do ścieżki należącej do roota, potencjalnie uzyskując uprawnienia roota.

Podatność w NGINX Plus i NGINX Open Source, gdy lokalizacja używa dyrektywy alias wraz z rewrite oraz set lub return odwołującym się do zmiennej $request_filename. Alternatywnie, ten sam efekt można osiągnąć, gdy $request_filename jest używany w dyrektywie formatu logu dostępu. Nieuwierzytelniony atakujący może wysłać spreparowane żądania HTTP, powodując przepełnienie sterty w procesie roboczym NGINX, co prowadzi do restartu lub potencjalnie wykonania kodu.

Podatność w @offactory/compress-fonts przed wersją 1.1.1 zawiera wstrzykiwanie poleceń systemu operacyjnego, umożliwiając atakującym wykonanie poleceń powłoki poprzez dostarczenie plików czcionek z spreparowanymi nazwami. Ścieżki czcionek są interpolowane bez cudzysłowów do polecenia FontForge uruchamianego przez child_process.execSync, więc metaznaki powłoki w nazwach plików wykonują polecenia z uprawnieniami procesu Node.js.

Turnpress w wersji do 0.4.2 zawiera podatność na wstrzyknięcie poleceń systemowych. Funkcja convertDocxToHtml w src/converter.ts wywołuje pandoc przez execa z opcją shell:true, co pozwala na wykonanie poleceń powłoki poprzez specjalne znaki w nazwie pliku .docx.

Beganovich snappdf w wersjach od 1.1.0 do 6.1.0 zawiera podatność na wstrzyknięcie poleceń systemowych w systemie Windows. Atakujący mogą wpływać na renderowany URL i dostarczać metaznaki cmd.exe, takie jak &, które są przekazywane bez escapowania do PHP exec().

xhtml2pdf w wersjach przed 0.2.19 zawiera podatność na wstrzyknięcie poleceń systemowych w funkcji pisa.startViewer(). Atakujący mogą dostarczyć plik wejściowy, którego nazwa zawiera cudzysłów i metaznaki powłoki, co prowadzi do wykonania poleceń OS podczas używania narzędzia pisa z opcją -s/--start-viewer.

@runnerty/executor-decompress w wersjach do 3.1.1 zawiera podatność na wstrzyknięcie poleceń systemowych. Atakujący mogą dostarczyć spreparowane nazwy plików archiwów do compress_file, wstrzykując podstawienia $() lub niecytowane metaznaki powłoki do wywołań shelljs exec().

buildebooks w wersjach przed 0.2.2 zawiera podatność na wstrzyknięcie poleceń systemowych w lib/kindle.js. Atakujący mogą dostarczyć spreparowaną nazwę pliku EPUB przekazywaną do kindlegen przez child_process.exec, co pozwala na wykonanie poleceń OS z uprawnieniami użytkownika uruchamiającego buildebooks.

MyReport Updater w wersjach do 2.1.1 zawiera podatność na lokalne podniesienie uprawnień. Użytkownicy o niskich uprawnieniach mogą zmusić usługę SYSTEM do instalacji dostarczonych przez atakującego archiwów w dowolnych katalogach, co pozwala na zdobycie uprawnień SYSTEM.

Report One MyReport Updater w wersjach do 2.1.1 udostępnia nieuwierzytelnioną usługę gRPC na porcie TCP 9095. Zdalni atakujący mogą przekierować aktualizator SYSTEM, wywołując metodę UpdateConfigReferent i wskazując złośliwy serwer referencyjny.

Kan w wersjach od 0.5.5 do 0.6.0 zawiera nieuwierzytelnioną podatność na fałszowanie żądań po stronie serwera (SSRF) w trasie /api/download/attatchment. Gdy S3_ENDPOINT nie jest ustawiony, atakujący mogą przekazywać dowolne parametry url do fetch(), aby uzyskać dostęp do usług wewnętrznych, portów localhost i metadanych instancji w chmurze.

Papermerge Core w wersjach do 3.5.3 zawiera podatność na brak autoryzacji w API współdzielonych węzłów. Uwierzytelnieni użytkownicy mogą udostępniać dokumenty innych użytkowników, podając dowolne identyfikatory UUID węzłów, a następnie je czytać, modyfikować lub usuwać.