Katalog podatności CVE

ISPConfig zawiera podatność na wstrzykiwanie SQL w Remote API. Parametr primary_id w metodach delete i update jest bezpośrednio konkatenowany do klauzul WHERE bez rzutowania na liczbę całkowitą lub parametryzacji. Użytkownik API z dowolnym niskim uprawnieniem może wstrzyknąć dowolny SQL, usuwać lub modyfikować rekordy we wszystkich dzierżawach oraz wyodrębniać dane, w tym hashe haseł.

FreeRDP przed wersją 3.27.0 zawiera podatność w freerdp_image_copy_from_icon_data w libfreerdp/codec/color.c, gdzie obliczenie nWidth pomnożone przez nHeight pomnożone przez FreeRDPGetBytesPerPixel(format) jest wykonywane w arytmetyce 32-bitowej. Złośliwy serwer RDP może wysłać aktualizację RAIL TS_ICON_INFO o wymiarach takich jak 32768 na 32768 i 32 bity na piksel, co powoduje zawinięcie obliczenia rozmiaru, omijając sprawdzenie granic cbBitsColor przed odczytem przez freerdp_image_copy_no_overlap danych ikony kontrolowanych przez atakującego. Dotyczy to klientów RemoteApp korzystających z podatnej ścieżki biblioteki, podczas gdy xfreerdp ma zabezpieczenie po stronie wywołującego. Problem naprawiono w wersji 3.27.0.

FreeRDP przed wersją 3.27.0 zawiera podatność w funkcji glyph_cache_get w libfreerdp/cache/glyph.c, która sprawdza, czy indeks jest większy niż cache->number zamiast większy lub równy. Złośliwy serwer RDP może użyć powtórzenia GLYPH_FRAGMENT_USE w update_process_glyph_fragments, aby domyślna pamięć podręczna otrzymała indeks 254, gdy cache->number wynosi 254, co powoduje odczyt jednego wskaźnika poza tablicą entries i jego dereferencję jako glif. Może to spowodować awarię klienta i potencjalnie ujawnić sąsiednie dane sterty. Problem naprawiono w wersji 3.27.0.

W FreeRDP przed wersją 3.27.0 funkcja rpc_client_recv_fragment zapewnia pojemność bufora na podstawie tylko deklarowanego przez serwer alloc_hint, a nie rzeczywistej długości StubLength. Złośliwy serwer TS Gateway może wysłać odpowiedź z małym alloc_hint i dużym frag_length, powodując zapis danych poza bufor pdu->s. Może to doprowadzić do awarii klienta i potencjalnego wykonania kodu.

W FreeRDP przed wersją 3.27.0 klienci używający TS Gateway akceptują wartość max_xmit_frag kontrolowaną przez serwer bez ograniczenia do rozmiaru bufora ReceiveFragment. Złośliwa brama może zadeklarować 65535 i wysłać fragment o tej długości, powodując zapis do mniejszego bufora. Może to doprowadzić do awarii klienta i potencjalnego wykonania kodu.

W FreeRDP przed wersją 3.27.0 backendy dekodera H.264 mogą zwracać płaszczyzny YUV o rozmiarach z bitstreamu bez porównania z wymiarami powierzchni RDPGFX. Złośliwy serwer RDP może dostarczyć bitstream AVC420 lub AVC444 o mniejszej klatce niż negocjowana powierzchnia, powodując odczyt poza przydzielone płaszczyzny. Może to ujawnić pamięć klienta lub doprowadzić do awarii.

W FreeRDP przed wersją 3.27.0 klienci negocjujący RDPGFX AVC444 obliczają rozmiar alokacji YUV444 przy użyciu 32-bitowego mnożenia w avc444_ensure_buffer. Złośliwy serwer RDP może podać wymiary powierzchni, dla których iloczyn piDstStride i padDstHeight zawija się do małej wartości, powodując alokację zbyt małego bufora. Może to doprowadzić do awarii klienta i potencjalnego wykonania kodu.

Wtyczka Elementor Pro do wersji 4.2.1 zawiera podatność na nieograniczone przesyłanie plików o niebezpiecznym typie, co pozwala na wykorzystanie złośliwych plików.

IBM Langflow OSS w wersjach od 1.0.0 do 1.10.0 może pozwolić zdalnemu atakującemu na nadpisanie adresu e-mail administratora i wykorzystanie serwera jako przekaźnika wychodzącego z powodu braku uwierzytelnienia w punkcie końcowym rejestracji.

IBM AIX 7.2 i 7.3 oraz IBM PowerVM VIOS 4.1 mogą pozwolić lokalnemu atakującemu na spowodowanie odmowy usługi z powodu nieprawidłowego obsługiwania konfiguracji tablic stron pamięci.

Oprogramowanie układowe Power Systems FW1120.00, FW1110.00 do FW1110.30 oraz FW1060.00 do FW1060.80 zawiera podatność w ścieżce weryfikacji obrazu podczas procesu uruchamiania hosta. Osoba atakująca z dostępem serwisowym do procesora serwisowego może dostarczyć złośliwie spreparowany obraz aktualizacji kodu, co pozwala na wykonanie dowolnego kodu na systemie hosta. Udane wykorzystanie może wpłynąć na poufność, integralność i dostępność systemu hosta.

W volsync-addon-controller znaleziono błąd, który pozwala atakującemu na wstrzyknięcie złośliwego kodu YAML do zasobu Subscription w OpenShift Lifecycle Manager (OLM). Jest to spowodowane nieprawidłowym escapowaniem wartości adnotacji podczas renderowania ich do YAML. Skuteczne wykorzystanie może prowadzić do nieautoryzowanej modyfikacji lub przejęcia kontroli nad konfiguracjami OLM Subscription, potencjalnie wpływając na zarządzanie oprogramowaniem w klastrze. Problem dotyczy głównie systemów, w których jawnie włączono adnotację 'volsync-addon-deploy-type: olm'.

Uwierzytelniony użytkownik z uprawnieniami do tworzenia lub edytowania reguł alertów może ominąć autoryzację zapytań do źródeł danych, oznaczając zapytanie reguły alertu jako wyrażenie po stronie serwera, jednocześnie odwołując się do prawdziwego identyfikatora UID źródła danych (nieprawidłowa autoryzacja). Może to ujawnić dane dostępne przez skonfigurowane poświadczenia źródeł danych Grafana użytkownikom, którzy nie mają uprawnień do zapytań do tego źródła danych.

Komponent aplikacji przetwarza parametry dostarczane przez użytkownika w niebezpieczny sposób, przekazując je do zapytań SQL. Może to umożliwić ślepą iniekcję SQL, potencjalnie ujawniając zawartość bazy danych lub powodując brak reakcji aplikacji. Poprawka dostępna jest od wersji 14.0101.

vsDesk zawiera podatność na niebezpieczną deserializację, która pozwala zdalnemu atakującemu uzyskać nieautoryzowany dostęp administracyjny. Manipulując danymi konfiguracyjnymi aplikacji, atakujący może wymusić uwierzytelnienie systemu przeciwko dowolnemu serwerowi LDAP i utworzyć nowe konto administracyjne.

Moduł kalendarza w keeper.sh w wersjach wcześniejszych niż 2.18.14 zawiera podatność polegającą na obejściu zabezpieczeń SSRF (Server-Side Request Forgery), która umożliwia uwierzytelnionym atakującym dotarcie do adresów w sieci prywatnej poprzez wykorzystanie ataku DNS rebinding przeciwko dwufazowej walidacji URL i przepływowi połączenia. Zabezpieczenie SSRF sprawdza rozpoznane adresy IP nazwy hosta, ale odrzuca je przed faktycznym otwarciem połączenia HTTP, co pozwala atakującemu kontrolującemu autorytatywny DNS na zwrócenie publicznego adresu podczas walidacji i prywatnego adresu podczas późniejszej niezależnej rozpoznawania DNS na poziomie gniazda, powodując, że zabezpieczenie przechodzi, podczas gdy połączenie wychodzące dociera do wewnętrznej infrastruktury, takiej jak punkty końcowe metadanych instancji chmury.

FFmpeg przed commit 983dae9 zawiera podatność odczytu poza zakresem w pakieteryzatorze RTP dla AV1 (libavformat/rtpenc_av1.c). Pętla wykrywająca klatki kluczowe, która szuka nagłówka sekwencji OBU, przesuwa wskaźnik i licznik pozostałego rozmiaru o długość zakodowanego nagłówka plus rozmiar ładunku OBU bez wcześniejszego ograniczenia rozmiaru OBU względem pozostałych danych. Specjalnie spreparowany rozmiar OBU powoduje zawinięcie licznika pozostałego rozmiaru do wartości dodatniej, co powoduje, że następna iteracja pętli dereferencjonuje wskaźnik poza końcem bufora pakietu. Spreparowany pakiet wejściowy AV1 multipleksowany do RTP wyzwala odczyt poza zakresem.

FFmpeg przed commit 65b0dab zawiera podatność odczytu poza zakresem w demuxerze DASH (libavformat/dashdec.c). Gdy manifest DASH na żywo jest odświeżany z numerem startNumber niższym niż poprzednia wartość, bieżący numer sekwencji staje się ujemny. Funkcja pobierania fragmentów sprawdzała tylko górną granicę przed indeksowaniem tablicy fragmentów, co pozwalało na użycie ujemnego indeksu i powodowało odczyt poza zakresem. Złośliwy lub źle skonfigurowany serwer DASH może to wywołać, serwując manifest na żywo z malejącym startNumber podczas odświeżania manifestu.

FFmpeg przed commit b4c199c zawiera nieprawidłową konwersję zawężającą liczb całkowitych w pakiecie RTP AV1 (libavformat/rtpenc_av1.c). Rozmiar OBU jest rzutowany na long przed porównaniem z pozostałym rozmiarem ramki. Na platformach, gdzie long ma 32 bity, w tym 64-bitowe Windows, odpowiednio duże wartości rozmiaru OBU są zmieniane znakowo przez zawężającą konwersję, co daje wartość ujemną, która przechodzi kontrolę rozmiaru ładunku. To pozwala na obejście zabezpieczeń przez zbyt duży OBU na dotkniętych platformach, prowadząc do dostępu do pamięci poza zakresem, gdy nadmierna wartość jest następnie używana jako długość kopiowania.

FFmpeg przed commit 1cdeb3c zawiera podatność przepełnienia bufora sterty w pakieteryzatorze RTP dla VC-2/Dirac (libavformat/rtpenc_vc2hq.c), która pozwala atakującym na wywołanie uszkodzenia pamięci poprzez dostarczenie spreparowanej jednostki danych Dirac. Pakieteryzator kopiuje rozmiar jednostki danych lub fragmentu pochodzącego z wejścia do bufora o stałym rozmiarze bez sprawdzenia górnej granicy, co powoduje przepełnienie bufora sterty, gdy spreparowane wejście jest pakieteryzowane do wyjścia RTP.