Katalog podatności CVE

W DPDK lib/vhost vhost-crypto wykryto błąd. Przepełnienie liczb całkowitych w sprawdzaniu długości łańcucha oraz brak sprawdzania długości na ścieżce RSA mogą spowodować przepełnienie bufora hosta w backendzie vhost-crypto.

W bibliotece DPDK (lib/vhost, vhost-crypto) wykryto błąd, w którym sprzątanie łańcucha write-back może podążać za niezainicjalizowanym wskaźnikiem next, gdy mapowanie deskryptora gościa się nie powiedzie. Prowadzi to do zawieszenia lub awarii procesu vhost-crypto na hoście.

W bibliotece DPDK (lib/vhost, vhost-crypto) wykryto błąd, w którym indeks deskryptora avail-ring dostarczony przez gościa jest używany bez sprawdzenia zakresu. Powoduje to zapis poza zakresem bufora w backendzie vhost-crypto na hoście.

W bibliotece DPDK (lib/vhost, vhost-crypto) wykryto błąd, w którym sprzątanie sesji może pozostawić nieaktualny wskaźnik do sesji w pamięci podręcznej, a ścieżka danych nie sprawdza typu sesji przed jej przypisaniem. Prowadzi to do use-after-free lub pomylenia typów w backendzie vhost-crypto na hoście.

W bibliotece DPDK (lib/vhost) wykryto błąd, w którym gość z deskryptorami RX o zbyt małym rozmiarze może spowodować niedomiar długości kopiowania w funkcji enqueue vhost. Prowadzi to do odmowy usługi we współdzielonym backendzie vhost, takim jak OVS-DPDK.

W Redash (wersje od 10.0.0 do 26.9.0) mechanizm wykonywania zapytań do źródła danych JSON używał urljoin do łączenia skonfigurowanego base_url z adresem URL zapytania podanym przez użytkownika. Bezwzględny adres URL zastępował skonfigurowany base_url, umożliwiając użytkownikowi z uprawnieniem execute_query skierowanie żądania serwerowego do dowolnego zewnętrznego źródła, a przy skonfigurowanym HTTP Basic Auth także przekazanie tych poświadczeń. Problem naprawiono w wersji 26.9.0.

W evolution-data-server wydarzenia kalendarza zawierające URI file:// w polu ATTACH automatycznie odczytują wskazany plik lokalny, kodują jego zawartość w base64 i wysyłają z powrotem na serwer przy zapisie wydarzenia. Brak ograniczeń ścieżek i weryfikacji pochodzenia załącznika pozwala atakującemu z dostępem do współdzielonego kalendarza CalDAV na eksfiltrację dowolnych plików dostępnych dla użytkownika.

Wtyczka WordPress MDTF (wp-meta-data-filter-and-taxonomy-filter) zawiera podatność typu Code Injection (niewłaściwa kontrola generowania kodu). Problem dotyczy wersji od nieznanej do 1.3.9.

W PgBouncer w wersjach od 1.21.0 do 1.26.0 występuje przepełnienie liczb całkowitych w logice rozszerzania bufora wiadomości (mbuf_make_room), gdy max_packet_size jest ustawione powyżej 2147483648. Nagłówek pakietu deklarujący długość powyżej 2^31 powoduje przepełnienie obliczeń rozmiaru bufora i pętlę, która nie może się zakończyć, co nasyca rdzeń CPU i blokuje wszystkie połączenia w puli. Od wersji 1.23.0 przepełnienie jest osiągalne przed uwierzytelnieniem za pomocą pięciobajtowego nagłówka pakietu.

W Eclipse ThreadX NetX Duo w wersjach od 6.0 do 6.5.2.202603 serwer DTLS w NetX Secure nigdy nie porównuje cookie zwróconego przez klienta z tym, które wydał, i traktuje każde niepuste cookie jako zweryfikowane. Zdalny atakujący może zmusić serwer do wysłania pełnej sekwencji uzgadniania, kilku kilobajtów, na sfałszowany adres źródłowy, wykorzystując go do wzmocnionej refleksji ruchu na stronę trzecią.

W @appium/support przed wersją 7.2.6 rozpakowywanie archiwów ZIP akceptuje wpis tworzący dowiązanie symboliczne poza katalogiem docelowym, a następnie wpis zwykłego pliku, którego nazwa prowadzi przez to dowiązanie. Leksykalne sprawdzenie zawartości nie weryfikuje celu dowiązania ani rzeczywistego miejsca docelowego, co pozwala na zapis plików w dowolnych lokalizacjach z uprawnieniami procesu Appium, potencjalnie prowadząc do wykonania kodu. Problem naprawiono w wersji 7.2.6.

W demonie routingu (rpd) systemów Juniper Networks Junos OS i Junos OS Evolved występuje podatność typu Reachable Assertion. Sąsiadujący peer OSPF może wywołać odmowę usługi poprzez ruch OSPF przetwarzany, gdy skonfigurowane jest instalowanie best-route Prefix-SID w OSPF Source Packet Routing.

Podatność typu przepełnienie liczb całkowitych (integer overflow/wraparound) w demonie protokołów routingu (rpd) systemów Juniper Networks Junos OS oraz Junos OS Evolved. Nieuwierzytelniony atakujący znajdujący się w sąsiedztwie sieciowym może wywołać odmowę usługi (DoS), wysyłając specjalnie spreparowane pakiety OSPFv2 na interfejsie z włączonym OSPF.

Podatność typu osiągalna asercja (reachable assertion) w demonie protokołów routingu (rpd) systemów Juniper Networks Junos OS oraz Junos OS Evolved. Atakujący z sąsiedniej sieci może doprowadzić do awarii rpd, wysyłając spreparowany pakiet LDP w ramach ustanowionej sesji LDP.

Podatność polegająca na wywołaniu funkcji z nieprawidłową zmienną lub referencją jako argumentem w demonie protokołów routingu (rpd) systemów Juniper Networks Junos OS oraz Junos OS Evolved. Nieuwierzytelniony atakujący z sąsiedniej sieci może doprowadzić do awarii rpd poprzez specjalnie zniekształcone pakiety LSP-ping.

Podatność typu nieskończona pętla w module erl_tar (Erlang OTP stdlib) oraz w kopiach tego kodu w hex_core, Hex i rebar3. Złośliwy archiwum tar z spreparowanym elementem GNU sparse powoduje, że proces rozpakowujący zapętla się bez końca, blokując jeden scheduler. Problem dotyczy OTP od 29.0 do 29.1.2, rebar3 od 3.27.1 do 3.28.0, stdlib od 8.0 do 8.1.1, hex od 2.4.2 do 2.5.3 oraz hex_core od 0.14.0 do 0.20.1.

Podatność wstrzyknięcia filtra LDAP w Zimbra Collaboration Suite w wersjach od 10.1.0 do 10.1.21 pozwala nieuwierzytelnionym atakującym modyfikować zewnętrzne filtry wyszukiwania LDAP. W domenach korzystających z uwierzytelniania opartego na filtrach wyszukiwania i leniwego provisioningu tworzy to oracle haseł dla użytkowników zewnętrznego katalogu. Uwierzytelnione wyszukiwania S/MIME mogą również zwracać certyfikaty i dane tożsamości dla nieprzewidzianych wpisów katalogowych.

Sterownik IEEE 802.15.4 dla STM32WBA obliczał długość pakietu jako różnicę długości ramki i rozmiaru FCS bez sprawdzenia, czy zgłoszona długość jest wystarczająca. Przy długości 0 lub 1 dochodziło do niedomiaru (uint8_t), co dawało wartość 254 lub 255, a jedyne zabezpieczenie (__ASSERT_NO_MSG) było wyłączone w konfiguracji produkcyjnej. W efekcie sterownik odczytywał około 128 bajtów poza buforem odbiorczym i przekazywał te dane do stosu sieciowego.

Sterownik CC1200 dla IEEE 802.15.4 pobiera długość pakietu PHY z pierwszego bajtu RX FIFO w funkcji get_packet_length() i waliduje ją w verify_rxfifo_validity(), gdzie sprawdzany jest tylko dolny limit (pkt_len < 3), bez górnego ograniczenia. Ponieważ radio pracuje w trybie zmiennej długości pakietu (PKT_LEN = 0xFF), bajt długości 0-255 trafia bez ograniczenia do net_pkt_rx_alloc_with_buffer() i odczytu SPI. Nieuwierzytelniony atakujący w zasięgu radiowym może wysłać ramkę z bajtem długości powyżej 127, co prowadzi do zapisu poza końcem fragmentu bufora sieciowego.

Sterownik NXP KW41Z dla IEEE 802.15.4 (funkcja kw41z_rx() w drivers/ieee802154/ieee802154_kw41z.c) obliczał rozmiar ładunku jako pkt_len = len - KW41Z_FCS_LENGTH w zmiennej typu uint8_t. Ponieważ długość ramki pochodzi z niezabezpieczonego pola RX_FRAME_LENGTH rejestru ZLL IRQSTS i odrzucana była tylko wartość zero, długość równa jeden powodowała niedomiar do pkt_len == 255. Prowadziło to do zapisu 255 bajtów do 128-bajtowego bloku net_buf, przepełniając go o maksymalnie 127 bajtów w sąsiednią pamięć puli buforów sieciowych oraz odczytu poza tablicę rejestru PKT_BUFFER_RX.