Katalog podatności CVE

W bibliotece DPDK vhost wykryto błąd. Przy obsłudze tabeli deskryptorów pośrednich virtio host odczytuje długość tabeli wielokrotnie z pamięci gościa i może przydzielić kopię hosta przed zweryfikowaniem tej długości. Gość zmieniający długość między odczytami lub podający indeks następny poza zakresem na małej kopii hosta w ścieżce przekazywania vDPA może spowodować wyjście procesu vhost poza zweryfikowane mapowanie lub kopię sterty, co może doprowadzić do awarii lub zakłócenia procesu vhost. Bajty poza zakresem są wykorzystywane jako pola deskryptorów do translacji GPA i nie są zwracane gościowi jako ładunek. Jest to problem szczątkowy w ścieżce kopiowania nieciągłych deskryptorów pośrednich wprowadzonej w ramach poprawki CVE-2018-1059.

Dell Terraform Provider for OME w wersjach od 1.0.0 do 1.2.3 zawiera podatność typu Insertion of Sensitive Information into Log File (umieszczenie poufnych informacji w pliku dziennika) w komponencie konfiguracji providera. Nisko uprzywilejowany atakujący z dostępem zdalnym może potencjalnie wykorzystać tę podatność, prowadząc do ujawnienia informacji.

W bibliotece DPDK lib/vhost wykryto błąd. Rozmiar pamięci nie jest odpowiednio weryfikowany przed mmap podczas konfiguracji regionu pamięci vhost, co może prowadzić do awarii hosta lub uszkodzenia pamięci.

Dell Terraform Provider for Redfish w wersjach od 1.1.0 do 1.6.1 zawiera podatność typu Exposure of Sensitive Information to an Unauthorized Actor (ujawnienie poufnych informacji nieuprawnionemu podmiotowi) w komponencie zasobu redfish_certificate. Wysoko uprzywilejowany atakujący z dostępem zdalnym może potencjalnie wykorzystać tę podatność, prowadząc do ujawnienia informacji.

RabbitMQ to broker komunikatów i strumieniowania. Od wersji 4.0.0 do 4.0.24, 4.1.15, 4.2.10 i 4.3.4 zoptymalizowany parser server_mode AMQP 1.0 w deps/amqp10_common/src/amqp10_binary_parser.erl dopasowuje tekstowe prefiksy deskryptorów treści typu symbolic data, sequence i value bez weryfikacji ich zakodowanych długości symboli. Uwierzytelniony wydawca AMQP 1.0 z uprawnieniami zapisu może przesłać poprawnie sformułowany nieznany deskryptor rozpoczynający się od zarejestrowanego deskryptora treści, a RabbitMQ błędnie klasyfikuje i zapisuje bajty jako standardową sekcję treści. Ścisłe odbiorniki AMQP 1.0 mogą zakończyć działanie podczas dekodowania zapisanego wpisu. Dla treści błędnie sklasyfikowanych jako data, konwersja AMQP 0-9-1 lub inna konwersja międzyprotokołowa wykonuje pełne dekodowanie treści i może zakończyć proces protokołu odbiornika, przy czym dostarczanie wymagające potwierdzenia pozwala na powtarzające się awarie. Klasyfikacje sequence i value są normalnie transportowane jako nieprzezroczyste zakodowane ładunki na tej ścieżce konwersji. Broker pozostaje aktywny, a problem nie omija routingu ani autoryzacji. Problem naprawiono w wersjach 4.0.24, 4.1.15, 4.2.10 i 4.3.4.

RabbitMQ to broker komunikatów i strumieniowania. Od wersji 4.0.0 do 4.0.24, 4.1.15, 4.2.10 i 4.3.4 plik deps/amqp10_common/src/amqp10_binary_parser.erl materializuje każdy element tablic AMQP 1.0, których wspólny konstruktor ma zerową szerokość, ograniczając jedynie liczbę elementów w każdej tablicy, a nie łączne tablice w ramce. Po zakończeniu uwierzytelniania SASL nisko uprzywilejowany klient może wysłać zwykłą ramkę zawierającą wiele indywidualnie dozwolonych tablic, powodując rozszerzenie małej ramki do bardzo dużej sterty procesu czytnika przed późniejszą walidacją ramki lub autoryzacją. Ponieważ deps/rabbit/src/rabbit_amqp_reader.erl usuwa zabezpieczenie max_heap_size przed uwierzytelnianiem po zalogowaniu, powtarzane lub równoczesne ramki mogą wywołać alarm pamięci na poziomie węzła, zablokować wydawców lub wyczerpać pamięć brokera. Problem naprawiono w wersjach 4.0.24, 4.1.15, 4.2.10 i 4.3.4.

YOURLS w wersji przed 1.10.5 nie sanityzuje ścieżki żądania w funkcji yourls_get_request(), przez co sekwencje przejścia katalogowego (kropki i ukośniki) są zachowywane i trafiają do file_exists() oraz include() w katalogu YOURLS_PAGEDIR. Nieuwierzytelniony zdalny atakujący może wyjść poza katalog stron i dołączyć lokalny plik PHP już obecny na serwerze, powodując jego wykonanie w procesie webowym YOURLS. Problem naprawiono w wersji 1.10.5.

TurboDocx html-to-docx do wersji 1.23.1 zawiera podatność SSRF (server-side request forgery) — atakujący dostarczający HTML może zmusić serwer do pobierania wewnętrznych adresów URL poprzez atrybuty img src. Można odwołać się do adresów loopback, prywatnych lub metadanych chmury, które omijają luźną walidację isValidUrl(), a odpowiedzi są osadzane w wygenerowanym pliku DOCX w folderze word/media.

Janus WebRTC Server do wersji 1.4.3 zawiera podatność path traversal w pluginie Record&Play, umożliwiającą nieuwierzytelnionym atakującym zapis plików poza recordings_path poprzez nazwę pliku w żądaniu record. Atakujący może podać nazwy z separatorami ścieżek, aby tworzyć lub obcinać pliki kończące się na -audio.mjr, -video.mjr lub -data.mjr w dowolnym miejscu, w którym proces Janus ma prawo zapisu poza chronionymi katalogami.

unshield do wersji 1.6.2 zawiera podatność heap out-of-bounds read w funkcji unshield_get_file_table(), umożliwiającą odczyt poza zaalokowaną pamięcią sterty poprzez niesprawdzone przesunięcia w nagłówku pliku cabinet. Atakujący może dostarczyć spreparowany plik InstallShield cabinet z file_table_offset poza zakresem lub dużą liczbą plików, aby zawiesić narzędzie unshield lub aplikacje korzystające z biblioteki.

MuJS w wersji 1.3.6 przed 1.3.9 zawiera podatność heap out-of-bounds read i write w Array.prototype.sort, umożliwiającą uszkodzenie pamięci poprzez zwiększenie długości prostej tablicy. Atakujący może dostarczyć kod JavaScript, który powiększa długość gęstej tablicy i wywołuje sort, powodując dostęp funkcji Ap_sort_cmp i Ap_sort_swap do komórek poza buforem i zawieszenie procesu.

libsmb2 do wersji 6.2 zawiera podatność integer underflow w funkcji decode_acl, umożliwiającą złośliwym serwerom SMB wywołanie odczytu poza buforem sterty poprzez spreparowane deskryptory bezpieczeństwa. Atakujący kontrolujący serwer lub przechwytujący niepodpisane sesje może wysłać AclSize mniejsze niż 8 w odpowiedzi QUERY_INFO, omijając sprawdzenia granic ACE i powodując awarię klienta.

libsmb2 do wersji 6.2 zawiera podatność heap out-of-bounds read w funkcjach smb2_decode_file_fs_volume_info oraz smb2_decode_file_fs_attribute_info, umożliwiającą złośliwym serwerom SMB odczyt poza buforem odpowiedzi. Atakujący kontrolujący serwer lub przechwytujący niepodpisane sesje może wysłać spreparowane odpowiedzi QUERY_INFO z brakującymi lub zbyt dużymi długościami nazw, powodując awarię klienta.

libsmb2 do wersji 6.2 zawiera podatność heap out-of-bounds read w funkcji smb2_decode_file_all_info, umożliwiającą złośliwym serwerom SMB zawieszenie klientów poprzez wysłanie niesprawdzonego FileNameLength. Atakujący kontrolujący serwer lub przeprowadzający atak man-in-the-middle na niepodpisane sesje może zwrócić spreparowane odpowiedzi FileAllInformation na wywołania smb2_stat lub smb2_fstat, powodując awarię klienta.

ELFIO do wersji 3.12 zawiera podatność dereferencji wskaźnika NULL w funkcji relocation_section_accessor get_entry(), umożliwiającą atakującym zawieszenie aplikacji poprzez niezwalidowany indeks sh_link. Atakujący może dostarczyć spreparowany plik ELF, którego sekcja SHT_REL lub SHT_RELA ma wiszący sh_link, powodując dereferencję NULL w find_hash_section() i odmowę usługi.

Sofia-SIP do wersji 1.13.18 zawiera podatność heap out-of-bounds read w funkcji msg_multipart_parse(), umożliwiającą nieuwierzytelnionym zdalnym atakującym zawieszenie procesu poprzez wysłanie zbyt dużych granic MIME. Atakujący może wysłać INVITE z wieloczęściowym Content-Type, którego granica przekracza długość ciała, powodując odczyt przez memcmp poza buforem sterty i awarię procesu.

Biblioteka libzvbi do wersji 0.2.45 zawiera podatność zapisu poza zakresem w dekoderze teletekstu. Atakujący może przesłać spreparowany strumień teletekstu z wartościami DRCS_MODE_6_5_4, co powoduje przepełnienie bufora chars[48][60] i awarię aplikacji.

3proxy w wersjach od 0.9.7 do 1.0.1 (naprawione w commicie 206c923) ujawnia niezainicjalizowane bajty stosu w odpowiedzi SOCKS4, gdy włączona jest opcja zewnętrznego NAT (-Ne). Nieuwierzytelniony atakujący może wywołać odpowiedź zawierającą niezainicjalizowane dane ze struktury sin, ujawniając wysokie bajty wskaźnika i osłabiając ochronę ASLR.

Angular DevTools w wersjach od 1.20.0 do 1.21.1 przyjmuje komunikaty chrome.runtime.sendMessage od niezaufanych stron lub skryptów treści bez weryfikacji źródła. Atakujący znający identyfikator tabId ofiary może zlecić rozszerzeniu podłączenie się przez chrome.debugger do innej karty i ustawienie punktów przerwania, co blokuje interakcję z kartą, ale nie prowadzi do wykonania kodu ani eskalacji uprawnień.

Zulip Server w wersjach do 12.1 ujawnia gościom zdarzenia nowych wiadomości z publicznych kanałów, do których nie są zapisani. Gość może zarejestrować kolejkę zdarzeń żądającą wiadomości z niezasubskrybowanego kanału publicznego lub istniejąca kolejka może pozostać aktywna po odebraniu dostępu do kanału.