Katalog podatności CVE

Thunderbird nie escapował wartości atrybutów podczas serializacji wychodzących stanza XMPP. Ponieważ wartości z przychodzących żądań były odsyłane w automatycznych odpowiedziach, zdalny użytkownik XMPP mógł wstrzyknąć dowolne stanza do połączenia użytkownika, które serwer przetwarzał jako wysłane przez użytkownika. Błąd dotyczy wyłącznie funkcji czatu Thunderbird z kontami XMPP i został naprawiony w wersjach 158.0.1 oraz 153.5.1.

W kanale grupowym WhatsApp w Kiro Crew brakuje autoryzacji, co może pozwolić zdalnemu aktorowi będącemu członkiem skonfigurowanej przez operatora grupy WhatsApp na kontrolowanie innych sesji agenta operatora i wykonywanie dowolnych poleceń na hoście uruchamiającym Kiro Crew poprzez wiadomości wysyłane do grupy. Aby usunąć problem, użytkownicy powinni zaktualizować do wersji 0.7.2.

Tokeny bearer interfejsu XERJ Console API mogą ominąć wymóg uwierzytelniania wyłącznie passkey i bezpośrednio wywołać endpoint tworzenia tokenów API, umożliwiając nieautoryzowane tworzenie trwałych poświadczeń następczych.

W Argo CD od wersji 2.1.0 do 3.3.15, 3.4.10, 3.5.4 i 3.6.0-rc2, gdy operator włączył --enable-helm dla kustomize build, pole helmGlobals.configHome może wskazywać katalogi konfiguracji i danych Helm na lokalizację kontrolowaną przez repozytorium. Helm automatycznie ładuje wtyczkę downloadera z <configHome>/.data/plugins bez osobnego kroku instalacji i wykonuje jej program w argocd-repo-server, gdy URL repozytorium helmCharts używa protokołu wtyczki. Polecenie działa jako użytkownik repo-server i może odczytać poświadczenia repozytorium oraz inne dane dostępne dla procesu. Atakujący może zatwierdzić Kustomization i wtyczkę w repozytorium Git budowanym przez Application lub przesłać pliki przez POST /api/v1/applications/manifestsWithFiles, również udostępniane przez argocd app diff --local --server-side-generate. Ścieżka przesyłania wymaga jedynie uprawnienia Application get na istniejącym Application, bez uprawnień Application update lub sync ani dostępu do zapisu repozytorium. Obie ścieżki dostarczania wymagają wcześniejszego włączenia --enable-helm przez operatora; wdrożenia, które go nie włączają, nie są dotknięte. Kustomize 4.1.0 po raz pierwszy przekazało helmGlobals.configHome do Helm. Problem naprawiono w wersjach 3.3.15, 3.4.10, 3.5.4 i 3.6.0-rc2.

W Argo CD od wersji 2.7.0 do 3.3.15, 3.4.10, 3.5.4 i 3.6.0-rc2 Kustomize przekazuje wartości zapytań ref lub version z adresów URL zdalnych zasobów, baz lub komponentów do git fetch bez separatora końca opcji. Wartość rozpoczynająca się od myślnika może zostać zinterpretowana jako --upload-pack i wykonać polecenie w argocd-repo-server, gdy zdalne źródło używa transportu lokalnego, takiego jak file://. Git nie uruchamia dostarczonego polecenia dla zdalnego źródła https://. Transport lokalny nie opuszcza poda, więc blokowanie ruchu wychodzącego repo-server nie zapobiega wykonaniu. Polecenie działa jako użytkownik repo-server, może odczytać poświadczenia repozytorium i inne dane dostępne dla procesu oraz zwrócić dane wyjściowe przez błędy generowania manifestów. Atakujący może zatwierdzić Kustomization w repozytorium Git budowanym przez Application lub przesłać pliki przez POST /api/v1/applications/manifestsWithFiles, również udostępniane przez argocd app diff --local --server-side-generate. Ścieżka przesyłania wymaga jedynie uprawnienia Application get na istniejącym Application, bez uprawnień Application update lub sync ani dostępu do zapisu repozytorium. Kustomize 5.0.0 wprowadziło akceptację file://, podczas gdy 4.5.7 odrzuca ten transport; sama zamiana dotkniętego Kustomize na nowszą wersję nie naprawia brakującego separatora opcji. Problem naprawiono w wersjach 3.3.15, 3.4.10, 3.5.4 i 3.6.0-rc2.

Firmware Wavlink WL-WN530BE1-A do wersji M30BE1_V251117 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego w funkcji sub_23B54 binarki ioos, która przekazuje nieoczyszczony parametr file_id żądań /protocol.csp?opt=ovpn_file z type=del do popen(). Zdalny nieuwierzytelniony atakujący może wysłać sfałszowany nagłówek IP-FROM: 127.0.0.1, aby ominąć logowanie i wykonać dowolne polecenia jako root.

W Argo CD od wersji 0.9.0 do 3.3.15, 3.4.10, 3.5.4 i 3.6.0-rc2 repo-server przetwarza pliki .jsonnet za pomocą importera, który nie ogranicza import, importstr ani importbin do katalogu głównego repozytorium. Ścieżki bezwzględne, przechodzenie do katalogu nadrzędnego i dowiązania symboliczne w repozytorium mogą otworzyć dowolny plik czytelny dla repo-server, w tym /proc/self/environ, tokeny konta usługi, zamontowane klucze prywatne i poświadczenia repozytorium. Chociaż wygenerowane Secrets są redagowane, umieszczenie zaimportowanej zawartości w ConfigMap zwraca dane do wywołującego. Użycie importstr na urządzeniu, które nie kończy się, takim jak /dev/zero, może wyczerpać pamięć repo-server. Atakujący może zatwierdzić plik .jsonnet w repozytorium Git używanym przez Application lub przesłać plik przez POST /api/v1/applications/manifestsWithFiles, również udostępniane przez argocd app diff --local --server-side-generate. Aplikacje katalogowe oceniają każdy plik .jsonnet w katalogu aplikacji. Ścieżka przesyłania wymaga jedynie uprawnienia Application get na istniejącym Application katalogowym, bez uprawnień Application update lub sync ani dostępu do zapisu repozytorium. Problem naprawiono w wersjach 3.3.15, 3.4.10, 3.5.4 i 3.6.0-rc2.

W aaPanel do wersji 8.25.0 wykryto podatność w funkcji ExecShell w pliku class/public/common.py komponentu File Manager. Manipulacja argumentami sfile/dfile/access/user prowadzi do wstrzyknięcia poleceń systemu operacyjnego, możliwego do wykorzystania zdalnie. Exploit został publicznie ujawniony, a producent potwierdza, że zgłoszone podatności RCE i LFI wymagają uwierzytelnienia.

Podatność Path Traversal (CWE-22) w FileArtifactService w Google ADK TypeScript (@google/adk) w wersjach 0.4.0 przed 0.6.0 pozwala zdalnemu nieuwierzytelnionemu atakującemu czytać pliki zgodne z układem katalogu artefaktów lub zapisywać pliki poza zamierzonym katalogiem głównym, gdy serwer API ADK jest wystawiony z włączonym niestandardowym FileArtifactService. Aplikacje korzystające z domyślnego InMemoryArtifactService nie są dotknięte.

Parser X.509 w NetX Secure akceptuje klucz publiczny RSA o dowolnym rozmiarze, ale ścieżki weryfikacji podpisu odszyfrowują dane do buforów o stałym rozmiarze dostosowanych do domyślnego NX_CRYPTO_MAX_RSA_MODULUS_SIZE wynoszącego 4096 bitów. Certyfikat z większym modułem powoduje zapis poza zakresem bufora statycznego podczas zwykłej weryfikacji łańcucha certyfikatów, co jest osiągalne przed uwierzytelnieniem.

Niezwalidowana wartość konfiguracji runtime w Apache CouchDB 3.5.2 i starszych na wszystkich platformach pozwala administratorowi serwera CouchDB na uruchamianie dowolnych poleceń powłoki jako użytkownik systemu operacyjnego CouchDB.

SuggestArr przed wersją 3.0.0 zawiera podatność obejścia uwierzytelniania w trybie local_bypass, gdzie funkcja enforce_authentication() w api_service/auth/middleware.py ufa wartości request.remote_addr kontrolowanej przez klienta, pochodzącej z nagłówka X-Forwarded-For możliwego do podszycia z powodu konfiguracji ProxyFix(x_for=1). Atakujący może wysłać żądanie z X-Forwarded-For ustawionym na zaufany adres CIDR, taki jak 127.0.0.1, aby uzyskać nieuwierzytelnioną sesję administratora.

Froxlor przed wersją 2.3.15 zawiera podatność podążania za symlinkami w Statistics::makeChownWithNewStats, która pozwala uwierzytelnionym klientom przejąć własność dowolnych katalogów hosta poprzez nadużycie uruchamianego jako root crona ruchu. Atakujący może zastąpić katalog statystyk goaccess w swoim document root symlinkiem, powodując, że chown -R przekaże im drzewa katalogów należące do roota.

Podatność polegająca na niedoczytaniu bufora w Apache Tomcat powoduje, że duży zapis nieblokujący może spowodować podział treści odpowiedzi między bieżące żądanie a następne żądanie odebrane na tym samym połączeniu, co najprawdopodobniej prowadzi do błędu drugiego żądania i możliwego wycieku danych z pierwszej odpowiedzi do drugiej.

Nieprawidłowe recykling i ponowne użycie obiektów w Apache Tomcat wpływa na przetwarzanie asynchronicznych servletów HTTP/2 i może powodować mieszanie żądań i/lub odpowiedzi między użytkownikami. Dotyczy wersji 11.0.22 do 11.0.26, 10.1.55 do 10.1.60 oraz 9.0.118 do 9.0.122.

Brak krytycznego kroku uwierzytelniania w Apache Tomcat, gdy realm JNDI był skonfigurowany z mechanizmem SASL innym niż GSSAPI, pozwalał atakującym na uwierzytelnienie bez podania prawidłowego hasła. Dotyczy wersji 11.0.0-M1 do 11.0.26, 10.1.0-M1 do 10.1.60 oraz 9.0.0.M1 do 9.0.122; znane są również wersje EOL 8.5.0-8.5.100 i 7.0.0-7.0.109.

W Eclipse ioFog Controller w wersjach 3.8.0 do 3.9.1 aktualizacje WebSocket operatora na trasach exec i log nie weryfikują tokenu JWT bearer. Ładunek jest dekodowany, a jego grupy lub role są używane jako podmioty RBAC. Samodzielnie wygenerowany token, którego grupy zawierają admin, pasuje do wbudowanej roli administratora bez konta i bez RoleBinding.

Nieprawidłowe warunki brzegowe w komponencie SVG. Podatność została naprawiona w Firefox 158.0.1 i Thunderbird 158.0.1.

W DrayTek Vigor2960 1.5.1.6 Revision 8218 funkcja uploadlangs w pliku /cgi-bin/mainfunction.cgi komponentu Upload Endpoint pozwala na wstrzyknięcie poleceń. Atak można wykonać zdalnie, a exploit został publicznie ujawniony i może być użyty.

W DrayTek Vigor2960 1.5.1.6 Revision 8218 funkcja sub_182B0 w pliku /cgi-bin/mainfunction.cgi komponentu CGI Interface pozwala na wstrzyknięcie poleceń systemowych poprzez manipulację argumentem usefile/usescript/option. Zdalne wykorzystanie jest możliwe, a exploit został opublikowany i może być użyty.