Katalog podatności CVE

savg-sanitizer to PHP sanitizer SVG/XML. Przed wersją 1.0.0 funkcja isHrefSafeValue() sprawdza atrybut href po ekspansji encji DTD, ale saveXML() serializuje oryginalną encję po usunięciu deklaracji DTD. Specjalnie spreparowana encja, np. Tab, może wyglądać dla sanitizera jak bezpieczny fragment prefiksu, podczas gdy HTML5 Named Character Reference podczas renderowania inline zamienia przetrwałą encję na biały znak, odsłaniając URL javascript:. Gdy aplikacja osadza oczyszczony SVG inline, użytkownik aktywujący link może spowodować wykonanie skryptu w kontekście strony osadzającej. Problem naprawiono w wersji 1.0.0.

savg-sanitizer to PHP sanitizer SVG/XML. Przed wersją 1.0.0, spreparowany DTD SVG z atrybutem #FIXED może spowodować, że cleanAttributesOnWhitelist() wykona podwójne wywołanie DOMElement::removeAttribute() na tej samej nazwie atrybutu w src/Sanitizer.php. Pierwsze usunięcie usuwa jawny atrybut, a domyślna wartość DTD rematerializuje wartość przed drugim usunięciem w ścieżce bezpieczeństwa href, co może uszkodzić stan libxml i zakończyć proces PHP. Atakujący, który może przesłać zawartość SVG do punktu sanityzacji, może wielokrotnie przerywać pracę workerów i degradować lub wyczerpać dostępność aplikacji. Problem naprawiono w wersji 1.0.0.

Usługa Arkime live capture (arkime-live) w Malcolm działa z network_mode: host, wystawiając port 8005 na wszystkich interfejsach sieciowych (viewHost=0.0.0.0). Arkime ufa nagłówkowi X-Forwarded-User z dowolnego adresu IP (userAuthIps=::,0.0.0.0/0) i automatycznie tworzy użytkowników z pełnym dostępem. passwordSecret jest zaszyty na stałe do publicznej wartości "Malcolm". Atakujący w sieci może ominąć nginx całkowicie, łącząc się bezpośrednio z portem 8005 z podrobionym nagłówkiem tożsamości.

Frontowy reverse proxy nginx w Malcolm definiuje lokalizację "Dashboards → Arkime shortcut" używając matchera regex bez rozróżniania wielkości liter, ale przepisania (rewrite) z rozróżnianiem wielkości liter. Żądanie, którego segment ścieżki nie jest dokładnie małymi literami (np. /IDDASH2ARK/...) wchodzi do lokalizacji (matcher działa), ale omija przepisanie (brak przekierowania), więc nginx przechodzi do proxy_pass lokalizacji do backendu Arkime. Ta lokalizacja jest jedyną proxowaną lokalizacją w dostarczonej konfiguracji, która nie zawiera pliku uwierzytelniania per lokalizacja, więc żądanie dociera do Arkime bez uwierzytelnienia. Ta sama lokalizacja przekazuje również nagłówek X-Forwarded-User dostarczony przez klienta bez nadpisania, a Arkime jest skonfigurowany, aby ufać X-Forwarded-User jako nazwie uwierzytelnionego użytkownika — więc nieuwierzytelniony wywołujący z sieci może dotrzeć do backendu Arkime, podając podrobioną, automatycznie utworzoną tożsamość.

Potok przetwarzania uploadów w Malcolm (scripts/safe-extract.py) egzekwuje limity liczby wpisów, głębokości zagnieżdżenia i całkowitego rozmiaru nieskompresowanego podczas rozpakowywania archiwów kontenerowych (zip/tar/rar/7z przez libarchive), ale te limity nie są stosowane, gdy przesłany plik jest pojedynczym strumieniem skompresowanym (.gz, .bz2, .xz, .lzma, .lz), który nie jest archiwum .tar.*. Każdy uwierzytelniony użytkownik uprawniony do przesyłania plików PCAP/log może przesłać mały, wysoko kompresowalny plik (np. bombę gzip), który dekompresuje się do praktycznie nieograniczonego rozmiaru na dysku, wyczerpując współdzielony wolumen Docker używany przez OpenSearch, Logstash, Arkime i Zeek, i zakłócając platformę dla wszystkich użytkowników.

Warstwa kontroli dostępu oparta na rolach (RBAC) nginx Lua w Malcolm decyduje, czy uwierzytelniony użytkownik może uzyskać dostęp do ścieżki ograniczonej rolą (np. /htadmin, /auth, /admin_login, /arkime/api/esadmin, NetBox, punkty uploadu) przez dopasowanie wzorca do surowego, percent-encoded URI żądania. Sam nginx wybiera jednak, która lokalizacja faktycznie obsługuje żądanie, używając zdekodowanego, znormalizowanego URI. Ponieważ kontrola RBAC nigdy nie dekoduje percent-encoding, uwierzytelniony użytkownik z niskimi uprawnieniami może zażądać ścieżki admin-only używając percent-encoding (np. /%68tadmin.php) i nginx przekieruje go do ograniczonej lokalizacji, podczas gdy brama Lua RBAC oceniająca nieodkodowany surowy string nie znajdzie żadnego ograniczenia i przyzna dostęp.

Niebezpieczne uprawnienia do plików w handlerze połączeń CodeCatalyst w AWS Toolkit for VS Code przed wersją 4.10.0 pozwalały lokalnym użytkownikom uzyskać tokeny CodeCatalyst poprzez odczyt plików cache tokenów, które były czytelne dla wszystkich. Aby złagodzić ten problem, użytkownicy powinni zaktualizować do wersji 4.10.0 lub nowszej.

GnuTLS v3.8.13 może nieoczekiwanie zaufać certyfikatowi na podstawie Common Name, gdy Subject Alternative Name zawiera SRV otherName (1.3.6.1.5.5.7.8.7) o wartości OCTET STRING. Dostawca nie uznaje tego za podatność bezpieczeństwa z powodu przyjętego modelu zagrożeń.

Pakiet 'github.com/moby/sys/user' dostarcza narzędzia Go do parsowania i wyszukiwania wpisów w plikach baz danych użytkowników i grup w stylu uniksowym. Wersje przed 0.4.1 nie ograniczają wystarczająco liczby wpisów podczas parsowania plików w stylu '/etc/passwd' lub '/etc/group', co pozwala atakującemu dostarczającemu specjalnie spreparowany plik na nadmierne zużycie pamięci i potencjalne zakończenie procesu z powodu braku pamięci.

Błąd egzekwowania polityki w Zimbra Collaboration Suite pozwala uwierzytelnionemu użytkownikowi obejść wyłączone przekazywanie poczty, wykorzystując akcję Sieve notify do wysyłania kopii treści i nagłówków wiadomości na dowolny adres.

Obejście autoryzacji w handlerze EWS FindItem w Zimbra Collaboration Suite w wersjach od 10.1.0 do 10.1.19 pozwala uwierzytelnionemu użytkownikowi z włączonym EWS na odczyt pełnych elementów skrzynki pocztowej, w tym surowego MIME i załączników, z dowolnych lokalnych kont bez nadania współdzielenia lub delegacji.

msgpack5 to implementacja msgpack v5 dla node.js i przeglądarki. W wersjach przed 6.1.0 utworzenie msgpack5 z pustym lub częściowym obiektem opcji wyłącza domyślną ochronę protoAction: 'error'. Zdekodowana mapa zawierająca klucz __proto__ może następnie zastąpić prototyp zdekodowanego obiektu, potencjalnie zmieniając dziedziczone właściwości lub dalsze zachowanie, choć Object.prototype nie jest modyfikowany globalnie.

msgpack5 przed wersją 6.1.0 traktuje zarezerwowany bajt 0xc1 jako niekompletne wejście zamiast nieprawidłowego. Gdy strumień zaczyna się od 0xc1, kolejne dane pozostają w buforze, czekając na bajty, które nigdy nie uczynią wartości prawidłową, co pozwala zdalnemu peerowi wyczerpać pamięć.

msgpack5 przed wersją 6.1.0 nie ma limitu głębokości zagnieżdżenia dla tablic i map, co pozwala atakującemu dostarczającemu dane MessagePack na przesłanie głęboko zagnieżdżonych kontenerów, które wyczerpują stos JavaScript i przerywają działanie procesu, workera lub obsługi żądań.

W msgpack5 przed wersją 6.1.0 dekoder strumieniowy ponownie przetwarza niekompletną tablicę lub mapę od początku za każdym razem, gdy nadejdzie kolejny fragment danych. Zdalny peer może podzielić jeden prawidłowy kontener MessagePack na wiele małych fragmentów, powodując wielokrotne dekodowanie już ukończonych elementów, co prowadzi do kwadratowego zużycia CPU i blokowania pętli zdarzeń.

Pydantic AI od wersji 1.77.0 do 1.107.2 oraz od 2.24.0 do wersji 2.24.0 (oraz 2.24.0?) — poprawnie: przed 1.107.2 i 2.24.0 — w web_fetch_tool, lokalnego fallbacku WebFetch oraz zdalnych pobieraniach mediów FileUrl buforuje całą odpowiedź HTTP przed egzekwowaniem kontroli rozmiaru. Adres URL modyfikowany przez atakującego może wysyłać dowolnie dużą odpowiedź, wyczerpując pamięć procesu i powodując awarię workera.

Pydantic AI to framework Pythona do budowania aplikacji i przepływów pracy z Generative AI. Od wersji 0.3.4 do 1.107.4 i 2.27.1 instrumentacja OpenTelemetry skonfigurowana z InstrumentationSettings(include_content=False) może eksportować prompty ponownych prób poza wywołaniami narzędzi w gen_ai.input.messages i pydantic_ai.all_messages. Agenci używający NativeOutput, PromptedOutput lub walidatorów wyjścia na wyjściu tekstowym mogą w ten sposób ujawnić informacje zwrotne z walidacji, w tym nieprawidłowe wartości modelu cytowane w tej informacji zwrotnej, czytelnikom backendu telemetrii. Ponowne próby wywołań narzędzi i wdrożenia, które nie używają include_content=False, nie są objęte tą konkretną ścieżką. Problem naprawiono w wersjach 1.107.4 i 2.27.1.

Pydantic AI od wersji 1.34.0 do 1.107.5 oraz od 2.24.0 do 2.30.0 — czyli przed 1.107.5 i 2.30.0 — w Agent.to_web() i serwerze czatu webowego clai nie weryfikuje nagłówka Host, co pozwala stronie internetowej odwiedzanej przez dewelopera na użycie DNS rebinding, aby dotrzeć do agenta działającego na loopbacku jako usługa same-origin. Wroga strona może czytać wyświetlany interfejs i wysyłać żądania czatu, które wykonują narzędzia agenta z uprawnieniami i poświadczeniami lokalnego procesu.

Pydantic AI to framework Pythona do budowania aplikacji i przepływów pracy z Generative AI. Od wersji 0.3.4 do 1.107.6 i 2.44.0 instrumentacja OpenTelemetry skonfigurowana z InstrumentationSettings(include_content=False) może nadal eksportować wrażliwą zawartość agenta poprzez zdarzenia exception.message i exception.stacktrace, opisy statusu błędów oraz model_request_parameters zawierające instrukcje lub prompted_output_template. Ujawnione dane są dostępne dla czytelników skonfigurowanego backendu telemetrii i mogą obejmować informacje zwrotne z narzędzi, treści błędów dostawcy, instrukcje środowiska wykonawczego i szablony wyjścia strukturalnego, mimo że atrybuty wiadomości są redagowane. Problem nie przyznaje nowego dostępu do danych agenta, a wdrożenia, które nie używają include_content=False, nie są objęte obejściem ustawienia. Problem naprawiono w wersjach 1.107.6 i 2.44.0.

Pydantic AI od wersji 1.77.0 do 1.107.6 oraz od 2.24.0 do 2.44.0 — czyli przed 1.107.6 i 2.44.0 — w lokalnym web_fetch_tool i WebFetch local fallback przetwarza odpowiedzi serwera z kwadratową złożonością przy ekstrakcji tytułów, normalizacji białych znaków i numerowaniu list uporządkowanych. Strona kontrolowana przez atakującego o umiarkowanym rozmiarze może zablokować pętlę zdarzeń na dłuższy czas, spowalniając inne uruchomienia agentów i żądania, podczas gdy nieobsługiwane kodeki lub nadmierne zagnieżdżenie HTML/JSON może przerwać pojedyncze uruchomienie.