Katalog podatności CVE

Open Neural Network Exchange (ONNX) to otwarty standard interoperacyjności uczenia maszynowego. W wersjach przed 1.22.0 funkcje _unpack_2bit() i _unpack_4bit() zmieniają rozmiar rozpakowanych tablic zgodnie z kontrolowanymi przez atakującego wymiarami TensorProto.dims bez weryfikacji, czy raw_data lub int32_data koduje zadeklarowaną liczbę elementów. Materializacja niezaufanego tensora UINT2, INT2, UINT4, INT4 lub FLOAT4E2M1 przez onnx.numpy_helper.to_array() lub onnx.reference.ReferenceEvaluator może rozszerzyć mały ładunek do nieproporcjonalnie dużej alokacji i wyczerpać pamięć.

Biblioteka ONNX w wersjach od 1.4.0 do 1.22.0 nieprawidłowo waliduje wymagany atrybut num_scan_inputs w funkcjach wnioskowania kształtów ScanInferenceFunction. Brakujący atrybut powoduje dereferencję wskaźnika null, a wartość ujemna jest konwertowana do size_t i może prowadzić do nadmiernej alokacji pamięci. Niezaufany model może przerwać lub zakłócić wnioskowanie kształtów, w tym model z wartością ujemną, który przechodzi walidację onnx.checker.check_model().

Biblioteka ONNX w wersjach od 1.2.1 do 1.22.0 podczas wnioskowania kształtów ConvTranspose przetwarza tensor wag o mniej niż trzech wymiarach bez atrybutu kernel_shape, tworząc pusty effective_kernel_shape i indeksując go dla wymiarów przestrzennych. Niezaufany model przechodzący walidację onnx.checker.check_model() może spowodować awarię onnx.shape_inference.infer_shapes(), prowadząc do odmowy usługi.

Biblioteka ONNX przed wersją 1.22.0 w funkcji RNNShapeInference_opset1_to_6() przetwarza zniekształcone węzły RNN i LSTM z opsetów 1-6 oraz GRU z opsetów 3-6 bez weryfikacji, że pierwszy wejściowy tensor ma rangę trzy. Funkcja uzyskuje dostęp do dim(0) i dim(1) na zbyt małym kształcie protobuf, co może odczytać poza zamierzonym polem i zakończyć aplikację podczas przetwarzania niezaufanego modelu przez onnx.shape_inference.infer_shapes().

vLLM w wersjach od 0.16.0 do 0.32.0 pozwala uwierzytelnionemu użytkownikowi na umieszczenie kontrolowanego przez atakującego szablonu w chat_template_kwargs[chat_template], gdy nie skonfigurowano szablonu serwera. Funkcja ChatParams.get_apply_chat_template_kwargs() zachowuje tę wartość bez egzekwowania trust_request_chat_template, co pozwala obejść politykę zaufania i spowodować wyczerpanie CPU lub pamięci przez renderowanie Jinja.

vLLM przed wersją 0.32.0 konfiguruje Starlette CORSMiddleware z allowed_origins ustawionym domyślnie na wildcard. Złośliwa strona internetowa może za pośrednictwem przeglądarki ofiary uzyskać dostęp do nieuwierzytelnionego serwera vLLM w localhost, sieci wewnętrznej lub VPN i wywoływać punkty końcowe, zużywając zasoby GPU i odczytując odpowiedzi.

vLLM przed wersją 0.32.0 w pliku vllm/tokenizers/hf.py oblicza max_token_id z błędem off-by-one górnej granicy, pozwalając identyfikatorowi tokenu równego rozmiarowi słownika przejść walidację. Przy rozmiarze tensor-parallel równym jeden i słowniku będącym wielokrotnością 64, VocabParallelEmbedding.forward nie maskuje tej wartości przed użyciem w F.embedding, powodując asercję po stronie urządzenia CUDA i zakończenie silnika.

vLLM przed wersją 0.32.0 przekazuje bajty obrazów kontrolowane przez atakującego do biblioteki Pillow przez Image.open(BytesIO(data)) bez ograniczenia wyboru dekodera, a etykieta MIME nie ogranicza wybranego formatu. Ścieżki żądań obsługujące obrazy przez parse_image() i fetch_image() mogą skierować ładunek EPS do komponentów hosta, co przy podatnym Ghostscript (CVE-2024-29510) pozwala na wykonanie poleceń z uprawnieniami procesu vLLM, a przy Pillow 12.0.0–12.2.0 może wyczerpać wątki ładowania mediów.

vLLM w wersjach od 0.11.1 do 0.32.0 w ścieżce obrazów DeepSeek-OCR, DeepSeek-OCR-2 i Unlimited-OCR pozwala zdalnemu klientowi z dostępem do API zgodnego z OpenAI przesłać prawidłowy obraz, którego znormalizowane piksele sumują się do zera, gdy obraz jest sam w partii enkodera. _parse_and_validate_image_input zwraca brak osadzenia, embed_multimodal propaguje tę wartość, a sanity_check_mm_encoder_outputs wyzwala krytyczną asercję, wyłączając silnik dla wszystkich użytkowników.

HashiCorp Consul i Consul Enterprise są podatne na obejście autoryzacji przy rejestracji kontroli stanu, co może pozwolić uwierzytelnionemu użytkownikowi na modyfikację kontroli stanu należących do innej usługi na tym samym węźle. Podatność została naprawiona w Consul Community Edition 2.1.0 oraz Consul Enterprise 2.1.0 i 1.21.19.

Wtyczka Customer Coupons for WooCommerce firmy VillaTheme ma brakującą autoryzację, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 1.3.14 włącznie.

Wtyczka Photo Reviews for WooCommerce (do wersji 1.2.31) zawiera podatność typu race condition wynikającą z niewłaściwej synchronizacji współdzielonych zasobów. Może to pozwolić atakującemu na wykorzystanie warunków wyścigu do nieautoryzowanych działań.

W Esri ArcGIS Server w wersjach 12.1 i starszych na Windows i Linux występuje podatność na wstrzyknięcie SQL, która może pozwolić zdalnemu atakującemu z uprawnieniami dostępu do usługi na wywoływanie funkcji specyficznych dla bazy danych, które nie powinny być dozwolone.

HashiCorp Consul i Consul Enterprise w wersjach od 1.17.0 do 2.0.4 są podatne na obejście autoryzacji w API certyfikatów liści service mesh agenta. Atakujący bez ważnego tokenu ACL może pobrać buforowany certyfikat liścia usługi wraz z kluczem prywatnym.

HashiCorp Consul i Consul Enterprise są podatne na atak typu denial of service w API HTTP. Nieuwierzytelniony atakujący może wyczerpać pamięć agenta Consul.

HashiCorp Consul i Consul Enterprise są podatne na obejście autoryzacji przy rejestracji proxy service mesh. Użytkownik z uprawnieniem zapisu usługi może zastosować konfigurację Envoy escape-hatch bez wymaganego uprawnienia zapisu mesh.

Podatność w operatorze Kubernetes Burrito (Terraform Automation Collaboration Software) przed wersją 0.13.0 polega na tym, że endpoint POST /api/webhook akceptuje niepodpisane zdarzenia GitHub i GitLab, gdy poświadczenia TerraformRepository nie mają ustawionego webhookSecret lub jest on pusty. Umożliwia to osobie znającej URL śledzonego repozytorium sfałszowanie zdarzeń i utworzenie lub usunięcie zasobów TerraformPullRequest z wybranymi przez atakującego polami Branch, Base i ID. W przypadku zdarzeń pull_request z GitHuba kontroler pobiera zmienione pliki na podstawie prawdziwego numeru PR, ale nie weryfikuje gałęzi z payloadu, co może prowadzić do nieautoryzowanego terraform plan z użyciem przechowywanych poświadczeń git i chmurowych.

Sterownik AES dla ESP32 (crypto_esp32_aes.c) oferuje API wielu sesji szyfrowania, ale sprzętowy układ AES ma tylko jeden globalny zestaw rejestrów klucza i trybu. Klucz jest programowany tylko raz, przy rozpoczęciu sesji, poza mutexem, więc kolejne operacje mogą wykonywać się z kluczem innej sesji, co prowadzi do szyfrowania lub deszyfrowania danych pod niewłaściwym kluczem bez zgłoszenia błędu.

Podatność w stosie Bluetooth Classic Zephyra dotyczy roli Audio Gateway profilu Hands-Free. Gdy bt_rfcomm_dlc_connect() zawiedzie po rozpoczęciu discovery SDP, bt_hfp_ag_connect() zeruje cały obiekt AG przez memset(), mimo że węzeł SDP pozostaje powiązany z listą żądań, a ag->slc_work może być nadal w kolejce. Późniejsze przetwarzanie listy SDP powoduje dereferencję wyzerowanych wskaźników (pool, uuid, func), co prowadzi do awarii lub zawieszenia stosu Bluetooth.

Podatność w stosie Bluetooth Zephyr dotyczy funkcji bt_hfp_hf_connect(), która przy niepowodzeniu bt_rfcomm_dlc_connect() zeruje cały obiekt HFP Hands-Free, mimo że powiązane zapytanie SDP jest nadal aktywne. Prowadzi to do użycia zwolnionego obiektu, w tym wywołań przez wskaźnik NULL i zapętlenia listy żądań SDP, co skutkuje awarią lub zawieszeniem wątku hosta Bluetooth. Podatność można wywołać zdalnie, np. przez urządzenie reklamujące kanał RFCOMM spoza zakresu 1-30 lub kontrolujące timing połączenia.