Katalog podatności CVE

W Twisted przed wersją 26.10.0rc1 metoda twisted.conch.telnet.Telnet.dataReceived dopisuje każdy bajt otrzymany po IAC SB do trwałego bufora subnegocjacji aż do odebrania IAC SE, bez limitu długości. Negocjacja opcji Telnet odbywa się przed uwierzytelnieniem, więc nieuwierzytelniony peer może pominąć terminator i stale powiększać bufor. Wynikające z tego wyczerpanie pamięci może zakończyć proces i wszystkie hostowane przez niego usługi. Problem naprawiono w wersji 26.10.0rc1.

W Twisted przed wersją 26.10.0rc1 metoda twisted.words.protocols.irc.IRC.dataReceived przechowuje wszystkie bajty otrzymane bez znaku nowej linii w buforze połączenia i nie stosuje limitu długości linii. Podklasa serwera twisted.words.service.IRCUser dziedziczy to zachowanie, a buforowanie odbywa się przed uwierzytelnieniem poleceniami PASS, NICK lub USER. Nieuwierzytelnione połączenie może stale powiększać bufor, aż współdzielony proces serwera zabraknie pamięci i rozłączy wszystkich użytkowników. Problem naprawiono w wersji 26.10.0rc1.

W Twisted przed wersją 26.10.0rc1 parser twisted.words.xish.domish ExpatElementStream pozwala nieuwierzytelnionemu zdalnemu peerowi utrzymywać otwarty element kontenera i stale dodawać elementy potomne. Parser przechowuje niedokończoną stanzę jako drzewo w pamięci bez limitu bajtów lub liczby elementów, a parsowanie strumienia XMPP przed uwierzytelnieniem udostępnia to zachowanie zanim poświadczenia zostaną zaakceptowane. Pojedyncze połączenie może zatem wyczerpać pamięć serwera i zakończyć proces. Problem naprawiono w wersji 26.10.0rc1.

W bibliotece Twisted, w wersjach przed 26.10.0rc1, serwer IMAP4Server po uwierzytelnieniu i wybraniu skrzynki może otrzymać polecenie SEARCH z ujemną wartością rozmiaru literału. Powoduje to przesunięcie kursora parsera poniżej zera i zawieszenie pętli skanującej z powodu indeksowania ujemnego w Pythonie, co blokuje jednowątkowy reactor.

Jeśli atakujący może zapisywać w systemie plików kontenera klastra k8s, może umieścić złośliwą wtyczkę poświadczeń exec w /etc/kubernetes/admin.conf. Kubectl uruchomi tę wtyczkę jako użytkownik hosta macOS przy następnym pobraniu kubeconfig na host za pomocą container k8s write-config lub create, a następnie uruchomieniu kubectl.

W modułach HTTP::Headers::ActionPack w wersjach przed 0.10 dla Perla funkcja _language_match wstawia zakresy nagłówka Accept-Language do wzorca regularnego bez ich escapowania. Złośliwy nagłówek może powodować wyczerpanie CPU poprzez katastrofalny backtracking lub błąd kompilacji wyrażenia regularnego.

Podatność typu przepełnienie bufora (buffer overflow) w klasie transportu Bluetooth HCI USB (subsys/usb/device_next/class/bt_hci.c) w nowym stosie USB. Funkcja bt_hci_tx_sync_in() kopiuje pakiety HCI z kontrolera do hosta do bufora o stałym rozmiarze USBD_MAX_BULK_MPS (64 bajty) bez sprawdzania długości, podczas gdy pakiety mogą być znacznie większe (np. zdarzenie Read Supported Commands ma 70 bajtów). W konfiguracji produkcyjnej (CONFIG_ASSERT=n) prowadzi to do cichego uszkodzenia pamięci, a w skrajnym przypadku do zdalnego wykonania kodu lub odmowy usługi.

W resolverze DNS (subsys/net/lib/dns/resolve.c) w Zephyr socket UDP jest bindowany tylko raz przy inicjalizacji, więc port źródłowy pozostaje stały przez cały czas życia kontekstu resolvera, a zmienia się jedynie 16-bitowy identyfikator transakcji. Narusza to RFC 5452 sekcja 9.2 i pozwala atakującemu z dostępem UDP odgadnąć sam identyfikator oraz wstrzyknąć sfałszowaną odpowiedź. Poprawka losuje nowy port źródłowy przed każdym zapytaniem (CONFIG_DNS_RESOLVER_RANDOMIZE_SOURCE_PORT, domyślnie y).

Klient DHCPv4 w Zephyr RTOS (subsys/net/lib/dhcpv4/dhcpv4.c) używał identyfikatora transakcji (xid) jako licznika zamiast losowej wartości dla każdej transakcji. Identyfikator był inicjowany raz przez sys_rand32_get() i zwiększany o jeden, a w wymianach RENEWING i REBINDING pozostawał niezmieniony lub przewidywalny. Ponieważ xid jest jedynym nieprzewidywalnym tokenem walidacji odpowiedzi, atakujący może przewidzieć lub poznać identyfikator i wysłać sfałszowaną odpowiedź DHCP, która zmienia bramę domyślną i serwery DNS.

Podatność w backendzie MMU dla architektury arm64 (Zephyr) polega na tym, że funkcja invalidate_tlb_page() unieważniała wpisy TLB tylko dla ASID 0, podczas gdy domeny pamięci używają ASID od 1. W efekcie po wywłaszczeniu strony (demand paging) wątek użytkownika zachowywał ważne tłumaczenie do zwolnionej ramki, co pozwalało na odczyt i zapis danych później tam umieszczonych.

Podatność w sterowniku ADXL345 (drivers/sensor/adi/adxl345/adxl345_stream.c) w Zephyr RTOS dotyczy przepełnienia bufora podczas strumieniowania danych z FIFO przez RTIO. Sterownik ogranicza długość raportowanych danych do dostępnego miejsca, ale kolejkuje odczyty magistrali dla wszystkich wpisów FIFO, co przy zbyt małym buforze powoduje zapis do 186 bajtów poza alokację. Dodatkowy błąd braku resetu licznika fifo_total_bytes może przenosić nieaktualny offset zapisu do kolejnej partii danych.

Podatność w usłudze WireGuard w Zephyr RTOS (subsys/net/lib/wireguard/wg.c) polega na tym, że w funkcji handle_transport_data() endpoint peera jest aktualizowany na podstawie nieuwierzytelnionej wiadomości transportowej. Gdy 32-bitowy indeks odbiorcy nie pasuje do żadnej sesji, kod kopiuje adres źródłowy datagramu do peer->endpoint, mimo że nie ma klucza do weryfikacji tej wiadomości. Pojedynczy sfałszowany datagram UDP wysłany na port 51820 może trwale przekierować ruch tunelu na adres atakującego.

W integracji OpenThread w Zephyr opcja CONFIG_OPENTHREAD_JOINER_PSKD miała domyślną wartość "J01NME", która jest publicznie znanym przykładowym poświadczeniem z dokumentacji. Jeśli firmware zbudowano z CONFIG_OPENTHREAD_JOINER_AUTOSTART=y bez nadpisania PSKd, urządzenie zawierało wkompilowane publiczne poświadczenie bez żadnego ostrzeżenia. Atakujący w zasięgu radiowym 802.15.4 może przejąć komisjonowanie nieskomisjonowanego urządzenia i podać mu własny zestaw danych operacyjnych.

W urządzeniu Tenda F6 w wersji 12.02.01.73 zidentyfikowano słabość w interfejsie zarządzania webowego. Manipulacja argumentem ecos_pw może prowadzić do przesyłania poufnych informacji w postaci jawnej. Atak może być przeprowadzony zdalnie, charakteryzuje się wysoką złożonością, a publiczny exploit jest dostępny.

W urządzeniu Tenda F6 w wersji 12.02.01.73 wykryto podatność w interfejsie zarządzania webowego. Manipulacja nieznaną funkcją umożliwia atak cross-site request forgery (CSRF). Atak może być przeprowadzony zdalnie, a publiczny exploit jest już dostępny.

W narzędziu virtualenv w wersjach od 21.14.9 do 21.14.13 skrypt bash bin/activate może skopiować kontrolowaną przez atakującego wartość --prompt do PS1 bez escapowania znaków dolara i backticków, gdy podczas aktywacji wyłączone są jednocześnie promptvars i tryb POSIX. Ponowne włączenie promptvars, uruchomienie set -o posix lub uruchomienie interaktywnego podprocesu bash dziedziczącego wyeksportowany PS1 może spowodować rozwinięcie podstawiania poleceń w zapisanej wartości VIRTUAL_ENV_PROMPT i wykonanie poleceń jako użytkownik aktywujący środowisko. Problem naprawiono w wersji 21.14.13.

W bibliotece pypdf przed wersją 6.21.2 niekompletne rozwiązanie problemu powtarzających się błędnych wpisów w tablicy referencji krzyżowych (GHSA-55h5-xmcq-c37v) mogło nadal powodować pełne przeładowanie strumienia PDF przy każdej próbie odzyskiwania, nawet gdy dostępny był cache odzyskiwania, co prowadziło do długiego czasu działania przy spreparowanych strumieniach referencji krzyżowych. Problem naprawiono w wersji 6.21.2.

W bibliotece pypdf przed wersją 6.21.2 atakujący może spreparować plik PDF ze standardową tablicą referencji krzyżowych, której zadeklarowana liczba wpisów przekracza to, co plik może zawierać, powodując nadmierne przetwarzanie i długi czas działania przy otwieraniu pliku. Problem naprawiono w wersji 6.21.2.

Biblioteka pypdf przed wersją 6.21.2 jest podatna na atak, w którym spreparowany plik PDF wielokrotnie odwołuje się do tego samego nieistniejącego obiektu pośredniego. Powoduje to powtarzające się pełne odzyskiwanie pliku i długi czas działania przy dostępie do takich elementów jak strony. Problem naprawiono w wersji 6.21.2.

W HP One Agent dla niektórych produktów HP PC zidentyfikowano potencjalną lukę w zabezpieczeniach, która może umożliwić eskalację uprawnień i/lub wykonanie dowolnego kodu. HP udostępnia aktualizacje oprogramowania w celu złagodzenia tej potencjalnej podatności.