Katalog podatności CVE

IBM Guardium Data Protection 12.2 jest podatny na wstrzykiwanie poleceń w funkcji powiadomień alertów SNMP. Uwierzytelniony atakujący, który może wpływać na tekst alertów polityk, może spowodować wykonanie danych sterowanych przez atakującego jako poleceń systemu operacyjnego przez usługę SNMP alerter, która działa z uprawnieniami root.

IBM Guardium Data Protection 12.2 jest podatny na wstrzykiwanie poleceń w funkcji CLI dotyczącej usuwania odbiorców certyfikatów SMIME. Uwierzytelniony uprzywilejowany użytkownik CLI może wykonać dowolne polecenia z uprawnieniami root.

IBM DataStage on Cloud Pak for Data 5.4.0.0 zawiera podatność, która pozwala zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu nieprawidłowej walidacji ścieżek podczas ekstrakcji archiwum.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 zawiera podatność, która pozwala lokalnemu uwierzytelnionemu atakującemu na zmianę właściciela dowolnych plików z powodu nieprawidłowej walidacji ścieżki pliku kontrolowanej przez atakującego.

Marmite do wersji 0.4.2 zawiera brak uwierzytelnienia w punktach końcowych serwera deweloperskiego /__marmite__/content, /__marmite__/config i /__marmite__/file/, co pozwala nieuwierzytelnionym atakującym na tworzenie, modyfikowanie i nadpisywanie treści oraz konfiguracji witryny. Atakujący mogą wykorzystać nieoczyszczone parametry ścieżki w handle_create_content i handle_clone_content do zapisu plików poza katalogiem projektu poprzez directory traversal.

Marmite do wersji 0.4.2 zawiera podatność typu path traversal w serwerze deweloperskim uruchamianym przez --serve, która pozwala nieuwierzytelnionym atakującym na odczyt dowolnych plików. Funkcja handle_request w src/server.rs nie odrzuca segmentów .. po dekodowaniu procentowym i połączeniu ścieżki żądania z folderem wyjściowym, co umożliwia atakującym żądanie zakodowanych sekwencji traversal w celu uzyskania dostępu do plików czytelnych przez proces marmite.

Klient MQTT NetX Duo wycieka pakiet przenoszący uszkodzoną wiadomość PUBLISH. Każda uszkodzona wiadomość PUBLISH kosztuje jeden pakiet lub łańcuch pakietów z puli odbiorczej sterownika sieciowego i nic go nie zwraca. Osoba atakująca, która może dostarczyć kilkadziesiąt takich wiadomości, wyczerpuje pulę i zatrzymuje cały ruch sieciowy przychodzący na urządzenie aż do jego ponownego uruchomienia.

Gdy NetX Secure jest zbudowany z opcją `NX_SECURE_KEY_CLEAR`, każdy rekord TLS wysyłany w aktywnej sesji jest wymazywany po przekazaniu do TCP. W tym momencie warstwa TCP jest właścicielem łańcucha pakietów i mogła już zwolnić go do puli pakietów. Wymazywanie zapisuje zera w pakietach, które są wolne lub używane przez inny wątek, a gdy wskaźniki ponownie użytego pakietu nie opisują już starych danych, długość wymazywania powoduje niedomiar i wykracza poza koniec puli pakietów.

W funkcji `_nx_secure_x509_asn1_tlv_block_parse()` w NetX Secure występuje odczyt poza granicami bufora. Funkcja odczytuje bajt tagu ASN.1 przed sprawdzeniem, czy bufor zawiera co najmniej jeden bajt, co przy zerowej długości prowadzi do odczytu o jeden bajt poza końcem bufora. Podatność dotyczy parsowania certyfikatów X.509 dostarczanych przez zdalnego klienta podczas uzgadniania TLS.

Nieuprzywilejowany moduł ThreadX chroniony pamięcią może spowodować, że jądro odczyta i zapisze pamięć pod wybranymi przez siebie adresami w trybie uprzywilejowanym, a następnie użyć tego do wyczyszczenia bitu włączenia MPU i usunięcia własnej izolacji. Menedżer modułów decydował, czy uprzywilejowana usługa może wyłuskać adres obiektu, pytając tylko, czy adres ten znajduje się poza modułem. Pula obiektów menedżera znajduje się poza każdym modułem, więc test był spełniony przez adres przesunięty do wnętrza jednej z własnych uprzywilejowanych alokacji modułu, co nie oznacza żadnego obiektu. Bajty, które taki adres przedstawia jako blok kontrolny, to bajty, które moduł umieścił tam za pomocą zwykłych usług tworzenia i ustawiania, więc identyfikator bloku kontrolnego na ich początku mógł być odczytany jako dowolny typ wybrany przez moduł, a test identyfikatora warstwy `_txe_` się zgadzał. Zgłoszony łańcuch używa tego do osiągnięcia uprzywilejowanego `memset` w zakresie wybranym przez atakującego.

Zamontowanie kontrolowanego przez atakującego obrazu pamięci NAND (lx_nand_flash_open()) wywołuje nieograniczony zapis poza granicami sterty w parserze metadanych warstwy translacji NAND w LevelX, który nadpisuje wskaźnik funkcji sterownika w bloku kontrolnym, dając potwierdzony przejęcie przepływu sterowania — RIP ustawiony na pełną 8-bajtową wartość wybraną przez atakującego (zweryfikowane rejestrami). Towarzyszą temu dwa odczyty poza granicami. Wszystko odtworzone dosłownie pod ASan na HEAD 9f1cfdc.

W bibliotece Eclipse ThreadX NetX Duo (wersje 6.0–6.5.2.202603a) parser ServerHello w kliencie TLS oraz parser HelloVerifyRequest w kliencie DTLS odczytują pola przed sprawdzeniem, czy komunikat jest wystarczająco długi. Złośliwy serwer lub atakujący w ścieżce może wymusić odczyt do trzech bajtów poza granicą komunikatu handshake, co na systemach z ochroną pamięci może spowodować awarię klienta.

W Eclipse ThreadX NetX Duo (wersje 6.0–6.5.2.202603a) kod PPP IPCP przetwarza Configure-Nak od peera bez walidacji długości poszczególnych opcji. Złośliwy peer PPP może zawiesić wątek PPP na czas nieokreślony opcją o zerowej długości, doprowadzając do zerwania łącza, oraz odczytać do czterech bajtów pamięci bufora pakietu na wymianę przy użyciu opcji krótkiego adresu.

W Eclipse ThreadX NetX Duo (wersje 6.4.0–6.5.2.202603a) zbudowanym z obsługą VLAN i SRP parser MSRP używa długości listy atrybutów z odebranej ramki bez porównania jej z długością pakietu. Nieuwierzytelniona stacja w tym samym segmencie warstwy 2 może wysłać krótką ramkę MSRP deklarującą długą listę i wymusić odczyt daleko poza odebranym pakietem, powodując awarię wątku MRP na systemach z ochroną pamięci.

W Eclipse ThreadX NetX Duo (wersje 6.4.0–6.5.2.202603a) zbudowanym z obsługą VLAN i SRP usunięcie ostatniego atrybutu z listy uczestnika MRP powoduje zapis przez wskaźnik następnika o wartości null. Nieuwierzytelniona stacja w tym samym segmencie warstwy 2 może doprowadzić do awarii wątku MRP, deklarując jeden atrybut MSRP i wycofując go; zwykłe wycofania przez legalne stacje trafiają na tę samą ścieżkę.

W Eclipse ThreadX NetX Duo (wersje 6.4.0–6.5.2.202603a) zbudowanym z obsługą VLAN i SRP wyszukiwanie atrybutów MSRP zapisuje przez wskaźnik null zwrócony przez alokator, gdy dziesięcioentryjna tablica atrybutów jest pełna. Nieuwierzytelniona stacja w tym samym segmencie warstwy 2 może doprowadzić do awarii wątku MRP, deklarując wystarczająco dużo nowych atrybutów; deklaracje Talker Failed zajmują wpisy tablicy, które nigdy nie są zwalniane.

W bibliotece Eclipse ThreadX NetX Duo (do wersji 6.5.2.202603) parser OID agenta SNMP używa wielobajtowej długości BER z żądania bez sprawdzenia jej względem dostępnych bajtów, co powoduje odczyt poza buforem pakietu. Zdalny, nieuwierzytelniony atakujący może wysłać spreparowane żądanie SNMP, które zmusi agenta do odczytu sąsiedniej pamięci do stanu OID, powodując awarię na systemach z ochroną pamięci.

W Eclipse ThreadX NetX Duo (do wersji 6.5.2.202603) serwer RTSP zwraca surowy błąd parsera dla nieprawidłowego nagłówka Session i nigdy nie zwalnia zaalokowanego pakietu odpowiedzi. Nieuwierzytelniony klient może wyczerpać pulę pakietów serwera kilkudziesięcioma żądaniami, zatrzymując serwer RTSP, a przy współdzielonej puli także resztę stosu sieciowego, do czasu restartu urządzenia.

W Eclipse ThreadX NetX Duo (do wersji 6.5.2.202603) pamięć podręczna ciągów dodatku mDNS akceptuje krótszą nazwę jako dopasowanie do dłuższej zapisanej. Host w sieci lokalnej może wysłać dwa rekordy mDNS, które sprawiają, że urządzenie wykonujące ciągłe wykrywanie usług zapisuje do trzech bajtów poza swoim pakietem transmisyjnym, uszkadzając sąsiedni pakiet lub wolną listę puli i błędnie przypisując wykryte rekordy.

W Eclipse ThreadX NetX Duo (do wersji 6.5.2.202603) zbudowanym z IPv6 walidator opcji ICMPv6 akceptuje obszar opcji kończący się jedno- lub dwubajtową resztą, a procedury obsługi Router Advertisement, Neighbor Solicitation, Neighbor Advertisement i Redirect przechodzą go bez sprawdzania długości. Host w sieci lokalnej może wysłać jedną taką wiadomość, aby wątek IP odczytał poza pakietem lub zapętlił się na zawsze, i umieścić pamięć spoza pakietu w pamięci podręcznej sąsiadów.