Katalog podatności CVE

W bibliotece libsoup podczas obsługi przychodzącej ramki WebSocket Pong, SoupWebsocketConnection emitował sygnał ::pong ze wskaźnikiem GByteArray, mimo że sygnał jest zadeklarowany do przekazywania GBytes. Aplikacje podłączające handler zgodny z udokumentowanym API GBytes mogą wywołać uszkodzenie sterty lub awarię po otrzymaniu spreparowanego Ponga.

Rozszerzenie Joomla Balbooa Forms przed wersją 2.4.3.4 ma podatność na path traversal bez uwierzytelnienia, umożliwiającą eksfiltrację lokalnych plików przez załączniki w automatycznej odpowiedzi. Podczas publicznego przesyłania formularza, stan pola upload jest akceptowany jako JSON kontrolowany przez gościa. Dla każdego obiektu, którego 'id' wygląda numerycznie, komponent ufa dostarczonemu 'filename', konkatenuje go poniżej skonfigurowanego katalogu upload i dodaje wynik do tablicy lokalnych ścieżek załączników. Nie ładuje powiązanego rekordu, nie weryfikuje własności/sesji/formularza/pola, nie wymaga istnienia ID, nie kanonizuje ścieżki ani nie egzekwuje ograniczeń. Jeśli opcje 'auto reply' i 'attach uploaded files' są włączone, komponent wysyła te lokalne ścieżki jako załączniki e-mail na adres podany w polu e-mail. Gość może więc przesłać nieistniejący numeryczny ID oraz nazwę pliku z traversal, np. '../../../../configuration.php', i otrzymać dowolny plik czytelny przez proces Joomla.

Podatność polegająca na ujawnieniu wrażliwych informacji nieautoryzowanemu aktorowi w rozszerzeniu Mediawiki - CentralAuth Extension pozwala na eksfiltrację danych. Dotyczy wersji od * przed 1.46.1, 1.45.5, 1.43.10.

Podatność polegająca na zależności od podatnego komponentu zewnętrznego i niekontrolowanym zużyciu zasobów w rozszerzeniu Mediawiki - DataTransfer Extension pozwala na nadmierną alokację. Dotyczy wersji od 1.46.0 przed 1.47.0.

Podatność polegająca na ujawnieniu wrażliwych informacji nieautoryzowanemu aktorowi w rozszerzeniu Mediawiki - EventBus Extension pozwala na eksfiltrację danych. Dotyczy wersji 1.47.0-alpha.

Akaunting przed wersją 2.1.31 zawiera podatność na wstrzykiwanie komend systemu operacyjnego w procesie instalacji i aktualizacji modułów, gdzie parametr alias jest przekazywany bez walidacji do wykonania poleceń powłoki. Uwierzytelnieni użytkownicy z dostępem do panelu administracyjnego mogą wstrzyknąć metaznaki powłoki do parametru alias, aby wykonać dowolne komendy na serwerze.

Biblioteka urllib3 w wersjach od 1.10.3 do 2.8.0 posiada podatność polegającą na nieograniczonej alokacji pamięci. Metody HTTPResponse.read_chunked i HTTPResponse.stream buforują pole rozmiaru fragmentu (chunk-size) bez limitu długości, aż do napotkania znaku nowej linii lub końca strumienia. Złośliwy serwer HTTP może wysłać bardzo długą, niezakończoną linię rozmiaru fragmentu, co prowadzi do wyczerpania pamięci procesu klienta.

Biblioteka urllib3 w wersjach od 1.26.0 do 2.8.0 nieprawidłowo stosuje ustawienia TLS serwera docelowego do połączenia z proxy HTTPS. Ścieżki konfiguracji proxy_ssl_context, proxy_assert_hostname, proxy_assert_fingerprint, ssl_context, cert_reqs, verify_mode, use_forwarding_for_https=True oraz CERT_NONE nie pozostają rozdzielone. Ustawienie cert_reqs=CERT_NONE może nadpisać proxy_ssl_context.verify_mode, a zmiana ta utrzymuje się w kolejnych połączeniach, co może skutkować połączeniem z proxy HTTPS bez weryfikacji certyfikatu.

TeamViewer Full Client i Host dla systemu Linux w wersjach przed 15.82 zawierają podatność nieprawidłowej walidacji ścieżek w funkcji Cloud Session Recording (CSR). Wykorzystując warunek wyścigu (race condition) podczas walidacji ścieżki i późniejszego dostępu do pliku, lokalny uwierzytelniony atakujący może wywołać uprzywilejowane operacje na plikach w niezamierzonych lokalizacjach.

TeamViewer Full Client, Host i powiązane moduły na systemach Windows, Linux i macOS zawierają podatność nieprawidłowej kontroli dostępu. Uwierzytelniony zdalny atakujący może obejść uprawnienia skonfigurowane przez użytkownika podczas ustanawiania sesji, modyfikując parametry kontroli dostępu dla ograniczonych funkcji. Może to skutkować nieautoryzowanymi działaniami, a potencjalnie także zdalnym wykonaniem kodu.

TeamViewer Full Client i Host w wersjach przed 15.82 na systemie Windows zawierają warunek wyścigu TOCTOU w mechanizmie wycofywania instalatora. Lokalny atakujący z niskimi uprawnieniami może zastąpić pliki kopii zapasowej rollback przechowywane w katalogu tymczasowym z prawem zapisu dla użytkownika, zanim zostaną przywrócone przez instalator z podwyższonymi uprawnieniami. Prowadzi to do eskalacji uprawnień do NT AUTHORITY/SYSTEM.

TeamViewer Full Client i Host dla systemów Linux i macOS w wersjach przed 15.82 zawierają podatność przepełnienia bufora na stercie podczas przetwarzania plików nagrań sesji .tvs. Niezgodność rozmiaru podczas dekompresji danych nagranej sesji może skutkować zapisami poza granicami sterty. Poprzez nakłonienie użytkownika do otwarcia specjalnie spreparowanego nagrania sesji przez funkcję "Play or convert recorded session…" atakujący może osiągnąć wykonanie dowolnego kodu z uprawnieniami bieżącego użytkownika.

Zdalny atakujący może zalać lokalny stos QUIC ramkami NEW_CONNECTION_ID, omijając limit liczby identyfikatorów połączeń. Powoduje to wysyłanie ramek RETIRE_CONN_ID i, przy wstrzymywaniu ACK, alokację około 400 MB pamięci.

W OpenSSL 4.0 występuje błąd typu use-after-free (CWE-416) w mechanizmie buforowania rozszerzeń certyfikatów X.509. Gdy kilka wątków jednocześnie po raz pierwszy używa tego samego certyfikatu, jeden wątek może zwolnić pamięć bufora rozszerzeń, podczas gdy inny wątek wciąż z niej korzysta. Może to doprowadzić do awarii procesu i odmowy usługi (DoS).

W logice retransmisji DTLS występuje błąd, który nieprawidłowo obsługuje wstrzymany zapis komunikatu handshake. Retransmitowany komunikat może być odczytany poza bufor, ujawniając dane z pamięci heap lub powodując awarię i odmowę usługi (DoS).

Serwer TLS, który wywołuje SSL_set_SSL_CTX() w trakcie uzgadniania połączenia, może uzyskać dostęp do pamięci poza końcem wewnętrznej tablicy, jeśli nowy kontekst zna więcej algorytmów podpisów dostawcy niż kontekst, z którego utworzono połączenie. Zdalny peer może spowodować mały odczyt poza zakresem, a w niektórych przypadkach zapis poza zakresem o stałej wartości na stercie serwera, co może prowadzić do odmowy usługi.

Podatność w implementacji QUIC w OpenSSL pozwala zdalnemu atakującemu na utrzymywanie przydzielonej pamięci buforów pakietów przez długi czas, wysyłając specjalnie spreparowane pakiety. Problem wynika z braku limitów alokacji zasobów (CWE-770), co może prowadzić do nadmiernego zużycia pamięci.

Nieprawidłowa walidacja ścieżek w lokalnej usłudze IPC TeamViewer Full Client i Host na systemach Windows, Linux i macOS w wersjach przed 15.82 pozwala lokalnemu uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na wykonywanie dowolnych zapisów do plików z podwyższonymi uprawnieniami (NT AUTHORITY/SYSTEM \ root). Wysyłając spreparowane polecenia IPC do lokalnego demona usługi, atakujący może manipulować ścieżkami plików, prowadząc do lokalnej eskalacji uprawnień.

Biblioteka @socket.io/cluster-engine przed wersją 0.1.1 używa dziedziczonych właściwości obiektu podczas wyszukiwania identyfikatorów sesji kontrolowanych przez atakującego w środowiskach klastrowych. Nazwy właściwości takie jak __proto__ lub constructor mogą zostać rozwiązane przez łańcuch prototypów zamiast wskazywać rzeczywistego klienta, co powoduje awarię procesu Node.js i odmowę usługi. Aplikacje niekorzystające z @socket.io/cluster-engine nie są narażone.

Deserializacja niezaufanych danych w komponencie ładowania modeli w Amazon GluonTS przed wersją 0.17.0 może pozwolić atakującemu na wykonanie dowolnych poleceń systemu operacyjnego z uprawnieniami procesu ładującego model, poprzez specjalnie spreparowany katalog modelu. Aby usunąć podatność, należy zaktualizować do wersji 0.17.0 lub nowszej.