Katalog podatności CVE

W bibliotece pkp-lib (do wersji 3.3.0-22, 3.4.0-10, 3.5.0-4) wykryto podatność XML External Entity (XXE) w funkcji _transformPHP w pliku classes/xslt/XSLTransformer.php. Zdalny atakujący może wykorzystać tę podatność do odwołań do zewnętrznych encji XML. Poprawka jest dostępna w wersjach 3.3.0-23, 3.4.0-11 i 3.5.0-5.

BuildKit to zestaw narzędzi do konwersji kodu źródłowego na artefakty budowania w wydajny, ekspresyjny i powtarzalny sposób. Przed wersją 0.31.2 niestandardowy klient może wysłać żądanie uploadu do demona BuildKit, które umożliwia plikom ucieczkę z katalogu stanu kontrolowanego przez BuildKit. Klient musi mieć ważne uprawnienia dostępu do API kontroli BuildKit, aby inicjować budowanie, np. ominąć uwierzytelnianie. Problem został naprawiony w wersji 0.31.2.

W systemie OTTO® Fleet Manager wykryto podatność związaną z użyciem niewystarczającego współczynnika pracy w implementacji hashowania haseł bcrypt. Może to zmniejszyć koszt obliczeniowy wymagany do przeprowadzenia ataków brute-force offline na zahashowane hasła. Jeśli atakujący uzyska dostęp do niezaszyfrowanej kopii zapasowej systemu, słabo zahashowane poświadczenia mogą zostać łatwiej skompromitowane.

To CVE zostało odrzucone lub wycofane przez CVE Numbering Authority.

Ten identyfikator CVE został odrzucony lub wycofany przez jego CVE Numbering Authority.

Ten identyfikator CVE został odrzucony lub wycofany przez jego CVE Numbering Authority.

Wekan (wersje przed 10.38) zawiera podatność w kilku endpointach eksportu, gdzie token authToken jest pobierany z parametru zapytania i używany bez sprawdzenia, czy użytkownik istnieje. Żądanie do prywatnej tablicy z nieznanym tokenem powoduje TypeError i nieobsłużone odrzucenie, co może doprowadzić do zakończenia procesu Wekan i odmowy usługi dla wszystkich użytkowników. Wersja 10.38 dodaje zabezpieczenia 401 i opakowuje handlery funkcją safeRoute().

Wekan to open source'owa tablica kanban zbudowana w Meteor. Od wersji 8.72 do 10.23 funkcja addBoardHTMLToZip() w client/lib/exportHTML.js odczytywała tytuł i treść karty przez textContent, co dekodowało encje HTML, a następnie interpolowało titleText i allText do content.innerHTML w wyeksportowanym index.html. Członek tablicy mógł przechowywać zakodowany encją payload obsługi zdarzeń w tytule karty, który pozostawał nieaktywny na żywej tablicy, ale był ponownie parsowany i wykonywany, gdy odbiorca kliknął kartę w pobranym eksporcie HTML, umożliwiając skryptowi odczytanie i przesłanie wszystkich danych tablicy zawartych w tym eksporcie, w tym treści dodane po usunięciu członkostwa atakującego. Wersja 10.23 buduje modal z węzłami DOM i przypisuje niezaufane wartości przez textContent. Problem został naprawiony w wersji 10.23.

Wekan to open source'owa tablica kanban zbudowana w Meteor. Przed wersją 9.90 funkcja isFileValid() w models/fileValidation.js używała polecenia Unix 'file' do wykrywania MIME na podstawie zawartości, ale detectMimeFromFile() po cichu zwracała undefined, gdy ten binarny plik był niedostępny, a walidacja wracała do kontrolowanego przez atakującego fileObj.type dostarczanego przez server/routes/attachmentApi.js. Na wdrożeniach z WITH_API=true i bez pliku binarnego 'file', uwierzytelniony członek tablicy mógł oznaczyć HTML zawierający JavaScript jako image/png, ominąć niebezpieczne sprawdzenie MIME i przechowywać aktywną treść pod originem Wekan do wykonania, gdy inny użytkownik ją otworzył. Wersja 9.90 dodaje looksLikeDangerousMarkup() do inspekcji bajtów pliku i wymusza skanowanie niebezpiecznej zawartości, gdy wykrywanie MIME jest niedostępne. Problem został naprawiony w wersji 9.90.

Wekan to open source'owa tablica kanban zbudowana w Meteor. Przed wersją 9.89 druga reguła Boards.allow({ update }) w server/permissions/boards.js wywoływała canUpdateBoardSort w server/lib/utils.js, która autoryzowała każdego członka tablicy, gdy fieldNames zawierało 'sort'. Ponieważ Meteor łączy reguły allow z semantyką OR i stosuje kompletny modyfikator, członek z uprawnieniami tylko do komentarzy lub tylko do odczytu mógł wysłać jedno Boards.update z wartościami $set dla sort, members, permission i title, uczynić siebie jedynym administratorem tablicy, ujawnić prywatną tablicę i usunąć prawowitego właściciela; reguła deny dotycząca ostatniego administratora sprawdzała tylko $pull i nie blokowała całkowitego $set członków. Wersja 9.89 wymaga, aby 'sort' był jedynym modyfikowanym polem i odrzuca tablice $set członków, które usuwają ostatniego aktywnego administratora. Problem został naprawiony w wersji 9.89.

Wekan to open source'owa tablica kanban zbudowana w Meteor. Przed wersją 9.75, models/fileValidation.js interpolował przesłany fileObj.path do skonfigurowanego przez administratora externalCommandLine w miejscu {file} i wykonywał wynik przez asyncExec, który jest promisify(exec) i wywołuje `/bin/sh -c`. Na wdrożeniach ze skonfigurowanym zewnętrznym skanerem, uwierzytelniony użytkownik mogący przesłać załącznik mógł umieścić metaznaki powłoki, takie jak podstawienia poleceń, w nazwie pliku i wykonać polecenia jako proces serwera Wekan. Wersja 9.75 dodaje shellQuote() i przekazuje ścieżkę pliku jako argument w pojedynczych cudzysłowach POSIX, aby metaznaki powłoki nie mogły uciec z miejsca {file}. Problem został naprawiony w wersji 9.75.

Wekan (wersje od 9.57 do 9.74) zawiera podatność w trasie /api/boards/:boardId/exportExcel, gdzie funkcja autoryzacyjna exporterExcel.canExport(user) nie jest oczekiwana (brak await). Zwracana Promise jest zawsze prawdziwa, więc exporterExcel.build(res) wykonuje się nawet gdy board.isVisibleBy(user) odmawia dostępu. Pozwala to każdemu uwierzytelnionemu nie-członkowi na pobranie tytułów kart, opisów, list, swimlanes, członków i metadanych prywatnych tablic. Poprawka w wersji 9.74.

Wekan to open source'owa tablica kanban zbudowana w Meteor. Od wersji 8.36 do 9.74, walidator URL Integration URL w models/integrations.js sprawdzał tylko dosłowny URL.hostname względem wyrażeń regularnych, więc nazwy DNS takie jak 169-254-169-254.nip.io przechodziły pierwszą linię kontroli. Zabezpieczenie fetchSafe w ścieżce dostarczania już blokowało zgłoszone miejsce docelowe IPv4, ale jego oddzielny resolver tylko dla IPv4 i zduplikowana lista blokowania tworzyły niespójne egzekwowanie dla wszystkich rodzin adresów i ryzyko dryfu między walidacją przy wejściu a połączeniem. Wersja 9.74 sprawia, że server/lib/ssrfGuard.js rozwiązuje wszystkie adresy za pomocą `dns.lookup({ all: true })`, waliduje każdy wynik przez wspólną logikę isIpBlocked, przypina połączenie i blokuje przekierowania. Problem został naprawiony w wersji 9.74.

pfSense Plus (przed 26.07) i pfSense CE (do 2.8.1) zawierają podatność XSS (przechowywane) w funkcji Traffic Graphs top-talkers. Rekordy PTR z odwrotnego DNS są wstawiane bez sanityzacji do odpowiedzi AJAX i renderowane jako HTML w interfejsie administratora. Atakujący kontrolujący rekord PTR i generujący wystarczający ruch może wykonać dowolny JavaScript w przeglądarce administratora, uzyskując dostęp do sesji i możliwość tworzenia kont oraz wykonywania poleceń OS.

ICEcoder 8.1 zawiera nieuwierzytelnioną podatność zdalnego wykonania kodu, która pozwala atakującemu na wykonanie dowolnych poleceń systemowych poprzez połączenie obejścia uwierzytelniania, walidacji CSRF i niebezpiecznego wykonania poleceń.

Logto Tunnel przed wersją 0.3.9 zawiera podatność na przechodzenie poza katalog (path traversal) w funkcji createStaticFileProxy. Niezautoryzowany atakujący może wysłać żądanie ze ścieżką zawierającą '../' i odczytać pliki poza skonfigurowanym katalogiem statycznym, jeśli port tunelu jest osiągalny.

Logto, nowoczesna infrastruktura uwierzytelniania open-source, w wersjach od 1.40.1 do 1.41.0 zawiera podatność w workflow GitHub Actions, gdzie tytuł pull requesta jest bezpośrednio interpolowany do polecenia echo w kroku commitlint. Tytuł zawierający pojedynczy cudzysłów może przerwać ciąg echo i dołączyć dowolne polecenia powłoki na runnerze GitHub Actions. Atakujący może zakłócić działanie ephemeral workflow, ale nie ma dostępu do sekretów repozytorium.

Logto przed wersją 1.41.0 ma podatność na katastrofalne cofanie się (catastrophic backtracking) w wyrażeniu regularnym używanym do blokowania subadresów e-mail. Atakujący może wysłać specjalnie skonstruowany adres e-mail, powodując zablokowanie pętli zdarzeń i niedostępność usług uwierzytelniania.

BuildKit to zestaw narzędzi do konwersji kodu źródłowego na artefakty budowania. Przed wersją 0.31.1 BuildKit czytał kontrolowane przez atakującego pliki /etc/passwd i /etc/group bez górnego limitu podczas rozwiązywania nazwy użytkownika na identyfikator użytkownika lub grupy w executor/oci/user.go i solver/llbsolver/ops/user_linux.go. Złośliwy obraz bazowy lub build może dostarczyć nadmiernie duże pliki, które wyczerpują pamięć podczas rozwiązywania użytkownika i powodują zakończenie procesu buildkitd z powodu braku pamięci.

BuildKit, narzędzie do budowania artefaktów, przed wersją 0.31.1 zawiera podatność, w której niestandardowy frontend może umieścić nieprawidłową wartość SecurityMode w spreparowanym żądaniu budowy. Executor traktuje tę wartość jako tryb bez sandboxa, nie wymagając uprawnienia security.insecure, co wyłącza ochronę Seccomp i AppArmor dla kontenera budowy, mimo że ograniczenia Linux capabilities pozostają.