Katalog podatności CVE

OpenBao przed 2.6.3 zawiera brak sprawdzenia autoryzacji, który pozwala atakującym zatrzymać usługi Agent i Proxy poprzez pominięcie nagłówka X-Vault-Header. Gdy włączone jest require_request_header, atakujący mogą wysyłać żądania przez server-side request forgery do /agent/v1/quit lub /proxy/v1/quit, aby wyłączyć te usługi.

OpenBao 2.2.0 przed 2.6.4 oraz 2.7.0 przed 2.7.1 zawiera podatność na ujawnienie informacji, która eksponuje wartość tls_acme_eab_mac_key przez endpoint sys/config/state/sanitized. Wywołujący oczyszczony endpoint konfiguracji mogą pobrać klucz MAC ACME External Account Binding używany dla certyfikatów listenera TLS, pozwalając im powiązać się z kontem ACME operatora.

OpenBao przed 2.6.4 oraz 2.7.x przed 2.7.1 nie sprawdza wygaśnięcia Secret ID przy użyciu w metodzie uwierzytelniania AppRole, pozostawiając wygasłe Secret ID ważne do czasu usunięcia ich przez okresowe tidy. Atakujący posiadający wygasły, nieposprzątany Secret ID może się zalogować i uzyskać dostęp poza jego TTL.

Podatność obejścia ACL w OpenBao powoduje ciche pomijanie jawnych reguł odmowy opartych na zabronionych szablonach metadanych tożsamości w ramach uprawnień z symbolami wieloznacznymi. Osoba atakująca, której metadane tożsamości zawierają symbole wieloznaczne lub segmenty ścieżek, może uzyskać dostęp do ścieżek, które powinny być zablokowane w szerszym zakresie uprawnień z symbolami wieloznacznymi.

Podatność otwartego przekierowania w dostawcy tożsamości OIDC interfejsu OpenBao dotyczy użytkowników nieuwierzytelnionych w OpenBao. Osoba atakująca może tworzyć linki OIDC przekierowujące nieuwierzytelnionych użytkowników do celów kontrolowanych przez atakującego, umożliwiając phishing lub kradzież danych uwierzytelniających.

OpenBao przed 2.6.4 oraz 2.7.x przed 2.7.1 zawiera wadę w podsystemie limitów szybkości, gdzie rozwiązywanie roli zawodzi dla żądań z ciałami form-encoded lub przekazanymi certyfikatami, więc reguły kwot ograniczone do ról specyficznych dla backendu nie są egzekwowane. Ważni wywołujący mogą wielokrotnie wystawiać tokeny bez zużywania skonfigurowanego budżetu limitu opartego na rolach.

OpenBao przed 2.6.3 zawiera podatność na ujawnienie informacji, która pozwala atakującym wyciekać poufne dane do logów audytu poprzez wysyłanie zniekształconych parametrów pluginu. Atakujący mogą przesyłać żądania z nieprawidłowymi wartościami pól TypeKVPair lub TypeHeader, powodując zapisanie w logach audytu komunikatów błędów zawierających poufne dane wejściowe.

OpenBao przed 2.6.4 oraz 2.7.x przed 2.7.1 nie zapisuje wpisów audytu odpowiedzi dla nieuwierzytelnionych endpointów sys/generate-root, sys/rekey i sys/rekey-recovery-key, gdy logowanie audytu żądań powiedzie się, ale logowanie audytu odpowiedzi zawiedzie. Atakujący używający tych endpointów może zakończyć generowanie tokenu root lub operacje rekey bez odpowiadającego wpisu audytu odpowiedzi, utrudniając wykrycie forensyczne.

OpenBao przed wersją 2.6.4 oraz 2.7.x przed 2.7.1 nie weryfikuje przy odnawianiu tokenu wydanego przez metodę uwierzytelniania Kubernetes, czy token konta usługi użyty pierwotnie do uwierzytelnienia jest nadal ważny. Uwierzytelniona osoba atakująca może stale odnawiać takie tokeny, aby utrzymać dostęp po usunięciu konta usługi Kubernetes.

Mistune przed wersją 3.3.0 zawiera podatność path traversal w dyrektywie Include, która pozwala atakującym odczytać dowolne pliki poprzez podanie sekwencji ../ w ścieżkach include. Atakujący może również wstrzyknąć HTML poprzez nieescapowane komunikaty błędów i zawartość dołączonych plików, aby przeprowadzić cross-site scripting, nawet gdy escape=True jest ustawione.

Podatność path traversal w opcjonalnej dyrektywie Include w Mistune pozwala atakującym odczytywać lokalne pliki poprzez podanie względnych lub bezwzględnych ścieżek include. Osoba atakująca przesyłająca Markdown renderowany przez Markdown.read() może ujawnić pliki takie jak /etc/passwd i wstrzyknąć nieescapowany HTML lub skrypt do renderowanego wyniku.

Mistune przed wersją 3.3.0 zawiera podatność path traversal w dyrektywie RST include, która pozwala atakującym odczytać dowolne pliki poprzez podanie ścieżek względnych lub absolutnych. Atakujący może przesłać Markdown zawierający dyrektywy include odwołujące się do sekwencji ../ lub ścieżek absolutnych, aby osadzić poufne pliki, takie jak dane uwierzytelniające lub zmienne środowiskowe, w renderowanym HTML.

Mistune przed wersją 3.3.0 zawiera podatność złożoności algorytmicznej w parserze linków inline, która pozwala nieuwierzytelnionym atakującym wyczerpać CPU poprzez przesyłanie długich ciągów niedopasowanych znaków '['. Atakujący może wysyłać małe ładunki Markdown wywołujące sondowanie parse_link_text i parse_link_label o złożoności O(N^2), zajmując procesy renderujące przez ponad 30 sekund na każde 16 KB danych wejściowych.

Mistune w wersjach od 3.2.1 do 3.3.0 zawiera podatność na wstrzyknięcie CSS, która pozwala atakującemu kontrolującemu wejście markdown na wstrzyknięcie dowolnych deklaracji stylu poprzez niezwalidowaną opcję figwidth dyrektywy figure. Atakujący może dołączyć deklaracje takie jak background:url() do atrybutu style renderowanej figury, zmuszając przeglądarki ofiar do wysyłania żądań do serwerów atakującego i wycieku wartości atrybutów.

Mistune przed wersją 3.3.0 zawiera podatność na cross-site scripting (XSS) w dyrektywie Include, która emituje zawartość dołączonych plików .html, .xhtml lub .htm jako surowe tokeny block_html. Atakujący, który może umieścić plik HTML czytelny dla renderera, może odwołać się do niego poprzez dyrektywę include, w połączeniu z path traversal, aby wykonać zapisane skrypty, gdy escape=False jest ustawione.

Mistune w wersjach od 3.0.0 przed 3.3.0 zawiera podatność odmowy usługi typu algorithmic complexity w funkcji parse_link_text w src/mistune/helpers.py. Atakujący może przesłać Markdown z głęboko zagnieżdżonymi nawiasami kwadratowymi, wywołując kwadratowy czas parsowania i wyczerpując CPU serwera małymi, spreparowanymi żądaniami.

Mistune w wersjach od 3.0.0 przed 3.3.0 zawiera podatność złożoności algorytmicznej w funkcji parse_link_text parsera linków inline, która pozwala nieuwierzytelnionym atakującym wyczerpać CPU przy użyciu niezbalansowanych nawiasów. Atakujący może przesłać Markdown zawierający wiele niezbalansowanych znaków '[' lub '![', wymuszając powtarzające się nieograniczone skanowania w przód i zajmując procesy robocze na minuty.

Mistune przed wersją 3.3.0 zawiera podatność nieefektywnej złożoności algorytmicznej w funkcji parse_link_text, która pozwala zdalnym atakującym wywołać odmowę usługi poprzez niezbalansowane nawiasy kwadratowe. Atakujący może przesłać Markdown zawierający długie ciągi niedopasowanych nawiasów do mistune.html(), wywołując powtarzające się skanowania w przód, które blokują procesy robocze na minuty.

libmongocrypt buduje żądania do zewnętrznych usług zarządzania kluczami (AWS, Azure i GCP), wstawiając wartości z dokumentów key vault, konfiguracji dostawcy KMS i odpowiedzi KMS do linii żądań, nagłówków i podpisanych ciał żądań bez ich walidacji lub kodowania dla każdego kontekstu. Użytkownik z prawem zapisu do kolekcji key vault może zmienić strukturę tych żądań, w tym dodać elementy do ciał żądań i roszczenia tokenów, które biblioteka następnie podpisuje poświadczeniami aplikacji. Może to spowodować wykonanie operacji zarządzania kluczami z parametrami, których aplikacja nie zamierzała użyć.

Wada konwersji typu numerycznego w bibliotece obsługi BSON sterownika MongoDB C# pozwala na obejście kontroli integralności elementów binarnych poprzez dostarczenie wartości podtypu binarnego spoza zakresu z niezaufanego wejścia tekstowego. Gdy taka wartość jest później kodowana, jest zawężana do mniejszej reprezentacji sieciowej, tworząc elementy binarne, które błędnie deklarują swój typ lub długość. Nieuwierzytelniona strona mogąca dostarczyć tekst parsowany przez dotkniętą aplikację może spowodować emitowanie i utrwalenie zniekształconych danych binarnych, które kolejni czytelnicy albo odrzucą z błędem, albo po cichu zinterpretują jako krótsze niż zweryfikowane dane.