Katalog podatności CVE

Traefik w wersjach 2.11.0 przed 2.11.58 oraz 3.0.0 przed 3.7.14 przechowuje swój backendowy round tripper NTLM/Kerberos w slocie połączenia klienta, który nie jest kluczowany przez ServersTransport, więc konfiguracja klienta TLS jednej usługi jest ponownie używana dla backendu innej usługi. Nieuwierzytelniony klient może uzbroić slot poprzez backend wysyłający wyzwanie NTLM lub Negotiate, a następnie dotrzeć do innej usługi na tym samym połączeniu keep-alive, omijając jej główne CA, nazwę serwera i weryfikację certyfikatu.

Traefik w wersjach 2.11.x przed 2.11.58 oraz 3.x przed 3.7.14 zawiera warunek wyścigu w uwierzytelnianiu backendu NTLM i Kerberos (Negotiate), gdzie slot sticky round tripper dla połączenia jest odczytywany i zapisywany bez synchronizacji. Zdalni atakujący mogą wysyłać równoległe żądania HTTP/2 lub HTTP/3 przez jedno połączenie, aby osierocić połączenia backendu, złamać uwierzytelnianie powiązane z połączeniem lub spowodować awarię Traefika.

Traefik od wersji 3.7.0 przed 3.7.14 zawiera podatność obejścia uwierzytelniania w providerze Kubernetes Ingress-NGINX, który przekazuje nagłówki Ssl-Client-* dostarczone przez klienta na router HTTP w postaci jawnej. Gdy ssl-redirect jest wyłączony wraz z auth-tls-pass-certificate-to-upstream, nieuwierzytelnieni atakujący mogą wysłać Ssl-Client-Verify: SUCCESS z wybranym podmiotem i wystawcą certyfikatu, aby podszyć się pod tożsamości mTLS.

Traefik w wersjach 2.11.0–2.11.57 oraz 3.0.0–3.7.13 zawiera obejście uwierzytelniania polegające na tym, że pierwsze żądanie wstępnie uwierzytelnione tokenem Authorization: Negotiate uwierzytelnia gniazdo w globalnie współdzielonej puli połączeń backendu, która nigdy nie jest izolowana. Nieuwierzytelnieni atakujący na osobnych połączeniach frontendu mogą otrzymać to gniazdo powiązane z NTLM/Kerberos i wykonywać odczyty lub zapisy z tożsamością ofiary.

Traefik w wersji od 3.7.0 przed 3.7.14 zawiera podatność niewłaściwego uwierzytelniania w providerze Kubernetes Ingress NGINX, która łączy certyfikaty CA klienta, gdy nazwy auth-tls-secret kolidują po normalizacji kropek na myślniki. Atakujący posiadający certyfikaty z CA innego hosta mogą uzyskać dostęp do hosta wymagającego własnego CA klienta, podczas gdy legalni klienci tego hosta są odrzucani.

Traefik od wersji 3.2.0 przed 3.7.14 zawiera podatność obejścia uwierzytelniania w eksperymentalnej puli połączeń FastProxy, która nie przypisuje połączeń backendu uwierzytelnionych przez NTLM/Negotiate do ich połączenia frontendowego. Nieuwierzytelnieni klienci mogą otrzymać pulowane połączenie keep-alive backendu, w którym ofiara zakończyła uzgadnianie NTLM lub Negotiate, co pozwala im czytać dane ofiary i działać jako ofiara.

W Traefik w wersjach od 3.7.13 do 3.7.14 występuje obejście kontroli dostępu w providerze Kubernetes Ingress NGINX. Router HTTP generowany dla Ingressów z ssl-passthrough na punktach wejściowych bez TLS nie stosuje adnotacji kontroli dostępu, co pozwala nieuwierzytelnionym atakującym uzyskać dostęp do backendów chronionych przez auth-type, auth-url lub whitelist-source-range bez żadnego logowania.

Traefik przed wersją 2.11.58 i 3.7.14 zawiera podatność obejścia uwierzytelniania w sprawdzaniu SNI, które jest pomijane, gdy stan TLS żądania jest nil. Nieuwierzytelnieni klienci mogą wysyłać żądania HTTP/2 z pseudo-nagłówkiem :scheme http przez TLS w kompilacjach Go 1.27, aby dotrzeć do routerów wymagających certyfikatów klienta bez przedstawiania takiego certyfikatu.

WWBN AVideo w wersjach przed 29.4.0 zawiera podatność typu blind server-side request forgery w funkcji getHeaderContentTypeFromURL(), ponieważ get_headers() podąża za przekierowaniami bez ponownej walidacji celów za pomocą isSSRFSafeURL(). Uwierzytelnieni użytkownicy mogący przesyłać treści mogą zapisać link do wideo wskazujący na przekierowanie, co powoduje wewnętrzne żądania GET podczas przeglądania wideo, umożliwiając skanowanie portów wewnętrznych.

WWBN AVideo przed wersją 29.4.0 zawiera podatność nieprawidłowej autoryzacji, która pozwala kontom delegowanym Users Admin na usuwanie lub modyfikowanie kont administratorów. Atakujący mogą wysyłać żądania do confirmDeleteUser.json.php lub userAddNew.json.php wymierzone w administratorów, aby usunąć ich filmy i konta lub je zmienić i zdegradować.

W systemie php-travel-agency-system (oretom23) w pliku admin/insert.php w obsłudze wstawiania występuje podatność SQL injection wynikająca z manipulacji argumentami costomer_id, payment_type, amount, description, user, uploadimage, full_name i visa_no. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny; projekt nie odpowiedział na zgłoszenie.

W urządzeniu Linksys RE6250 1.0.04.001 w funkcji strcmp interfejsu zarządzania WWW manipulacja argumentem session_id prowadzi do niewystarczająco losowych wartości. Atak można zainicjować zdalnie, choć jego złożoność jest wysoka, a wykorzystanie trudne. Exploit został publicznie ujawniony i może być użyty.

GitLab naprawił problem w GitLab EE dotyczący wszystkich wersji od 12.0 przed 19.3.6, 19.4 przed 19.4.3 oraz 19.5 przed 19.5.1, w którym przy włączonej blokadzie członkostwa SAML lub LDAP dla całej instancji uwierzytelniony użytkownik mógł przyznać lub zaakceptować członkostwo w projekcie i grupie poza kontrolą dostawcy tożsamości z powodu niepełnego egzekwowania blokady dla żądań utworzonych przed jej włączeniem.

GitLab CE/EE w wersjach od 10.1 przed 19.3.6, 19.4 przed 19.4.3 oraz 19.5 przed 19.5.1 zawiera błąd nieprawidłowej sanityzacji danych wejściowych w ścieżce wyszukiwania adresu e-mail LDAP używanej podczas łączenia tożsamości OmniAuth. Gdy jednocześnie włączone są OmniAuth SAML i automatyczne łączenie LDAP, uwierzytelniony użytkownik może przejąć istniejące konto oparte na LDAP bez interakcji ofiary.

GitLab EE naprawił problem w wersjach od 17.4 przed 19.3.6, 19.4 przed 19.4.3 oraz 19.5 przed 19.5.1, który w pewnych warunkach mógł pozwolić uwierzytelnionemu użytkownikowi na obejście wymaganej polityki zatwierdzania merge requestów na chronionej gałęzi z powodu nieprawidłowej kontroli dostępu podczas synchronizacji reguł zatwierdzania.

GitLab CE/EE w wersjach od 15.10 do przed 19.3.6, od 19.4 do przed 19.4.3 oraz od 19.5 do przed 19.5.1 zawierał błąd, który mógł pozwolić uwierzytelnionemu użytkownikowi na odczyt metadanych kamieni milowych, w tym tytułów, opisów i pełnych ścieżek projektów, z dowolnych prywatnych projektów w całej instancji bez członkostwa w projekcie. Przyczyną był brak kontroli autoryzacji na parametrze filtra projektu dostarczanym przez użytkownika w API kamieni milowych grupy.

GitLab CE/EE w wersjach od 18.2 przed 19.3.6, 19.4 przed 19.4.3 oraz 19.5 przed 19.5.1 zawiera lukę, która w pewnych warunkach pozwalała uwierzytelnionemu użytkownikowi z tokenem o zakresie read_api pobrać przychodzący adres e-mail projektu i tworzyć elementy pracy, omijając ograniczenia tokenu z powodu niewystarczającego egzekwowania zakresu w polu GraphQL.

Roundcube Webmail przed 1.6.20 oraz 1.7.x przed 1.7.5 zawiera podatność path traversal w pluginie squirrelmail_usercopy. W backendzie opartym na plikach ścieżka źródłowa była budowana z nazwy logowania bez odrzucania separatorów ścieżek, więc nazwa logowania zawierająca ukośnik mogła spowodować odczyt i import plików spoza skonfigurowanego katalogu squirrelmail_data_dir.

W TOTOLINK A950RG 4.1.2cu.5268_B20221104 funkcja UploadCustomModule w pliku lib/cste_modules/product.so jest podatna na iniekcję poleceń poprzez manipulację argumentem FileMd5. Atak można przeprowadzić zdalnie, a exploit został opublikowany i może być wykorzystany.

W massCodeIO massCode 5.10 wykryto podatność w nieznanej funkcji pliku src/main/api/index.ts w komponencie Local HTTP Service. Manipulacja prowadzi do ujawnienia informacji, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; poprawka ma nazwę d25d8fa3f5a1e34285c8634f18729650c0c05cda.