Katalog podatności CVE

Apache Pulsar nie stosował polityk subskrypcji (tryb Prefix lub uprawnienia do subskrypcji) w kilku administracyjnych operacjach REST API działających na subskrypcjach: czyszczeniu backlogu (dla nazwanej subskrypcji i wszystkich), unsubscribe oraz wygaszaniu wiadomości dla wszystkich subskrypcji tematu. Uwierzytelniony użytkownik z uprawnieniem consume na przestrzeni nazw lub temacie mógł ominąć te polityki i wyczyścić backlog, wygasić wiadomości lub usunąć subskrypcję, do której normalnie nie miałby dostępu.

Podatność w Apache Pulsar dotyczy mechanizmu shadow topics (PIP-180). Broker autoryzuje użytkownika tylko względem tworzonego lub aktualizowanego tematu, a nie względem tematu źródłowego wskazanego we właściwości PULSAR.SHADOW_SOURCE. Umożliwia to uwierzytelnionemu użytkownikowi z uprawnieniami do tworzenia tematów lub edycji ich właściwości w jednym tenancie powiązanie tematu z tematem źródłowym w innym tenancie i odczyt jego zachowanych wiadomości.

W Apache Pulsar endpoint functions connectors (/admin/v2/functions/connectors i /admin/v3/functions/connectors) zwraca katalog connectorów IO bez wymagania uprawnień super-użytkownika, podczas gdy endpoint worker connectors wymaga takich uprawnień. W rezultacie każdy uwierzytelniony klient może odczytać metadane katalogu connectorów niezależnie od posiadanej roli. Luka dotyczy wersji od 2.4.1 do 4.0.13 oraz od 4.1.0 do 4.2.4.

Luka w Apache Pulsar dotyczy endpointu REST API Functions Worker służącego do wyzwalania funkcji. Worker publikuje wiadomość do tematu wejściowego funkcji, używając własnych poświadczeń brokera, a nie poświadczeń wywołującego, i nie sprawdza, czy wywołujący ma uprawnienia do produkowania do tego tematu. W wersjach przed 2.4.0 nie ma żadnej weryfikacji uprawnień wywołującego dla tego endpointu.

Apache Pulsar broker w wersjach 2.8.0–4.0.13 oraz 4.1.0–4.2.4 nie stosuje sprawdzenia roli administratora tenanta do wywołującego przy operacji truncate na temacie partycjonowanym. Zamiast tego broker wykonuje truncate każdej partycji własnym wewnętrznym klientem administracyjnym, więc uwierzytelniony użytkownik bez uprawnień administratora tenanta, ale z uprawnieniem lookup, może opróżnić dowolny temat partycjonowany. Powoduje to pominięcie niepotwierdzonego backlogu subskrypcji oraz trwałe usunięcie starszych ledgerów niezależnie od polityki retencji.

Apache Pulsar pozwala administratorowi wymuszać szyfrowanie end-to-end wiadomości w namespace poprzez politykę encryption_required. Jeśli inicjalizacja tematu trwałego nie powiedzie się (np. błąd odczytu z magazynu metadanych lub błąd ładowania polityk tematu), broker loguje ostrzeżenie, wyłącza wymóg szyfrowania i kończy ładowanie tematu jako udane. W rezultacie uwierzytelniony klient z uprawnieniami do produkcji może publikować niezaszyfrowane wiadomości, które broker akceptuje i przechowuje, mimo że polityka namespace tego wymaga.

W Apache Pulsar punkty końcowe REST API dla tematów niepersystentnych (/admin/v2/non-persistent/.../entryFilters) nie sprawdzają uprawnień do zarządzania polityką filtrów wpisów, w przeciwieństwie do tematów persystentnych. Uwierzytelniony użytkownik z uprawnieniami produce lub consume na temacie niepersystentnym może odczytać, zastąpić lub usunąć politykę filtrów wpisów tego tematu. Luka dotyczy wersji od 3.3.0 do 4.0.14 oraz od 4.1.0 do 4.2.5.

Apache Pulsar broker udostępnia API REST do administracji transakcjami pod /admin/v3/transactions. Gdy włączone są uwierzytelnianie i autoryzacja, większość endpointów odczytu weryfikuje jedynie uwierzytelnienie i dostępność tematu lub koordynatora transakcji, nie sprawdzając uprawnień wywołującego do tenanta, przestrzeni nazw ani tematu. W efekcie każdy uwierzytelniony użytkownik, nawet bez żadnych uprawnień, może odczytać metadane i statystyki transakcji należących do innych tenantów.

Gdy klient wysyła żądanie POST z nagłówkiem Expect: 100-continue, a serwer origin odpowiada przed odczytaniem ciała, Apache Traffic Server parsuje nieodczytane ciało pozostałe na połączeniu klienta jako następne żądanie. Atakujący za frontowym proxy współdzielącym połączenia z Traffic Server może przemycić żądania poza front i zdesynchronizować odpowiedzi dla innych użytkowników.

Apache Traffic Server może zwrócić połączenie do współdzielonej puli, gdy origin wciąż oczekuje na treść żądania zadeklarowaną przez klienta, ale nigdy w pełni niewysłaną (także przy Expect: 100-continue). Origin odczytuje wtedy późniejsze żądanie na tym połączeniu jako resztkową treść, co pozwala atakującemu przemycać żądania poza kontrolą dostępu ATS, zakłócać żądania innych użytkowników lub zatruwać pamięć podręczną.

W serwerze NoMachine nxhtd występuje podatność Server-Side Request Forgery umożliwiająca ujawnienie informacji. Luka pozwala zdalnym atakującym na inicjowanie dowolnych żądań po stronie serwera w podatnych instalacjach NoMachine bez wymaganej autoryzacji. Problem wynika z braku właściwej walidacji URI przed dostępem do zasobów w usłudze webowej nasłuchującej domyślnie na porcie UDP 4443.

Podatność w mechanizmie uwierzytelniania kontrolującym dostęp do bazy Redis w NoMachine wynika z niewystarczającej entropii przy generowaniu poświadczeń. Lokalny atakujący z możliwością wykonania kodu o niskich uprawnieniach może wykorzystać tę lukę do eskalacji uprawnień i wykonania dowolnego kodu w kontekście konta usługi.

NoMachine mDNS zawiera podatność przepełnienia bufora opartego na stercie, umożliwiającą zdalne wykonanie kodu. Luka występuje w parsowaniu rekordów zasobów mDNS z powodu braku właściwej walidacji długości danych dostarczonych przez użytkownika przed skopiowaniem ich do bufora stercowego. Atakujący może wykorzystać tę podatność do wykonania kodu w kontekście konta usługi.

MindsDB zawiera podatność na wstrzyknięcie kodu i zdalne wykonanie kodu w klasie OpenBBtable. Wymagane jest uwierzytelnienie; problem wynika z braku walidacji ciągu dostarczonego przez użytkownika przed użyciem go do wykonania kodu Python, co pozwala atakującemu na wykonanie kodu w kontekście konta usługi.

CrewAI zawiera podatność na zdalne wykonanie kodu poprzez niebezpieczną refleksję podczas ładowania agenta. Wymagana jest interakcja użytkownika — ofiara musi załadować złośliwą konfigurację agenta z repozytorium. Problem występuje w funkcji load_agent_from_repository, która nie ogranicza argumentu dostarczonego przez użytkownika przed użyciem go do importu modułu, co pozwala na wykonanie kodu w kontekście konta usługi.

W komponencie libarchive w BusyBox występuje podatność na path traversal przez dowiązania symboliczne, umożliwiająca zdalnym atakującym tworzenie dowolnych plików. Wymagana jest interakcja użytkownika — ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik. Problem wynika z braku właściwej walidacji ścieżki dostarczonej przez użytkownika przed użyciem jej w operacjach na plikach.

Konektor Airbyte OneDrive zawiera podatność typu Server-Side Request Forgery (SSRF) w metodzie _get_shared_drive_object, która może prowadzić do ujawnienia informacji. Podatność pozwala zdalnym atakującym na inicjowanie dowolnych żądań po stronie serwera w podatnych instalacjach Airbyte. Wymagane jest uwierzytelnienie, a problem wynika z braku właściwej walidacji URI przed dostępem do zasobów.

Konektor Airbyte SharePoint zawiera podatność typu Server-Side Request Forgery (SSRF) w metodzie _get_shared_drive_object, która może prowadzić do ujawnienia informacji. Podatność pozwala zdalnym atakującym na inicjowanie dowolnych żądań po stronie serwera w podatnych instalacjach Airbyte. Wymagane jest uwierzytelnienie, a problem wynika z braku właściwej walidacji URI przed dostępem do zasobów.

Luka w Luxion KeyShot podczas parsowania plików BIP pozwala na zdalne wykonanie kodu w kontekście bieżącego procesu. Problem wynika z ładowania biblioteki z niezabezpieczonej lokalizacji (niekontrolowany element ścieżki wyszukiwania). Wymagana jest interakcja użytkownika — ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

W GIMP występuje przepełnienie bufora na stosie podczas parsowania plików APNG, wynikające z braku właściwej walidacji długości danych dostarczonych przez użytkownika przed skopiowaniem ich do bufora na stosie. Zdalny atakujący może doprowadzić do wykonania dowolnego kodu w kontekście bieżącego procesu, jeśli ofiara otworzy złośliwy plik lub odwiedzi złośliwą stronę.