Katalog podatności CVE

W kliencie MySQL biblioteki Apache bRPC występuje dereferencja wskaźnika null podczas przetwarzania odpowiedzi serwera o zerowej długości ładunku. Pakiet o zadeklarowanej długości zero przechodzi kontrolę ramki, a następnie parser odczytuje bajt typu odpowiedzi przez nieograniczone pobranie 5 bajtów, które zwraca nullptr, co powoduje odczyt p[4] i awarię procesu klienta.

Podatność w parserze odpowiedzi usługi nazewniczej Discovery w Apache bRPC (wersje < 1.18.0) polega na wywoływaniu akcesorów RapidJSON przeznaczonych wyłącznie dla obiektów (FindMember) na wartościach JSON bez uprzedniego sprawdzenia ich typu. Zniekształcona odpowiedź Discovery, zawierająca nie-obiektowe wpisy w polach data/service lub na liście instancji, powoduje odczyt pamięci poza granicami i potencjalną awarię klienta bRPC.

W brpc::Server skonfigurowanym z ServerOptions.auth oraz ServerOptions.internal_port można obejść uwierzytelnianie, wysyłając najpierw żądanie do wbudowanej usługi na internal_port. Weryfikacja wykonywana jest tylko dla pierwszej wiadomości połączenia, a jej wynik jest przypisywany do całego połączenia.

Apache bRPC w wersji < 1.18.0 udostępnia wbudowane usługi /flags i /pprof, które pozwalają zdalnemu atakującemu na zmianę ścieżek zrzutu (bvar_dump_file, bvar_dump_tabs, mbvar_dump_file) i tworzenie katalogów lub nadpisywanie plików z uprawnieniami procesu serwera. Dodatkowo parametr ?seconds= w /pprof nie jest ograniczany, co umożliwia blokowanie procesowego profilera CPU na dowolnie długi czas.

Podatność typu HTTP request/response smuggling w bibliotece Apache bRPC w wersji < 1.18.0 wynika z niespójnej interpretacji nagłówków HTTP/1.1 przez wbudowany parser. bRPC akceptuje nieprawidłowe formy nagłówków (spacje przed dwukropkiem, spacje w wartościach Content-Length, obs-fold, traktowanie trailerów chunked jako nagłówków, listy Transfer-Encoding z odstępami), co pozwala atakującemu na przemycenie żądań lub nagłówków, gdy bRPC działa za proxy lub load balancerem.

W Apache bRPC (wersje < 1.18.0) występuje nieprawidłowa autoryzacja, która pozwala zdalnym atakującym na dostęp do usług wbudowanych przez port publiczny. Ścieżki protokołów opartych na protobuf nie egzekwowały flagi security_mode, umożliwiając wywołanie usług takich jak brpc.vars lub hotspots.

Podatność w Apache bRPC (wersje < 1.18.0) wynika z niezgodności interpretacji ścieżek HTTP między bRPC a frontowym proxy. Funkcja FindMethodPropertyByURI() pomija puste segmenty ścieżki (podwójne ukośniki), przez co ścieżki takie jak //flags są traktowane jak /flags, mimo że wg RFC 3986 są to różne ścieżki. Dodatkowo HTTP/2 nie waliduje pseudo-nagłówka :path, co pozwala na obejście reguł ACL proxy i dostęp do usług wewnętrznych.

W implementacji protokołu RTMP w Apache bRPC (wersja < 1.18.0) występuje użycie po zwolnieniu pamięci (use-after-free). Złośliwy peer RTMP może wysłać spreparowaną wiadomość Abort, powodując awarię procesu lub potencjalne uszkodzenie pamięci. Przyczyną jest usunięcie obiektu RtmpChunkStream przez wątek odbiorczy podczas gdy wątek wysyłający jednocześnie go używa bez synchronizacji.

Podatność w implementacji protokołu RTMP w Apache bRPC (wersje < 1.18.0) polega na dereferencji wskaźnika NULL, gdy serwer odrzuca żądanie createStream, zwracając null stream, a następnie próbuje wysłać odpowiedź błędu, co może spowodować awarię serwera. Atakujący może zdalnie wywołać odmowę usługi, wysyłając specjalnie spreparowane polecenie createStream i zamykając połączenie przed wysłaniem odpowiedzi.

Wyścig danych w transporcie RDMA Apache bRPC (wersje < 1.18.0) pozwala zdalnemu klientowi zawiesić proces serwera (odmowa usługi), gdy RDMA jest włączone podczas kompilacji i działania. Po zakończeniu uzgadniania RDMA serwer nadal przetwarza gniazdo TCP jako kanał RPC, współdzieląc bez synchronizacji bufory wejściowe i stan parsera z przetwarzaniem zdarzeń RDMA, co prowadzi do uszkodzenia danych i awarii.

Podatność w Apache bRPC w wersjach przed 1.18.0 pozwala zdalnemu złośliwemu peerowi wywołać awarię procesu poprzez wyścig między zamykaniem połączenia a odrodzeniem health checka. W oknie, gdy Socket jest adresowalny, ale nie ma deskryptora pliku, dochodzi do niepowodzenia CHECK i zakończenia procesu, co prowadzi do odmowy usługi.

Klient Thrift w Apache bRPC (wersja < 1.18.0, zbudowany z WITH_THRIFT, domyślnie wyłączonym) może zostać zawieszony przez serwer, z którym się komunikuje. Gdy serwer zwróci odpowiedź T_EXCEPTION z nieprawidłową strukturą wyjątku, klient dekoduje ją bez przechwytywania wyjątków Apache Thrift (TProtocolException, TTransportException lub std::length_error), co prowadzi do std::terminate() i zakończenia całego procesu wraz z innymi trwającymi RPC.

Apache bRPC w wersjach przed 1.18.0 zawiera podatność niekontrolowanej rekurencji w komponencie mcpack2pb. Zdalny atakujący może spowodować awarię serwera poprzez wysłanie głęboko zagnieżdżonych danych mcpack, co prowadzi do przepełnienia stosu i crashu procesu.

W funkcji streamingu Apache bRPC w wersjach poniżej 1.18.0 występuje wymuszalny asercja, która pozwala zdalnemu atakującemu na awarię procesu serwera poprzez wysłanie zniekształconej ramki feedback strumienia. Funkcja Stream::SetRemoteConsumed() zawiera CHECK(_cur_buf_size > 0) oraz bezwarunkową asercję CHECK(buf.IsEmpty()) na ładunku ramki, a ich niespełnienie przerywa proces.

W resolverze BIND przychodzące komunikaty protokołu DNS o określonej strukturze powodują dodatkowe przetwarzanie bez nałożonego przez BIND limitu. Komunikat DNS z złośliwie dużą liczbą takich struktur spowoduje, że BIND zużyje nieproporcjonalnie dużo czasu CPU i pamięci podczas przetwarzania. Problem dotyczy BIND 9 w wersjach 9.11.0 do 9.18.50, 9.20.0 do 9.20.29, 9.21.0 do 9.21.26, 9.11.3-S1 do 9.18.50-S1 oraz 9.20.9-S1 do 9.20.29-S1.

e107 CMS przed wersją 2.3.13 zawiera podatność na odbity cross-site scripting, która pozwala nieuwierzytelnionym atakującym wstrzyknąć złośliwy HTML poprzez manipulację parametrem GET author w search.php. Parametr jest parsowany przez parse_str() i wstawiany bez escapowania do renderowanego tagu input, co pozwala na wykonanie dowolnego JavaScriptu w sesji przeglądarki ofiary.

Podatność nieprawidłowej walidacji indeksu tablicy w Velneo vServer dotyczy wersji od 36.0 przed 36.6 oraz od 37.0 przed 37.2. Błąd może prowadzić do niebezpiecznego dostępu do pamięci poza zakresem tablicy.

PHPOffice PHPPresentation 1.2.0 zawiera podatność na cross-site scripting w module zapisu HTML, która pozwala atakującym dostarczającym treść prezentacji wstrzyknąć skrypt do generowanego HTML. Atakujący może przygotować plik PPTX ze złośliwymi fragmentami tekstu, celami relacji hiperłączy lub atrybutami descr kształtów, które są emitowane bez escapowania, co prowadzi do wykonania skryptu w przeglądarkach przeglądających.

Biblioteka PHPOffice PHPPresentation do wersji 1.2.0 zawiera podatność niezabezpieczonej deserializacji, która pozwala atakującemu na utworzenie dowolnych obiektów PHP poprzez dostarczenie spreparowanego pliku prezentacji. Atakujący może przesłać archiwum ZIP zawierające PhpPresentation.xml, które IOFactory::load przekazuje do unserialize(), umożliwiając wykonanie kodu poprzez łańcuch gadgetów, zapis plików lub atak odmowy usługi.

W Trudesk do wersji 1.2.11 w funkcji accountsController.uploadImage występuje path traversal i obejście autoryzacji, umożliwiające uwierzytelnionym użytkownikom nadpisywanie awatarów innych użytkowników poprzez pola _id i username. Atakujący mogą podać nazwę użytkownika taką jak /../../../x, aby obejść niekompletną sanityzację z CVE-2022-1752 i zapisać pliki png, jpg, jpeg lub gif poza public/uploads/users.