Katalog podatności CVE

W sterowniku Time-aware GPIO w Zephyr OS brakuje walidacji wskaźników wyjściowych w syscallu tgpio_pin_read_ts_ec(), co pozwala nieuprzywilejowanemu wątkowi na zapis do dowolnej pamięci jądra. Podatność występuje tylko w konfiguracjach z CONFIG_USERSPACE=y i CONFIG_TIMEAWARE_GPIO=y, a praktyczny zakres jest ograniczony przez problemy z kompilacją w niektórych wersjach.

Telegram Desktop w wersjach przed 6.9.4 pozwala na XSS w eksporterze HTML. Podatność występuje w button.text.toUtf8 w export_output_html.cpp. Wykorzystanie jest możliwe tylko wtedy, gdy ofiara użyła eksportu HTML, ale złośliwy ładunek może zostać wyeksportowany, jeśli wiadomość została przekazana do grupy przez członka.

KubeEdge, open source system do rozszerzania natywnych możliwości orkiestracji kontenerów na hosty brzegowe, w wersjach od 1.16.0 do 1.21.2, 1.22.2 i 1.23.1 posiada podatność w funkcji DecompressTarGz w keadm/cmd/keadm/app/cmd/util/common.go. Funkcja łączy nazwy wpisów archiwum z miejscem rozpakowania bez wystarczającej walidacji. Podczas keadm join lub instalacji na węzłach brzegowych Windows archiwum pochodzące z niezaufanego źródła może zawierać komponenty katalogu nadrzędnego, ukośniki w stylu Windows, ścieżki absolutne lub ścieżki z prefiksem dysku, które wychodzą poza zamierzony katalog.

KubeEdge, open source system do rozszerzania natywnych możliwości orkiestracji kontenerów na hosty brzegowe, w wersjach od 1.21.0 do 1.21.2, 1.22.2 i 1.23.1 posiada podatność w przetwarzaniu ConfigUpdateJob w edge/pkg/taskmanager/actions/configupdatejob.go. Wartości updateFields kontrolowane przez uwierzytelnionego użytkownika są łączone z poleceniem keadm config-update i wykonywane przez powłokę systemową. Użytkownik z uprawnieniami do tworzenia lub modyfikowania zasobów ConfigUpdateJob może umieścić metaznaki powłoki w wartości --set i spowodować wykonanie dowolnych poleceń na docelowym węźle brzegowym z uprawnieniami procesu KubeEdge.

HomeBox, system inwentaryzacji i organizacji domu, w wersjach przed 0.26.0 posiada podatność w NotifierRepository.Update w backend/internal/data/repo/repo_notifier.go. Funkcja aktualizuje notifier przez UpdateOneID(id) bez wymagania zgodności identyfikatora użytkownika rekordu z uwierzytelnionym użytkownikiem. Uwierzytelniony użytkownik, który poda UUID notifiera innego najemcy do PUT /v1/notifiers/{id}, może odczytać zwrócony zapisany URL, który może zawierać poświadczenia Shoutrrr w postaci jawnej dla Slack, SMTP, Telegram, Pushover lub Discord, oraz może zastąpić URL, aby przekierować powiadomienia ofiary do webhooka kontrolowanego przez atakującego.

HomeBox, system inwentaryzacji i organizacji domu, w wersjach przed 0.26.0 posiada podatność w MaintenanceEntryRepository.Update i MaintenanceEntryRepository.Delete w backend/internal/data/repo/repo_maintenance_entry.go. Funkcje używają UpdateOneID(id) i DeleteOneID(id) bez weryfikacji, czy wpis konserwacji należy do aktywnej grupy uwierzytelnionego użytkownika. Uwierzytelniony użytkownik o niskich uprawnieniach, który zna lub wyliczy UUID wpisu konserwacji innego najemcy, może nadpisać ten rekord lub trwale go usunąć.

HomeBox, system inwentaryzacji i organizacji domu, w wersjach przed 0.26.0 posiada podatność w HandleWipeInventory w backend/app/api/handlers/v1/v1_ctrl_actions.go. Funkcja autoryzuje POST /v1/actions/wipe-inventory na podstawie globalnej wartości ctx.User.IsOwner zamiast roli wywołującego w aktywnej grupie, podczas gdy aktywna grupa jest wybierana przez nagłówek X-Tenant. Ponieważ każdy samodzielnie zarejestrowany użytkownik, który tworzy grupę, otrzymuje globalną wartość właściciela, użytkownik będący również członkiem innej grupy może wybrać tę grupę przez X-Tenant i trwale usunąć cały jej inwentarz, co jest nieodwracalne bez zewnętrznych kopii zapasowych.

W bibliotece SmallRye Fault Tolerance, używanej przez Quarkus do zapewniania strategii takich jak ponowienia i wyłączniki obwodu dla mikrousług, wykryto usterkę. Problem występuje przy użyciu adnotacji ApplyGuard lub ApplyFaultTolerance, gdzie biblioteka nie zwalnia wewnętrznych obiektów śledzących po każdym żądaniu. Powoduje to stały wzrost zużycia pamięci, który ostatecznie prowadzi do spowolnienia i awarii aplikacji z powodu braku pamięci.

ntopng to internetowa aplikacja do monitorowania ruchu sieciowego. Przed wersją 6.7.260718 skrypty scripts/lua/rest/v2/get/system/configurations/list_available_backups.lua i download_backup.lua pozwalają każdemu uwierzytelnionemu użytkownikowi niebędącemu administratorem na listowanie i pobieranie kopii zapasowych konfiguracji systemu bez sprawdzenia uprawnień administratora. Ścieżka pobierania sięga do backup_config.export_backup, a prefs_dump_utils.build_prefs_dump_table obejmuje przestrzeń kluczy Redis ntopng.user.* w kopii zapasowej. Pobrana kopia może więc ujawnić hashe haseł lokalnych użytkowników oraz, gdy skonfigurowano, tokeny API, sekrety TOTP i dane poświadczeń WebAuthn, umożliwiając przejęcie konta poprzez użyteczne lub odzyskiwalne poświadczenia. Problem naprawiono w wersji 6.7.260718.

W ntopng przed wersją 6.7.260717 endpoint POST /lua/rest/v2/edit/system/edit_blacklist.lua nie sprawdza uprawnień administratora i wywołuje lists_utils.editList dla każdego uwierzytelnionego użytkownika. Parametry list_name, list_enabled, url i list_update pozwalają użytkownikowi bez uprawnień administratora przekierować pobieranie danych threat intelligence na treści kontrolowane przez atakującego, wyłączyć listy blokad lub zablokować zaplanowane aktualizacje.

W Tinyauth przed wersją 5.1.2 porównywanie przekazywanych nazw hostów odbywa się z rozróżnianiem wielkości liter, podczas gdy reverse proxy routuje równoważne nazwy hostów bez rozróżniania wielkości liter. Uwierzytelniony użytkownik o niskich uprawnieniach może obejść kontrolę dostępu do aplikacji, używając nazwy hosta o innej wielkości liter, ponieważ wyszukiwanie może nie znaleźć skonfigurowanej aplikacji i zwrócić pusty obiekt kontroli dostępu, który jest traktowany jako zezwalający.

W draw.io przed wersją 30.3.8 funkcja Utils.sanitizeUrl() sprawdza adresy IPv6 Unique Local Addresses, porównując prefiksy tekstowe fc00:: i fd00::, ale JDK zwraca rozwiniętą postać adresu, przez co zakres fc00::/7, w tym zakres metadanych AWS fd00:ec2::/32, nie jest blokowany. Nieuwierzytelnione żądanie do /embed2.js?fetch= może spowodować pobranie wewnętrznego zasobu IPv6 ULA i odesłanie odpowiedzi do żądającego.

W deepstream od wersji 10.1.0 do 10.1.1 plik src/services/permission/valve/rules-map.ts pomija RECORD_ACTION.PATCH_MULTI w RULES_MAP. Gdy uwierzytelniony użytkownik wyśle operację PATCH_MULTI, a permission.type ma wartość config, getRulesForMessage zwraca pustą specyfikację reguły, a ConfigPermission.canPerformAction traktuje brak specyfikacji jako bezwarunkowe zezwolenie zamiast zastosować RULE_TYPES.WRITE.

W KubeEdge od wersji 1.12.0 do 1.21.2, 1.22.2 i 1.23.1 handler v1alpha2 NodeUpgradeJob w edge/pkg/taskmanager/actions/nodeupgradejob.go łączy kontrolowane przez uwierzytelnionego użytkownika wartości spec.version i spec.image z poleceniem powłoki keadm upgrade edge. Użytkownik z uprawnieniem do tworzenia lub aktualizacji zasobów NodeUpgradeJob może podać metaznaki powłoki w którymkolwiek z tych pól, powodując wykonanie dowolnych poleceń na docelowych węzłach brzegowych.

W ntopng przed wersją 6.7.260717 endpointy skanowania podatności scripts/lua/rest/v2/add/host/to_scan.lua i scripts/lua/rest/v2/exec/host/schedule_vulnerability_scan.lua przyjmują parametr scan_ports bez kontroli uprawnień administratora i przepuszczają go przez validateSingleWord, który dopuszcza metaznaki powłoki. Parametr jest następnie łączony z poleceniem nmap i wykonywany przez ntop.execCmd lub ntop.execCmdAsync i popen.

W Hatchet przed wersją 0.91.1 funkcja ValidateOAuthState po udanym wywołaniu zwrotnym OAuth czyści wartość sesji oauth_state_ do pustego ciągu, a następnie akceptuje pusty parametr state jako równy. Umożliwia to nieuwierzytelnionemu atakującemu powiązanie sesji ofiary w Hatchet z kontrolowaną przez atakującego tożsamością OAuth.

W Feast przed wersją 0.65.0 plik .github/workflows/pr_integration_tests.yml używa pull_request_target ze zdarzeniem synchronize i zachowuje etykiety ok-to-test, approved lub lgtm na nowo wypchniętych commitach. Współtwórca z forka może uzyskać zatwierdzenie dla nieszkodliwej wersji, a następnie uruchomić zmieniony kod przez uprzywilejowane cele make, co ujawnia poświadczenia GCP, AWS i Snowflake.

W Conda przed wersją 26.5.2 funkcja parse_entry_point_def w conda/common/path/python.py przyjmowała niezweryfikowane polecenie entry-point z metadanych info/link.json pakietu noarch:python. CreatePythonEntryPointAction w conda/core/path_actions.py interpolowało to polecenie do target_short_path, a PrefixPathAction.target_full_path łączył je z prefiksem instalacji bez weryfikacji, że wynik pozostaje w katalogu bin lub Scripts. Złośliwy pakiet mógł użyć separatorów ścieżek, segmentów przejścia lub bezwzględnej ścieżki polecenia, aby zapisać poza prefiksem lub nadpisać inny entry point.

W CuteNews w wersji 2.1.2 w pliku core/modules/media.php występuje nieograniczone przesyłanie plików niebezpiecznego typu. Umożliwia to zdalnym uwierzytelnionym użytkownikom z dostępem do panelu Media Manager wykonanie dowolnego kodu w kontekście aplikacji webowej, co prowadzi do uzyskania dostępu do serwera poprzez wywołanie reverse shell.

W pki-core filtr ACL v2 REST wybiera uprawnienie rozstrzygające dla kolidujących kluczy ACL literalnych i wieloznacznych na podstawie porównania leksykograficznego, a nie specyficzności, przez co uprawnienie mapowane wieloznacznie nadpisuje bardziej szczegółowe uprawnienie literalne. W API REST zarządzania profilami CA pozwala to na autoryzację żądania POST /v2/profiles/raw — wymagającego uprawnienia profiles.create na poziomie Administratora — przy użyciu słabszego uprawnienia profiles.approve posiadanego przez domyślną grupę Certificate Manager Agents.