Katalog podatności CVE

W narzędziu openshift/oc-mirror występuje błąd weryfikacji podpisów obrazów wydania PGP — narzędzie sprawdza błędy podpisu przed przetworzeniem całego podpisanego ciała, co pozwala obejść weryfikację podpisu. Zdalny atakujący, przechwytując lub manipulując ruchem sieciowym do punktu końcowego podpisów, może spreparować wiadomość PGP z prawidłowym identyfikatorem klucza wydania Red Hat, ale sfałszowanym podpisem, co pozwala narzędziu oc-mirror zaakceptować i zmirrorować złośliwy ładunek wydania do odłączonego rejestru.

W OpenBao przed wersją 2.6.0 szablonowe polityki ACL, PKI i SSH mogły podstawiać dane tożsamości kontrolowane przez atakującego bez odrzucania znaków istotnych składniowo. W szablonowych politykach ACL gwiazdki, plusy i ukośniki mogły zmieniać dopasowanie ścieżek; w politykach PKI allowed_uri_sans_template i allowed_domains gwiazdka mogła rozszerzyć wystawianie certyfikatów na nieautoryzowane domeny; w politykach SSH allowed_users i allowed_domains przecinek mógł dodawać nieautoryzowane podmioty. Wykorzystanie wymaga wdrożenia używającego szablonowych danych polityk, które użytkownicy mogą swobodnie modyfikować; szablony oparte na losowo generowanej wartości identity.entity.id nie są podatne.

W GoCD od wersji 13.3.0 do 26.1.0 narzędzie nie koduje i nie escapuje prawidłowo złośliwych komentarzy modyfikacji materiałów naśladujących specjalny format trackback używany przez materiały pakietowe podczas renderowania widoków Stage Detail, Job/Build Detail, Value Stream Map i Pipeline History. Użytkownik z prawem zapisu do materiału śledzonego przez GoCD może zapisać dowolny HTML lub JavaScript w sfałszowanym komentarzu materiału pakietowego, który wykonuje się w sesji przeglądarki użytkownika przeglądającego później podatną stronę. Wykorzystanie wymaga, aby ofiara wyświetliła stronę renderującą złośliwą modyfikację, a GoCD nie renderuje każdego komentarza materiału w każdym widoku.

W nginx ignition w wersjach od 2.29.0 do 2.40.0 middleware gin i18n w serwerze API działa przed każdym żądaniem HTTP i wywołuje golang.org/x/text/language.ParseAcceptLanguage na surowym nagłówku Accept-Language bez żadnego filtra rozmiaru lub kształtu. Parser ten ma kwadratową złożoność czasową dla długich list zniekształconych tagów językowych; zabezpieczenie CVE-2022-32149 ogranicza liczbę znaków '-' do 1000, ale nie ogranicza znaków '_', mimo że wewnętrzny skaner parsera traktuje '_' jak '-'. Pojedyncze nieuwierzytelnione żądanie GET z nagłówkiem Accept-Language zbudowanym z separatorów '_' zużywa około 2,4 sekundy CPU serwera.

W nginx ignition przed wersją 2.41.1 punkt końcowy POST /api/users/onboarding/finish jest zarejestrowany jako anonimowy (nieuwierzytelniony) i tworzy użytkownika z pełnymi uprawnieniami administratora ReadWrite. Ponieważ procedura obsługi używa wzorca check-then-act (TOCTOU) między sprawdzeniem „czy onboarding już zakończony?” a zapisem tworzenia użytkownika, bez atomowego zabezpieczenia, zdalny nieuwierzytelniony atakujący mogący dotrzeć do instancji w stanie przed onboardingiem może utworzyć dla siebie konto administratora, a równoczesne żądania mogą utworzyć wiele kont administratora w jednym wyścigu.

W BleachBit przed wersją 6.0.1 uprzywilejowane czyszczenie w systemie Windows nie blokuje i nie waliduje katalogu nadrzędnego celu przed usunięciem. Lokalny użytkownik bez uprawnień może zastąpić ten katalog junctionem Windows i użyć natywnego dowiązania symbolicznego, aby przekierować podwyższone usunięcie na plik wybrany przez atakującego. Dowolne uprzywilejowane usunięcie pliku można połączyć z zachowaniem Windows Installer, aby uzyskać lokalne uprawnienia SYSTEM.

W wtyczce połączenia Ansible FreeBSD Jail (do wersji 1.3.0) funkcja put_file wtyczki jailexec rozwiązywała cel transferu do ścieżki na hoście jaila i uruchamiała tam mkdir -p oraz mv jako root na hoście. Polecenia te podążają za dowiązaniami symbolicznymi, a ścieżka była obsługiwana poza jailem, więc dowiązanie symboliczne istniejące wewnątrz jaila było podążane przez uprzywilejowane mv po stronie hosta. Strona kontrolująca zawartość wewnątrz zarządzanego jaila może spowodować dowolny zapis jako root na hoście, poza jailem — pełną ucieczkę z jaila.

W MCP-for-Stata przed wersją 1.19.0 narzędzie MCP ado_package_install w stata-mcp łączy dane wejściowe kontrolowane przez użytkownika bezpośrednio z ciągiem polecenia Stata bez walidacji ani sanityzacji. Atakujący mogący wywołać narzędzie MCP lub równoważne API Python może osadzić znaki nowej linii w argumencie pakietu, aby wstrzyknąć dowolne polecenia Stata. Ponieważ Stata obsługuje polecenie ucieczki do powłoki, prowadzi to do pełnego wykonania dowolnych poleceń na poziomie systemu operacyjnego (RCE) na koncie uruchamiającym serwer Stata-MCP.

GoCD od wersji 18.3.0 do 26.1.0 generuje nieescapowane linki narzędzia śledzenia (Tracking Tool) na podstawie komentarzy commitów, gdy projekt używa łagodnego wyrażenia regularnego z grupą przechwytującą ID, np. JIRA-(.+). Atakujący z prawem zapisu do śledzonego materiału może umieścić znaki specjalne URI lub HTML w pasującym komentarzu commita, co prowadzi do trwałego XSS, gdy ofiara wyświetli stronę Compare Pipeline.

MISP ma lukę bezpieczeństwa pozwalającą atakującemu zmienić dane threat intelligence przez przeglądarkę zalogowanego użytkownika bez jego wiedzy. Funkcja nie egzekwowała należycie ochrony przed sfałszowanymi żądaniami, więc atakujący mógł stworzyć złośliwą stronę wysyłającą żądanie do MISP. Wersje podatne: <2.5.47.

MISP ma lukę w obsłudze plików pozwalającą niektórym uwierzytelnionym użytkownikom zmusić serwer do odczytu plików lub dostępu do wewnętrznych usług sieciowych. Podczas importu pliku XML MISP nie weryfikował należycie, czy przesłana zawartość to XML, więc użytkownik z uprawnieniami modyfikacji mógł przesłać plik zawierający lokalną ścieżkę lub adres URL. Wersje podatne: <2.5.47.

Przepełnienie sterty w libXrender przed wersją 0.9.13 w funkcji RenderQueryPictFormats może być wykorzystane przez złośliwe serwery X do wstrzyknięcia kodu do podłączonych klientów X.

Złośliwy serwer X może wykorzystać przepełnienie bufora w libX11 przed wersją 1.8.14 podczas obsługi XkbGetMap, przepełniając key_sym_map.

UVdesk core-framework przed wersją 1.1.7 zawiera lukę niewłaściwego zarządzania uprawnieniami w punkcie końcowym editAgent, pozwalającą agentom z uprawnieniami do zarządzania agentami eskalować własną rolę do administratora. Atakujący może przesłać własny identyfikator konta z parametrem roli ustawionym na ROLE_ADMIN, aby uzyskać pełną kontrolę administracyjną nad agentami, zgłoszeniami i konfiguracją poczty.

Moduł workflow blocklist w MISP przyjmował parametr nazwy pliku blocklisty od użytkownika bez walidacji rozszerzenia. Jedyne zastosowane oczyszczenie to basename() usuwające komponenty ścieżki oraz sprawdzenie pustych lub kropkowych wartości. Administrator witryny mógł podać nazwę pliku z dowolnym rozszerzeniem, który trafiał do katalogu eksportu MISP. Wersje podatne: <2.5.47.

MISP ma lukę bezpieczeństwa pozwalającą użytkownikowi uzyskać większy dostęp niż powinien pozwalać jego klucz API. Klucz API tylko do odczytu powinien umożliwiać jedynie przeglądanie informacji, jednak po zalogowaniu się takim kluczem konkretna funkcja MISP mogła przypadkowo przywrócić normalne uprawnienia konta użytkownika. Wersje podatne: <2.5.47.

MISP zawiera lukę niebezpiecznego odwołania do obiektu (IDOR) w metodzie processModuleResultsData modelu Event. Podczas przetwarzania wyników modułu kod iteruje po wpisach EventReport dostarczonych w rozwiązanych danych i zapisuje każdy z nich. W przeciwieństwie do sąsiednich pętli przetwarzania atrybutów i obiektów, pętla raportów nie usuwała pola 'id' dostarczonego przez klienta przed wywołaniem save(). Wersje podatne: <2.5.47.

Luka wstrzyknięcia poleceń systemu operacyjnego dotyczy Tuleap Enterprise Edition od wersji 17.3 do 17.5 i może pozwolić atakującemu na wykonanie dowolnych poleceń na serwerze.

W noobaa-core, komponencie NooBaa Multicloud Object Gateway, wykryto błąd w logice weryfikacji podpisów przy obsłudze presigned URL S3 z SigV4. Usługa nie odrzuca żądań zawierających niepodpisane nagłówki x-amz-, lecz po prostu pomija je w obliczeniach podpisu. Pozwala to atakującemu z ważnym presigned PUT URL dodać niepodpisany nagłówek x-amz-copy-source i zamienić zwykły upload na operację CopyObject.

Specjalnie spreparowana para dokumentów WS-Policy może wymusić na mechanizmie policy-intersection w Neethi wykonanie wykładniczej liczby operacji, obciążając CPU przez długi czas (odmowa usługi). Zaleca się aktualizację do wersji 3.2.4, która naprawia ten problem.