Katalog podatności CVE

W OpenDDS przed wersją 3.34.0 atakujący może wysłać złośliwą wiadomość RTPS UDP, powodując przesunięcie wskaźnika odczytu poza prawidłowe dane. Prowadzi to do SIGSEGV w wątku odbiorczym i zakończenia procesu DDS. Nie wymaga uwierzytelnienia ani interakcji użytkownika.

W rabbitmq-c przed wersją 0.16.0 złośliwy serwer AMQP może wysłać zbyt małą wartość connection.tune.frame_max, co prowadzi do przepełnienia bufora i korupcji pamięci. Może to spowodować odmowę usługi, a teoretycznie także wykonanie kodu.

MISP zawiera podatność typu stored cross-site scripting (XSS) w widokach statystyk motywu Overmind. Karta General event i karta podglądu serwera/feedu konstruowały etykiety legendy wykresu donut, bezpośrednio łącząc nazwy obiektów lub klucze kategorii z ciągiem innerHTML bez kodowania HTML. Ponieważ nazwy obiektów MISP są kontrolowane przez każdego uwierzytelnionego użytkownika z odpowiednimi uprawnieniami, atakujący może stworzyć nazwę zawierającą złośliwy znacznik. Gdy inny użytkownik wyświetli pulpit Overmind, wstrzyknięty znacznik zostanie zinterpretowany jako aktywny HTML/JavaScript w przeglądarce ofiary.

MISP zawiera podatność w mechanizmie wysyłania zadań w tle, która pozwala na zdalne wykonanie kodu jako użytkownik web. Argumenty zadań są przekazywane bezpośrednio jako argv procesu konsoli CakePHP, a ShellDispatcher::_parsePaths() skanuje całe argv w poszukiwaniu przełączników ścieżek. Endpoint events/contact przekazuje kontrolowane przez użytkownika pola (message i person) do argumentów zadania bez walidacji. Atakujący może ustawić pole person na zarezerwowany przełącznik, a pole message na URI phar:// wskazujący na złośliwe archiwum, co prowadzi do wykonania kodu PHP.

SigNoz w wersjach od 0.88.0 przed 0.142.1 zawiera podatność wstrzyknięcia SQL w endpointach analityki trace-funnel, które wstawiają pola service_name i span_name do literałów tekstowych ClickHouse bez escapowania. Uwierzytelniony atakujący może wstrzyknąć SQL poprzez definicje kroków lejka, aby wykonać dowolne zapytania i odczytać wyniki w odpowiedziach HTTP.

W jądrze Linux w module batman-adv (B.A.T.M.A.N. Advanced) wykryto błąd w funkcji batadv_bla_add_claim(), która dodaje roszczenia (claims) i modyfikuje sumy kontrolne CRC szkieletu sieci. Równoległe wykonanie ścieżki dodawania nowego roszczenia i ścieżki zmiany szkieletu (backbone) może doprowadzić do dwukrotnej zmiany wskaźnika backbone_gw i powstania nieprawidłowej sumy CRC. Błędna suma CRC nie jest później przeliczana z zapisanych roszczeń, co powoduje trwałą niespójność.

W jądrze Linux moduł dm-pcache nie weryfikował identyfikatorów segmentów pamięci podręcznej przed użyciem ich do indeksowania w tablicy segments[]. Ponieważ metadane są chronione tylko przez CRC z publicznym ziarnem, atakujący z uprawnieniami CAP_SYS_ADMIN dostarczający urządzenie pamięci podręcznej może spowodować odczyty i zapisy poza zakresem. Poprawka dodaje walidację i odrzuca nieprawidłowe identyfikatory segmentów z błędem -EIO.

W jądrze Linux wykryto podatność use-after-free w sterowniku virtio_pmem dla pamięci trwałej NVDIMM. Problem występuje, gdy żądanie zostało już zwolnione przez nadawcę, ale jest jeszcze dostępne przez kolejkę virtqueue, co prowadzi do wybudzenia zwolnionej pamięci podczas przerwania.

W jądrze Linux sterownik drm/v3d nie czyści queue->active_job, gdy v3d_fence_create() zawiedzie. Callbacki run_job() dla BIN, RENDER, TFU i CSD przypisują zadanie do queue->active_job przed wywołaniem v3d_fence_create(); w razie błędu zwracają NULL, pozostawiając wiszący wskaźnik. Poprawka dodaje ścieżkę błędu czyszczącą active_job.

W jądrze Linux funkcja cros_typec_register_partner_pdos() kopiuje PDO partnera z odpowiedzi EC TYPEC_STATUS do tablicy caps_desc.pdo[PDO_MAX_OBJECTS] (7 elementów) bez walidacji liczby. Jeśli source_cap_count lub sink_cap_count przekracza 7, memcpy zapisuje poza tablicą na stosie — liczba 255 przepełnia ją o około 1 KB. Poprawka waliduje liczniki i pomija rejestrację PDO przy przekroczeniu limitu.

W jądrze Linux występuje luka use-after-free w podsystemie HID. Gdy sterownik wywoła hid_device_io_start(), a następnie zakończy inicjalizację błędem i wywoła hid_hw_stop(), struktura hidraw może zostać zwolniona, podczas gdy raporty HID są wciąż przetwarzane na innym CPU, co prowadzi do odwołania do zwolnionej pamięci. Problem dotyczy ośmiu sterowników, które nie wywołują hid_device_io_stop() przed hid_hw_stop().

W jądrze Linux w module drm/amdgpu/pm/powerplay brakowało sprawdzenia zakresu indeksów vddInd i vddcInd pochodzących z tablic parsowanych z VBIOS. Nieprawidłowe indeksy mogły powodować dostęp poza granicami tablic wyszukiwania napięć.

W jądrze Linux w module drm/amdgpu/pm/powerplay brakowało sprawdzenia zakresu indeksów vddInd, vddciInd i mvddInd pochodzących z tablic parsowanych z VBIOS w dziewięciu miejscach kodu. Nieprawidłowe indeksy mogły powodować dostęp poza granicami tablic wyszukiwania napięć vddc, vddci i vddmem.

W jądrze Linux w module drm/amd/display funkcja amdgpu_dm_plane_drm_plane_reset() zwalniała stary stan przed alokacją nowego. Jeśli kzalloc() zawiódł, wskaźnik stanu pozostawał wskazujący na zwolnioną pamięć (dangling pointer).

W jądrze Linux w module drm/amd/display funkcja amdgpu_dm_crtc_reset_state() zwalniała stary stan przed alokacją nowego. Jeśli kzalloc() zawiódł, wskaźnik stanu pozostawał wskazujący na zwolnioną pamięć (dangling pointer).

W jądrze Linux w sterowniku dmaengine: xilinx_dma występował wyścig w procedurach obsługi przerwań AXIDMA i MCDMA. Kanał mógł zostać błędnie oznaczony jako bezczynny i rozpocząć zbędne transfery, gdy deskryptory były wciąż przetwarzane, co prowadziło do korupcji deskryptorów lub pominiętych ukończeń.

W jądrze Linux w module platform/chrome sensorhub wartości max_response i sensor_num pochodzą z różnych poleceń EC. Przy wadliwym firmware EC liczba odczytanych bajtów może być mniejsza niż oczekiwana, co powoduje przepełnienie odczytu (overread) bufora resp->fifo_info w funkcji cros_ec_sensorhub_ring_handler(). Poprawka sprawdza wartość zwracaną przez cros_ec_cmd_xfer_status() i przerywa działanie przy niezgodności długości.

W jądrze Linux sterownik RDMA/irdma nie zabezpieczał rejestrów pamięci (MR) stojących za pierścieniami QP/CQ/SRQ przed wyrejestrowaniem z przestrzeni użytkownika. Poprawka dodaje zliczanie referencji do MR-ów użytkownika poprzez zwiększenie licznika przy kojarzeniu.

W jądrze Linux występuje wyciek zasobów w module nvmet-rdma. Gdy cel NVMe z transportem RDMA jest usuwany podczas trwających operacji I/O, odpowiedź może zostać wysłana, ale jej potwierdzenie wysłania nigdy nie dociera przed zerwaniem połączenia, przez co funkcje nvmet_rdma_send_done() i nvmet_rdma_release_rsp() nie są wywoływane i dochodzi do wycieku kontekstu RDMA oraz SGL żądań.

W jądrze Linux w mechanizmie BPF występuje podatność pozwalająca na dostęp do pamięci poza granicami obiektu dla wskaźników MEM_ALLOC BTF. Podczas przeglądania struktury BTF, dla obiektów przydzielonych statycznie, nie jest odpowiednio egzekwowane ograniczenie rozmiaru, co może prowadzić do odczytu/zapisu poza przydzielonym obszarem.