Katalog podatności CVE

W Notepad++ przed wersją 8.9.6.4 występuje podatność TOCTOU (Time-of-Check Time-of-Use) w obsłudze pliku shortcuts.xml. Sprawdzanie HMAC odbywa się w momencie wykonania polecenia, ale dane polecenia są pobierane z pamięci, która nie jest synchronizowana z plikiem na dysku. Atakujący może podmienić plik przed uruchomieniem, a następnie przywrócić oryginalny, co pozwala na wykonanie złośliwego polecenia.

Notepad++ w wersji 8.9.6.1 zawiera podatność polegającą na braku kanonizacji ścieżki przed sprawdzeniem w funkcji isInTrustedDirectory(). Funkcja ta używa sprawdzania prefiksu, co pozwala na obejście zabezpieczenia poprzez ścieżkę zawierającą sekwencję ..\..\ po zaufanym prefiksie, prowadząc do niezaufanej lokalizacji. Luka została załatana w wersji 8.9.6.2.

Budibase przed wersją 3.39.0 zawiera podatność, która pozwala anonimowemu atakującemu na uzyskanie podpisanej URL do zapisu do dowolnego zasobnika S3, do którego ofiara ma dostęp. Atak wymaga znajomości identyfikatora przestrzeni roboczej i źródła danych S3, ale nie wymaga uwierzytelnienia.

Budibase przed wersją 3.39.3 udostępnia nieuwierzytelniony endpoint generujący podpisane URL-e S3 PutObject przy użyciu poświadczeń z datasource przestrzeni roboczej. Trasa jest chroniona tylko przez middleware recaptcha i nie wymaga uwierzytelnienia, uprawnień do tabeli, datasource ani dostępu budowniczego.

Podatność w Budibase przed wersją 3.39.0 umożliwia atakującemu trwałe powiązanie konta ofiary z zewnętrzną tożsamością czatu (Slack/Discord/MS Teams) bez zgody użytkownika. Publiczny endpoint nie wymaga uwierzytelnienia ani ochrony CSRF, a atak polega na nakłonieniu uwierzytelnionego użytkownika do odwiedzenia spreparowanego URL.

Notepad++ przed wersją 8.9.6.1 zawiera podatność polegającą na braku walidacji treści tagu <Command> w pliku shortcuts.xml. Atakujący może wstrzyknąć dowolne polecenie, które zostanie wykonane po kliknięciu przez użytkownika odpowiedniej pozycji w menu Run.

Notepad++ przed wersją 8.9.6.1 zawiera podatność polegającą na braku walidacji wartości tagu <GUIConfig name="commandLineInterpreter"> w pliku config.xml. Atakujący może zmodyfikować ten plik, aby przy otwarciu konsoli (File → Open Containing Folder → cmd) uruchomić dowolne polecenie z uprawnieniami użytkownika.

Notepad++ przed wersją 8.9.6.1 zawiera podatność polegającą na nieprawidłowym przetwarzaniu wiadomości WM_COPYDATA. Lokalny proces w tej samej sesji Windows może wysłać spreparowaną wiadomość, która nie sprawdza długości danych, co może prowadzić do przepełnienia bufora.

Notepad++ w wersjach od 8.9.4 do 8.9.6 zawiera lukę lokalnej eskalacji uprawnień w instalatorze. Podczas instalacji, po ustawieniu katalogu roboczego na katalog contextMenu, instalator wywołuje powershell.exe bez ścieżki absolutnej. Jeśli atakujący umieści złośliwy plik powershell.exe w katalogu instalacyjnym zapisywalnym przez użytkownika, a uprzywilejowany użytkownik uruchomi instalator i wybierze ten katalog, złośliwy plik zostanie uruchomiony z podwyższonymi uprawnieniami.

Dekoder TIFF może ulec awarii (panic) podczas dekodowania nieprawidłowego obrazu z przesunięciem paska poza dozwolonym zakresem.

Podatność w Lansweeper lsrunase 2.0 i lsencrypt 2.0 polega na użyciu szyfrowania RC4 z zakodowanym na stałe 142-bajtowym kluczem. Ośmioznakowy prefiks jest przechowywany w postaci jawnej obok szyfrogramu, co umożliwia lokalnemu atakującemu odzyskanie hasła w postaci jawnej bez konieczności brute force.

Podatność w funkcji DSO::mmap_and_copy biblioteki relibc (commit 61f42d) umożliwia atakującym wywołanie odmowy usługi (DoS) poprzez załadowanie spreparowanej biblioteki współdzielonej.

Podatność w funkcji parse_month w pliku /time/strptime.rs biblioteki relibc (commit ab6a2e) umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez przetworzenie spreparowanego wejścia.

Biblioteki HCL Traveler dla Microsoft Outlook są fałszywie oznaczane jako potencjalnie złośliwe oprogramowanie lub nierozpoznana aplikacja. Może to prowadzić do blokowania instalacji lub działania oprogramowania przez systemy bezpieczeństwa.

W RustFS w wersji 1.0.0-beta.7 i wcześniejszych, endpoint metryk czasu rzeczywistego /rustfs/admin/v3/metrics jest dostępny dla każdego prawidłowego użytkownika IAM, niezależnie od przypisanej mu polityki. Pominięto wywołanie funkcji validate_admin_request, co pozwala ograniczonym użytkownikom na odczyt wrażliwych danych operacyjnych całego klastra.

W RustFS od wersji 1.0.0-alpha.1 do 1.0.0-beta.9, gdy włączony jest frontend FTP, operacje odczytu i sprawdzania (RETR, SIZE, MDTM, CWD) omijają funkcję autoryzacji IAM, co pozwala każdemu uwierzytelnionemu użytkownikowi FTP na odczyt i sprawdzanie dowolnych obiektów w dowolnym zasobniku, niezależnie od polityk IAM.

W systemie RustFS w wersjach od 1.0.0-alpha.1 do 1.0.0-beta.9 wykryto pominięcie autoryzacji w API administracyjnym replikacji bucketów. Handler ListRemoteTargetHandler do wyświetlania zdalnych celów replikacji sprawdza jedynie istnienie poświadczeń żądania, ale nie weryfikuje, czy wywołujący ma uprawnienia replikacji lub administratora. W rezultacie uwierzytelniony użytkownik bez skutecznych uprawnień do bucketa lub administracji może wyświetlić konfigurację zdalnych celów replikacji dla bucketa.

W jądrze Linux w sterowniku sieciowym MANA (Microsoft Azure Network Adapter) naprawiono błąd powodujący wyścig (race condition) przy tworzeniu katalogów debugfs. Poprzednia implementacja używała stałej nazwy "0" dla funkcji fizycznych (PF) oraz pci_slot_name() dla funkcji wirtualnych (VF), co prowadziło do dereferencji wskaźnika NULL dla VF w środowiskach takich jak VFIO passthrough lub zagnieżdżone KVM, a także do konfliktów nazw (błąd -EEXIST) przy wielu PF lub VF z różnych domen PCI.

W jądrze Linux wykryto martwe blokowanie (deadlock) w podsystemie DSA podczas korzystania z narzędzia ethtool. Problem wynika z nadmiarowego wywoływania blokad netdev_lock_ops() w funkcjach opakowujących ethtool dla interfejsu nadrzędnego (conduit), co prowadzi do zakleszczenia. Błąd został zaobserwowany na przykład podczas uruchamiania qemu z fbnic i CONFIG_NET_DSA_LOOP=y.

W jądrze Linuxa stwierdzono podatność w sterowniku vfio/pci, polegającą na nieprawidłowej kolejności operacji podczas zamykania urządzenia. Przed wyłączeniem funkcji PCI nie są czyszczone bufory DMABUF, co stwarza okno czasowe, w którym po wyczyszczeniu bitu MSE (Memory Space Enable) dostęp do BAR-ów jest nadal możliwy przez DMABUF.