Katalog podatności CVE

Uwierzytelniony użytkownik z uprawnieniami do tworzenia lub edytowania reguł alertów może ominąć autoryzację zapytań do źródeł danych, oznaczając zapytanie reguły alertu jako wyrażenie po stronie serwera, jednocześnie odwołując się do prawdziwego identyfikatora UID źródła danych (nieprawidłowa autoryzacja). Może to ujawnić dane dostępne przez skonfigurowane poświadczenia źródeł danych Grafana użytkownikom, którzy nie mają uprawnień do zapytań do tego źródła danych.

Komponent aplikacji przetwarza parametry dostarczane przez użytkownika w niebezpieczny sposób, przekazując je do zapytań SQL. Może to umożliwić ślepą iniekcję SQL, potencjalnie ujawniając zawartość bazy danych lub powodując brak reakcji aplikacji. Poprawka dostępna jest od wersji 14.0101.

vsDesk zawiera podatność na niebezpieczną deserializację, która pozwala zdalnemu atakującemu uzyskać nieautoryzowany dostęp administracyjny. Manipulując danymi konfiguracyjnymi aplikacji, atakujący może wymusić uwierzytelnienie systemu przeciwko dowolnemu serwerowi LDAP i utworzyć nowe konto administracyjne.

Moduł kalendarza w keeper.sh w wersjach wcześniejszych niż 2.18.14 zawiera podatność polegającą na obejściu zabezpieczeń SSRF (Server-Side Request Forgery), która umożliwia uwierzytelnionym atakującym dotarcie do adresów w sieci prywatnej poprzez wykorzystanie ataku DNS rebinding przeciwko dwufazowej walidacji URL i przepływowi połączenia. Zabezpieczenie SSRF sprawdza rozpoznane adresy IP nazwy hosta, ale odrzuca je przed faktycznym otwarciem połączenia HTTP, co pozwala atakującemu kontrolującemu autorytatywny DNS na zwrócenie publicznego adresu podczas walidacji i prywatnego adresu podczas późniejszej niezależnej rozpoznawania DNS na poziomie gniazda, powodując, że zabezpieczenie przechodzi, podczas gdy połączenie wychodzące dociera do wewnętrznej infrastruktury, takiej jak punkty końcowe metadanych instancji chmury.

FFmpeg przed commit 983dae9 zawiera podatność odczytu poza zakresem w pakieteryzatorze RTP dla AV1 (libavformat/rtpenc_av1.c). Pętla wykrywająca klatki kluczowe, która szuka nagłówka sekwencji OBU, przesuwa wskaźnik i licznik pozostałego rozmiaru o długość zakodowanego nagłówka plus rozmiar ładunku OBU bez wcześniejszego ograniczenia rozmiaru OBU względem pozostałych danych. Specjalnie spreparowany rozmiar OBU powoduje zawinięcie licznika pozostałego rozmiaru do wartości dodatniej, co powoduje, że następna iteracja pętli dereferencjonuje wskaźnik poza końcem bufora pakietu. Spreparowany pakiet wejściowy AV1 multipleksowany do RTP wyzwala odczyt poza zakresem.

FFmpeg przed commit 65b0dab zawiera podatność odczytu poza zakresem w demuxerze DASH (libavformat/dashdec.c). Gdy manifest DASH na żywo jest odświeżany z numerem startNumber niższym niż poprzednia wartość, bieżący numer sekwencji staje się ujemny. Funkcja pobierania fragmentów sprawdzała tylko górną granicę przed indeksowaniem tablicy fragmentów, co pozwalało na użycie ujemnego indeksu i powodowało odczyt poza zakresem. Złośliwy lub źle skonfigurowany serwer DASH może to wywołać, serwując manifest na żywo z malejącym startNumber podczas odświeżania manifestu.

FFmpeg przed commit b4c199c zawiera nieprawidłową konwersję zawężającą liczb całkowitych w pakiecie RTP AV1 (libavformat/rtpenc_av1.c). Rozmiar OBU jest rzutowany na long przed porównaniem z pozostałym rozmiarem ramki. Na platformach, gdzie long ma 32 bity, w tym 64-bitowe Windows, odpowiednio duże wartości rozmiaru OBU są zmieniane znakowo przez zawężającą konwersję, co daje wartość ujemną, która przechodzi kontrolę rozmiaru ładunku. To pozwala na obejście zabezpieczeń przez zbyt duży OBU na dotkniętych platformach, prowadząc do dostępu do pamięci poza zakresem, gdy nadmierna wartość jest następnie używana jako długość kopiowania.

FFmpeg przed commit 1cdeb3c zawiera podatność przepełnienia bufora sterty w pakieteryzatorze RTP dla VC-2/Dirac (libavformat/rtpenc_vc2hq.c), która pozwala atakującym na wywołanie uszkodzenia pamięci poprzez dostarczenie spreparowanej jednostki danych Dirac. Pakieteryzator kopiuje rozmiar jednostki danych lub fragmentu pochodzącego z wejścia do bufora o stałym rozmiarze bez sprawdzenia górnej granicy, co powoduje przepełnienie bufora sterty, gdy spreparowane wejście jest pakieteryzowane do wyjścia RTP.

FFmpeg przed commit 1c10bcc zawiera przepełnienie bufora na stercie w czytniku protokołu RIST (libavformat/librist.c). Funkcja librist_read() ignoruje argument rozmiaru i kopiuje pełną długość odebranego pakietu do bufora docelowego, co prowadzi do przepełnienia, gdy pakiet jest większy niż bufor. Błąd jest osiągalny przez schemat URL async:rist://, gdzie wrapper async dostarcza mniejszy bufor niż odebrany pakiet.

FFmpeg przed commit 9d786e4 zawiera podatność przepełnienia bufora stosu w multiplekserze MPEG-PS (libavformat/mpegenc.c). Podczas multipleksowania wejścia z większą liczbą strumieni niż mieści się w buforze o stałym rozmiarze na stosie, bufor jest przepełniany. Spreparowane wejście z nadmierną liczbą strumieni wyzwala przepełnienie podczas multipleksowania MPEG-PS.

FFmpeg przed commit acf5d7c zawiera podatność przepełnienia bufora sterty w pisarzu pudełka hvcC. Podczas zapisywania rekordu konfiguracji HEVC z większą liczbą jednostek NAL danego typu niż pole licznika może reprezentować, licznik jednostek NAL przepełnia się, co powoduje przepełnienie bufora sterty. Spreparowany plik wejściowy HEVC wyzwala przepełnienie podczas multipleksowania.

W operatorze search-v2-operator znaleziono błąd, który pozwala uprzywilejowanemu użytkownikowi (edytorowi Custom Resource) manipulować polami Search CR, takimi jak imageOverride, argumenty i zmienne środowiskowe, bez odpowiedniej walidacji. Atakujący może zamontować dowolne sekrety w środowisku kontenera wyszukiwania lub podmienić obraz kontenera na kontrolowany przez atakującego, co prowadzi do eskalacji uprawnień i potencjalnego pełnego przejęcia klastra.

W platformie Wazuh od wersji 4.3.0 do 4.14.6 oraz 5.0.0-beta3, funkcja process_files_from_worker() w framework/wazuh/core/cluster/master.py ufa kontrolowanemu przez peera kluczowi file_path z pliku files_metadata.json. Ścieżka docelowa jest łączona z WAZUH_PATH bez sprawdzenia, czy pozostaje w wybranym katalogu. Peer klastra posiadający wspólny klucz Fernet może przesłać spreparowane archiwum i nadpisać wrażliwe pliki, takie jak /var/ossec/etc/ossec.conf, co może prowadzić do wykonania kodu po przeładowaniu usług.

Wazuh to darmowa platforma open source używana do zapobiegania, wykrywania i reagowania na zagrożenia. Od wersji 4.6.0 do 4.14.6 oraz 5.0.0-beta3, funkcje DB::getFile() i DB::searchFile() w src/syscheckd/src/db/src/file.cpp łączą ścieżkę monitorowanego pliku z filtrami wierszy SQLite. Na systemach innych niż Windows, FIMDBCreator::encodeString() nie escapuje wartości. Lokalny użytkownik, który może utworzyć nazwę pliku w katalogu monitorowanym przez FIM, może wstrzyknąć wyrażenie UNION SELECT, gdy wazuh-syscheckd przetwarza lub usuwa tę ścieżkę. Potwierdzony prymityw manipuluje zestawami wyników SELECT używanymi przez kod FIM; nie wykazano instrukcji skumulowanych ani zdalnego wykonania kodu. Problem naprawiono w wersjach 4.14.6 i 5.0.0-beta3.

W platformie Wazuh od wersji 4.0.0 do 4.14.6 oraz 5.0.0-beta3, funkcja DistributedAPI.send_tmp_file() w framework/wazuh/core/cluster/dapi/dapi.py łączy kontrolowaną przez atakującego wartość tmp_file z WAZUH_PATH bez kanonizacji lub ograniczenia. Peer klastra posiadający wspólny klucz Fernet może użyć traversal lub ścieżki bezwzględnej, aby zmusić mastera do zwrócenia dowolnego czytelnego pliku przez kanał klastra. Odczytanie /var/ossec/api/configuration/security/private_key.pem pozwala na sfałszowanie tokenów administratora REST API i wykonywanie uprawnień administracyjnych bez tworzenia konta.

W platformie Wazuh od wersji 4.0.0 do 4.14.6 oraz 5.0.0-beta3, funkcja cluster.unmerge_info() w framework/wazuh/core/cluster/cluster.py konstruuje ścieżki z kontrolowanych przez peera wartości merge_type i name w scalonym archiwum synchronizacji. Funkcja process_files_from_worker() w framework/wazuh/core/cluster/master.py nie ogranicza odpowiednio wynikowej ścieżki do zadeklarowanego katalogu elementu klastra. Peer klastra posiadający wspólny klucz Fernet może użyć traversal w files_metadata.json lub nagłówku scalonego pliku, aby zapisać pliki takie jak /var/ossec/etc/ossec.conf, co może prowadzić do wykonania kodu po przeładowaniu usług Wazuh.

Wazuh to darmowa platforma open source używana do zapobiegania, wykrywania i reagowania na zagrożenia. Od wersji 4.5.0 do 4.14.6 i 5.0.0-beta2, funkcja compare_wazuh_versions() w src/shared/version_op.c kopiuje kontrolowane przez atakującego pole V z rejestracji do 10-bajtowego bufora na stosie za pomocą strncpy(), ale nie kończy jawnie bufora. Funkcja jest osiągalna przed uwierzytelnieniem przez wazuh-authd na porcie TCP 1515, gdy włączone jest anonimowe uwierzytelnianie TLS. Ciąg wersji o długości co najmniej dziewięciu niezerowych bajtów może spowodować, że strchr() i strtok() będą czytać poza ver2 i mogą sprawić, że strtok() zapisze bajt zerowy do sąsiedniej pamięci stosu, umożliwiając zdalną odmowę usługi. Problem został naprawiony w wersjach 4.14.6 i 5.0.0-beta2.

Wazuh od wersji 4.0.0 do 4.14.6 oraz 5.0.0-beta2 zawiera podatność w funkcji AffectedItemsWazuhResult.merge() w framework/wazuh/core/results.py, która ufa polu sort_casting w odpowiedzi JSON od pracownika klastra. Podczas scalania odpowiedzi API, nazwy typów kontrolowane przez atakującego są rozwiązywane przez wbudowane funkcje Pythona bez listy dozwolonych. Zainfekowany pracownik może ustawić sort_casting na exec i umieścić kod Pythona w affected_items, co powoduje wykonanie kodu przez mastera jako root podczas scalania odpowiedzi z wielu węzłów. Problem został naprawiony w wersjach 4.14.6 i 5.0.0-beta2.