Katalog podatności CVE

Wykryto podatność w jofpin trape 2.0. Dotyczy ona nieznanego kodu w pliku core/user.py komponentu Telemetry Endpoint. Manipulacja argumentem vId prowadzi do wyścigu (race condition). Atak może być wykonany zdalnie. Ataki tego rodzaju są bardzo złożone. Stwierdzono, że wykorzystanie jest trudne. Exploit został ujawniony publicznie i może być użyty. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział.

W jofpin trape 1.0.0/2.0 w funkcji join_room pliku core/sockets.py komponentu Admin Endpoint brakuje uwierzytelnienia. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Projekt został poinformowany o problemie, ale nie odpowiedział.

W sterownikach DirectIo64.sys w PassMark PerformanceTest przed 11.1 build 1012, BurnInTest przed 11.1 build 1000 i OSForensics przed 11.1 build 1016 występuje podatność na eskalację uprawnień i odmowę usługi. Umożliwia ona lokalnym atakującym odczyt dowolnych rejestrów MSR lub zapis zera do dowolnego MSR przez odsłonięte IOCTL z niewystarczającą listą blokad. Atakujący mogą wykorzystać nieograniczony zapis do wyzerowania rejestru MSR obsługi wywołań systemowych, powodując natychmiastowy krytyczny błąd jądra przy następnym wywołaniu systemowym, lub odczytać wrażliwe MSR używane do lokalizacji struktur danych jądra.

W bibliotece libtpms, zapewniającej emulację TPM 2.0, podczas przywracania stanu TPM 2.0 (np. przy starcie maszyny wirtualnej lub przywracaniu migracji) złośliwy blob stanu może dostarczyć nadmierną długość bloku skip, która nie jest walidowana względem pozostałego rozmiaru bufora wejściowego. Może to spowodować ujemny licznik rozmiaru, co omija późniejszą kontrolę granic z powodu niebezpiecznej konwersji ze znakiem na bez znaku, prowadząc do odczytu pamięci poza granicami bufora sterty. Udane wykorzystanie może spowodować awarię procesu hostującego libtpms (np. swtpm), co prowadzi do odmowy usługi emulowanego urządzenia TPM i zależnej od niego maszyny wirtualnej. Nie potwierdzono uszkodzenia danych ani ujawnienia informacji.

W jofpin trape 1.0.0 w pliku core/stats.py komponentu Login Endpoint występuje podatność polegająca na braku uwierzytelnienia. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Projekt został poinformowany o problemie, ale nie odpowiedział.

Interceptor dekompresji w undici dekompresuje ciała odpowiedzi zgodnie z niezaufanym nagłówkiem Content-Encoding. Liczba warstw kodowania jest ograniczona, ale całkowity rozmiar zdekompresowanego wyjścia jest nieograniczony i nie ma opcji konfiguracji, aby go ograniczyć. Złośliwy lub wadliwy serwer może zwrócić mały skompresowany ładunek (bombę kompresyjną), który rozwija się do setek megabajtów lub więcej w pamięci klienta, co prowadzi do asymetrycznego zużycia zasobów, mogącego wyczerpać pamięć i spowodować awarię procesu. Dotyczy to wersji undici od 7.15.0 do 7.29.1 oraz od 8.0.0 do 8.10.2. Użytkownicy powinni zaktualizować do undici 7.29.1 lub 8.10.2.

W Emlog, otwartoźródłowym systemie budowy stron internetowych, w wersjach 2.6.29 i wcześniejszych, nazwy tagów nie są kodowane HTML podczas renderowania w edytorze artykułów. Atakujący może utworzyć tag zawierający ');alert(document.domain);//. Funkcja addslashes() nie koduje encji HTML, więc ' jest przechowywane bez zmian. Gdy przeglądarka renderuje stronę, dekoduje ' z powrotem do dosłownego pojedynczego cudzysłowu przed wykonaniem JavaScript, co pozwala na wyjście ze stringa i wykonanie dowolnego kodu. W momencie publikacji nie są znane publiczne poprawki.

SolidInvoice to platforma fakturowania o otwartym kodzie źródłowym. Przed wersją 3.0.1 uwierzytelniony użytkownik może przeglądać historię żądań API tokenów innych użytkowników w tej samej firmie, manipulując dwoma zapisywalnymi właściwościami komponentu Symfony UX LiveComponent `DataGrid`. Wersja 3.0.1 naprawia ten problem.

SolidInvoice to platforma fakturowania o otwartym kodzie źródłowym. Przed wersją 3.0.1, uwierzytelniacz REST API akceptuje tokeny bearer przez parametr zapytania `?token=` jako alternatywę dla nagłówka `X-API-TOKEN`. Powoduje to zapisywanie długotrwałych poświadczeń API w logach serwera, logach proxy, historii przeglądarki i nagłówkach HTTP Referer wysyłanych do zewnętrznych stron. Wersja 3.0.1 naprawia ten problem.

SolidInvoice to platforma fakturowania o otwartym kodzie źródłowym. Przed wersją 3.0.1 encje `UserInvitation` nie mają znacznika wygaśnięcia. Linki zaproszeń wysyłane do użytkowników pozostają ważne bezterminowo, co oznacza, że wyciekły, przekazany lub zarchiwizowany e-mail z zaproszeniem może być użyty w dowolnym momencie w przyszłości do dołączenia do firmy lub cichego dodania skompromitowanego konta e-mail do firmy. Wersja 3.0.1 naprawia ten problem.

W bibliotece PJSIP przed commitem 4472a31 występuje przepełnienie bufora stosu w interfejsie telnet CLI (PJLIB-UTIL) podczas renderowania informacji zwrotnej dla wprowadzonej linii poleceń. Zbyt długa linia poleceń może przepełnić stałorozmiarowe bufory, co może doprowadzić do zakończenia działania aplikacji. Problem dotyczy wyłącznie aplikacji z włączonym interfejsem telnet CLI.

W bibliotece PJSIP przed commit 628b716 występuje przepełnienie bufora stosu w interfejsie telnet CLI (funkcja handle_up_down() w cli_telnet.c) podczas przewijania historii poleceń. Problem dotyczy tylko aplikacji z włączonym telnet CLI i może prowadzić do zakończenia działania aplikacji. Wymaga dostępu do nieuwierzytelnionego telnet CLI, który już pozwala na wykonywanie dowolnych poleceń, więc dodatkowy wpływ jest ograniczony.

PJSIP przed commit 8d5956a zawiera podatność przepełnienia bufora na stercie w kliencie HTTP PJLIB-UTIL podczas buforowania treści odpowiedzi HTTP. Błędne obliczenie rozmiaru na podstawie Content-Length może prowadzić do zapisu poza przydzielony bufor.

W bibliotece PJSIP przed commit d6a0e7f występuje przepełnienie bufora w funkcji pjsip_generic_array_hdr_print() w sip_msg.c, która serializuje nagłówki tablicowe (np. Allow, Require, Supported). W pewnych warunkach granicznych bufora funkcja może zapisać jeden bajt poza końcem bufora. Problem jest osiągalny głównie w aplikacjach parsujących i ponownie serializujących przychodzące żądania SIP, takich jak proxy, SBC czy B2BUA.

Admidio do wersji 5.0.11 włącznie ma podatność CSRF w modules/plugins.php, gdzie operacje instalacji, odinstalowania i aktualizacji wtyczek są wykonywane przez żądania GET bez walidacji tokena CSRF. Atakujący może stworzyć złośliwą stronę, która po odwiedzeniu przez uwierzytelnionego administratora wywołuje dowolne operacje na wtyczkach, w tym odinstalowanie, które wykonuje skrypty DROP TABLE i niszczy dane wtyczek.

Emlog do wersji 2.6.29 włącznie ma podatność w funkcji emUnZip(), która rozpakowuje archiwa ZIP bez walidacji ścieżek wpisów pod kątem sekwencji ../. Atakujący może nadpisać dowolne pliki na serwerze, w tym config.php, co prowadzi do natychmiastowego zdalnego wykonania kodu (RCE). W chwili publikacji nie są znane publiczne łatki.

Emlog przed wersją 2.6.16 ma podatność na ślepą iniekcję SQL w User_Model::getUserDataByLogin(). Parametr $account jest bezpośrednio interpolowany do zapytań SQL bez filtrowania. Podatność jest osiągalna przez ścieżkę walidacji ciasteczka auth, gdzie $username jest wyodrębniane z ciasteczka i przekazywane bez filtrowania do SQL — chronione jedynie podpisem HMAC wymagającym klucza AUTH_KEY do sfałszowania.

W bibliotece undici w wersjach od 7.11.0 do 7.29.1 oraz od 8.0.0 do 8.10.2, mechanizm ponawiania (retry handler) może pozostawić już wystawione ciało odpowiedzi w stanie oczekiwania na zawsze. Gdy serwer zwraca odpowiedź z Content-Length, wysyła tylko część ciała i zamyka połączenie, retry handler ponawia żądanie. Jeśli ponowienie zwróci status niepodlegający ponowieniu (np. 400), handler przekazuje nową odpowiedź, ale oryginalne ciało odpowiedzi nie jest kończone ani niszczone, co powoduje, że odczyty tego ciała nigdy nie są kończone, a limit czasu nie działa.

undici zawiera klienta WebSocket, którego mechanizm czyszczenia limitu rozmiaru permessage-deflate usuwa wszystkie nasłuchiwacze z wewnętrznego strumienia inflate zlib, w tym nasłuchiwacz błędów, podczas gdy strumień ten może nadal emitować zdarzenia. Gdy zdalny peer wyśle skompresowany pakiet przekraczający wbudowany limit 128 MiB zdekompresowanych danych i zawierający nieprawidłowy bajt DEFLATE, strumień inflate emituje błąd danych bez podłączonego nasłuchiwacza, co Node.js traktuje jako śmiertelny nieobsłużony błąd i kończy cały proces. Eksploatacja jest zdalna i nieuwierzytelniona, nie wymaga błędu aplikacji i jest asymetryczna, ponieważ około 130 KB na łączu może przekroczyć limit i spowodować awarię procesu.

Eksperymentalny klient WebSocketStream w undici powoduje awarię całego procesu Node.js, gdy zdalny peer zamyka połączenie TCP bez przeprowadzenia uzgadniania zamknięcia WebSocket. Przy nieczystym zamknięciu wewnętrzny handler zamykania gniazda wywołuje metodę abort na strumieniu zapisywalnym bezwarunkowo i ignoruje zwróconą obietnicę, ale zgodnie ze standardem WHATWG Streams przerwanie zablokowanego strumienia zapisywalnego zwraca obietnicę, która odrzuca z błędem TypeError. Ponieważ aplikacja trzyma zapis na tym strumieniu, co jest jedynym sposobem zapisu, odrzucenie nigdy nie jest obserwowane, a domyślne zachowanie Node dla nieobsłużonych odrzuceń kończy proces. Niezaufany serwer może więc wywołać awarię klienta pojedynczym nagłym rozłączeniem, bez uwierzytelnienia i bez błędu aplikacji. Dotyczy to wersji undici od 7.0.0 do 7.29.1 oraz od 8.0.0 do 8.10.2. Użytkownicy powinni zaktualizować undici do wersji 7.29.1 lub 8.10.2.