Katalog podatności CVE

Open edX Platform umożliwia tworzenie i dostarczanie nauki online na dowolną skalę. Przed commit 3a5ac85, zidentyfikowano podatność w implementacji LTI (Learning Tools Interoperability) Provider w platformie LMS Open edX. Funkcja validate_timestamp_and_nonce w lms/djangoapps/lti_provider/signature_validator.py nie waliduje nonce OAuth ani znaczników czasu, co pozwala atakującemu, który przechwyci ważne żądanie uruchomienia LTI, na odtworzenie go nieograniczoną liczbę razy bez wykrycia. Problem naprawiono w commicie 3a5ac85.

Nuclio to framework "Serverless" do przetwarzania zdarzeń w czasie rzeczywistym i danych. Przed wersją 1.16.5, Nuclio Dashboard udostępnia POST /api/functions bez uwierzytelniania domyślnie (tryb NOP auth). Pole spec.handler (np. mymodule:myfunction) jest parsowane przez funkcję functionconfig.ParseHandler(), która dzieli tylko na : — nie jest stosowana walidacja ścieżki dla części modułu. Problem naprawiono w wersji 1.16.5.

Wiele podatności w funkcji deszyfrowania S/MIME (Secure/Multipurpose Internet Mail Extensions) w Cisco Secure Email może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na odzyskanie tekstu jawnego z zaszyfrowanych wiadomości e-mail. Podatności wynikają z niewystarczającej walidacji integralności wiadomości. Atakujący może je wykorzystać za pomocą techniki man-in-the-middle, aby przechwycić i zmodyfikować ruch między bramami e-mail. Udany exploit może pozwolić atakującemu na uzyskanie treści jawnej z zaszyfrowanej komunikacji.

Wiele podatności w funkcji deszyfrowania S/MIME (Secure/Multipurpose Internet Mail Extensions) w Cisco Secure Email może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na odzyskanie tekstu jawnego z zaszyfrowanych wiadomości e-mail. Podatności wynikają z niewystarczającej walidacji integralności wiadomości. Atakujący może je wykorzystać za pomocą techniki man-in-the-middle, aby przechwycić i zmodyfikować ruch między bramami e-mail. Udany exploit może pozwolić atakującemu na uzyskanie treści jawnej z zaszyfrowanej komunikacji.

Jenkins update-center2 3.18.3 i wcześniejsze nie escapuje wartości dostarczanych przez wtyczki (nazwy wtyczek, opisy i metadane wersji) na stronach indeksu pobierania wtyczek, co skutkuje podatnością na trwały cross-site scripting (XSS), którą mogą wykorzystać atakujący zdolni do dostarczenia wtyczki do hostingu.

Jenkins Parameterized Remote Trigger Plugin 3.2.2 i wcześniejsze przechowuje tokeny niezaszyfrowane w plikach config.xml zadań na kontrolerze Jenkinsa, gdzie mogą być widoczne dla użytkowników z uprawnieniami Item/Extended Read lub mających dostęp do systemu plików kontrolera.

Wtyczka Jenkins XebiaLabs XL Deploy w wersji 26.1.0 i wcześniejszych nie sprawdza odpowiednich uprawnień, co pozwala użytkownikom z uprawnieniem Overall/Read na wyliczenie identyfikatorów poświadczeń przechowywanych w Jenkinsie.

Wtyczka Jenkins Job Configuration History Plugin w wersji 1367.vc8fa_b_15101dc i wcześniejszych pozwala na nadpisanie konfiguracji rejestrowania historii przez wiązanie danych Stapler, co umożliwia atakującym przekierowanie przechowywania historii do wskazanego przez atakującego katalogu oraz modyfikację ustawień rejestrowania historii.

Wtyczka GitLab dla Jenkinsa w wersji 1.9.16 i wcześniejszych pozwala na nadpisanie globalnej konfiguracji połączenia GitLab przez wiązanie danych Stapler, co umożliwia atakującym połączenie się z adresem URL wskazanym przez atakującego przy użyciu tokenów API GitLab skonfigurowanych wcześniej przez administratorów.

Podatność CSRF w wtyczce Pipeline: Groovy Libraries dla Jenkinsa w wersji 798.v5cc688825312 i wcześniejszych pozwala atakującym na usunięcie pamięci podręcznej bibliotek współdzielonych.

Wtyczka LDAP dla Jenkinsa w wersji 807.809.vd3a_4e5e4ec98 i wcześniejszych pozwala na połączenie z określonym adresem URL przez wiązanie danych Stapler, co umożliwia atakującym połączenie się z adresem URL wskazanym przez atakującego.

Brak sprawdzenia uprawnień w wtyczce Pipeline: Build Step dla Jenkinsa w wersji 599.v4b_67ea_11b_152 i wcześniejszych powoduje, że budynki podrzędne oczekiwane przez krok `waitForBuild` z parametrem `propagateAbort` są anulowane nawet wtedy, gdy uwierzytelnienie budynku nie ma uprawnień Item/Cancel do zadania podrzędnego.

Brak sprawdzenia uprawnień w wtyczce Pipeline: Build Step dla Jenkinsa w wersji 599.v4b_67ea_11b_152 i wcześniejszych powoduje, że budynki podrzędne uruchamiane przez krok `build` są anulowane nawet wtedy, gdy uwierzytelnienie budynku nie ma uprawnień Item/Cancel do zadania podrzędnego.

Wtyczka Script Security dla Jenkinsa w wersji 1412.v7737b_3405f86 i wcześniejszych nie egzekwuje sprawdzenia uprawnień w metodzie kontrolującej ustawienie "Force the use of the sandbox globally in the system", co pozwala atakującym na jego wyłączenie przez wiązanie danych Stapler.

Wtyczka Script Security dla Jenkinsa w wersji 1412.v7737b_3405f86 i wcześniejszych używa adnotacji `@DataBoundConstructor` na konstruktorze, który ładuje konfigurację zatwierdzania skryptów, co pozwala atakującym, którzy mogą przesłać określone formularze, na odczytanie tej konfiguracji.

W Jenkinsie 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, polecenie CLI build nie sprawdza uprawnienia Item/Cancel przy użyciu flagi -s do anulowania budynku uruchomionego w celu oczekiwania na zakończenie, co pozwala atakującym z uprawnieniem Item/Build na anulowanie budynków uruchomionych przez innych użytkowników.

Brak sprawdzenia uprawnień w Jenkinsie 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych pozwala atakującym z uprawnieniem Item/Read na co najmniej jednym zadaniu na odczytanie nazw i wartości parametrów budynków zadań, do których nie mają dostępu.

Jenkins 2.579 i wcześniejsze oraz LTS 2.568.2 i wcześniejsze nie escapują kluczy map podczas serializacji obiektów do JSON i Pythona przez REST API. Pozwala to atakującym kontrolującym nazwy właściwości map na wstrzyknięcie dowolnych pól do odpowiedzi API.

W Stapler 2107.v8dfcb_e8ed317 i wcześniejszych, z wyjątkiem 2088.2093.vd7c3e58008a_6, zawartym w Jenkins 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, wiązanie danych formularzy pozwala na ustawianie publicznych pól statycznych powiązanego obiektu konfiguracji. Atakujący, którzy mogą przesyłać formularze konfiguracyjne, mogą modyfikować publiczne pola statyczne obiektów konfiguracji, co prowadzi do globalnych zmian w instancji Jenkinsa.

W Jenkins 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, punkty końcowe REST API i CLI do aktualizacji konfiguracji agenta nie zapobiegają nadpisaniu innego agenta przez przesłaną konfigurację, jeśli w dokumencie XML podano nazwę tego agenta. Pozwala to atakującym z uprawnieniem Agent/Configure na jednym agencie przejąć innego agenta, uzyskując kontrolę nad jego konfiguracją oraz dostęp do jego sekretu agenta przychodzącego i zmiennych środowiskowych.