Katalog podatności CVE

YOURLS w wersji przed 1.10.5 nie sanityzuje ścieżki żądania w funkcji yourls_get_request(), przez co sekwencje przejścia katalogowego (kropki i ukośniki) są zachowywane i trafiają do file_exists() oraz include() w katalogu YOURLS_PAGEDIR. Nieuwierzytelniony zdalny atakujący może wyjść poza katalog stron i dołączyć lokalny plik PHP już obecny na serwerze, powodując jego wykonanie w procesie webowym YOURLS. Problem naprawiono w wersji 1.10.5.

W util-linux przed wersją 2.41.4 funkcja parse_dos_extended() w libblkid/src/partitions/dos.c oblicza sektor początkowy partycji rozszerzonej za pomocą dodawania 32-bitowego i nie stosuje kontroli granic obszaru rozszerzonego do pierwszych dwóch wpisów EBR. Lokalny atakujący, który spowoduje przeskanowanie spreparowanego obrazu dysku lub nośnika z rozszerzoną partycją DOS, może spowodować zawinięcie cur_start + start do sektora zerowego i fałszywe zgłoszenie partycji nakładającej się na MBR.

W util-linux w wersjach od 2.39.1 do 2.41.4 oraz od 2.42 do 2.42.1 narzędzie SUID mount odczytuje kontrolowaną przez atakującego zmienną środowiskową LIBMOUNT_FORCE_MOUNT2 za pomocą getenv(), co pozwala lokalnemu użytkownikowi o niskich uprawnieniach wymusić nieatomową, starszą ścieżkę montowania bind. Przy montowaniu bind w /etc/fstab autoryzowanym przez user lub users i chronionym przez nosuid, noexec lub nodev, atakujący może wykorzystać wyścig między początkowym montowaniem bind a ponownym montowaniem stosującym te flagi bezpieczeństwa i wykonać program SUID z tymczasowo niechronionego montowania, potencjalnie uzyskując uprawnienia roota.

Biblioteka rapidcsv to parser CSV w C++. W wersjach przed 8.99 funkcje RemoveColumn, InsertColumn, RemoveRow, InsertRow i GetColumnNames konwertowały indeksy size_t na int przed dodaniem ich do iteratorów std::vector. W systemach 64-bitowych, przy macierzy CSV o rozmiarze powyżej 2^31 elementów, indeks powyżej INT_MAX mógł zawinąć się do ujemnego przesunięcia iteratora i wskazać przed początek wektora, powodując niezdefiniowane zachowanie, uszkodzenie pamięci sterty lub awarię. Problem naprawiono w wersji 8.99.

Godot Engine do wersji 4.7.2 ma lukę typu out-of-bounds read w zoptymalizowanym loaderze tłumaczeń (core/string/optimized_translation.cpp, OptimizedTranslation::get_message). Przesunięcia odczytane z tablicy mieszającej spreparowanego zasobu .translation są używane jako indeksy do tablicy kubełków bez walidacji zakresu; odrzucana jest tylko pojedyncza wartość sentinela. Spreparowany plik może wskazać indeks daleko poza zaalokowanym buforem, powodując awarię lub zwrócenie surowych bajtów z pamięci procesu jako przetłumaczonego ciągu, co ujawnia pamięć procesu.

Godot Engine do wersji 4.7.2 ma błąd zapisu poza zakresem sterty w loaderze zasobów binarnych (core/io/resource_format_binary.cpp, ResourceLoaderBinary::get_unicode_string). Długość łańcucha jest odczytywana z pliku zasobu do 32-bitowej liczby całkowitej ze znakiem i porównywana z rozmiarem bufora docelowego za pomocą porównania ze znakiem, co warunkowo zmienia rozmiar bufora. Ujemna wartość długości pomija zmianę rozmiaru; ta sama wartość jest następnie przekazywana do procedury kopiowania jako liczba bajtów bez znaku, gdzie rozszerza się ze znakiem do ogromnej wartości, kopiując dane kontrolowane przez plik daleko poza niedoszacowaną alokację sterty.

Godot Engine do wersji 4.7.2 ma lukę typu heap out-of-bounds write w dekoderze obrazów Radiance HDR (.hdr) (modules/hdr/image_loader_hdr.cpp). Pętla dekodowania RLE rozwija instrukcje RLE odczytane z pliku do bufora o rozmiarze wynikającym z wymiarów obrazu, bez sprawdzenia, czy liczba powtórzeń lub kopiowanych bajtów mieści się w pozostałej pojemności bufora wiersza. Spreparowany plik .hdr zapisuje więc dane dostarczone przez atakującego poza końcem alokacji sterty, a długość i zawartość przepełnienia są kontrolowane przez plik.

Portkey AI Gateway w wersjach od 1.14.0 do 1.15.2 zawiera podatność typu server-side request forgery (SSRF), która pozwala nieuwierzytelnionym atakującym na dostęp do usług loopback i hosta Docker, ponieważ isValidCustomHost ufa hostom w stylu localhost, gdy TRUSTED_CUSTOM_HOSTS nie jest ustawione. Atakujący mogą wysyłać żądania /v1 ze spreparowanym nagłówkiem x-portkey-custom-host, na przykład przez dostawcę ollama, aby zmusić bramę do wywołania usług wewnętrznych i zwrócenia ich odpowiedzi.

TurboDocx html-to-docx do wersji 1.23.1 zawiera podatność SSRF (server-side request forgery) — atakujący dostarczający HTML może zmusić serwer do pobierania wewnętrznych adresów URL poprzez atrybuty img src. Można odwołać się do adresów loopback, prywatnych lub metadanych chmury, które omijają luźną walidację isValidUrl(), a odpowiedzi są osadzane w wygenerowanym pliku DOCX w folderze word/media.

Janus WebRTC Server do wersji 1.4.3 zawiera podatność path traversal w pluginie Record&Play, umożliwiającą nieuwierzytelnionym atakującym zapis plików poza recordings_path poprzez nazwę pliku w żądaniu record. Atakujący może podać nazwy z separatorami ścieżek, aby tworzyć lub obcinać pliki kończące się na -audio.mjr, -video.mjr lub -data.mjr w dowolnym miejscu, w którym proces Janus ma prawo zapisu poza chronionymi katalogami.

unshield do wersji 1.6.2 zawiera podatność heap out-of-bounds read w funkcji unshield_get_file_table(), umożliwiającą odczyt poza zaalokowaną pamięcią sterty poprzez niesprawdzone przesunięcia w nagłówku pliku cabinet. Atakujący może dostarczyć spreparowany plik InstallShield cabinet z file_table_offset poza zakresem lub dużą liczbą plików, aby zawiesić narzędzie unshield lub aplikacje korzystające z biblioteki.

MuJS w wersji 1.3.6 przed 1.3.9 zawiera podatność heap out-of-bounds read i write w Array.prototype.sort, umożliwiającą uszkodzenie pamięci poprzez zwiększenie długości prostej tablicy. Atakujący może dostarczyć kod JavaScript, który powiększa długość gęstej tablicy i wywołuje sort, powodując dostęp funkcji Ap_sort_cmp i Ap_sort_swap do komórek poza buforem i zawieszenie procesu.

libsmb2 do wersji 6.2 zawiera podatność integer underflow w funkcji decode_acl, umożliwiającą złośliwym serwerom SMB wywołanie odczytu poza buforem sterty poprzez spreparowane deskryptory bezpieczeństwa. Atakujący kontrolujący serwer lub przechwytujący niepodpisane sesje może wysłać AclSize mniejsze niż 8 w odpowiedzi QUERY_INFO, omijając sprawdzenia granic ACE i powodując awarię klienta.

libsmb2 do wersji 6.2 zawiera podatność heap out-of-bounds read w funkcjach smb2_decode_file_fs_volume_info oraz smb2_decode_file_fs_attribute_info, umożliwiającą złośliwym serwerom SMB odczyt poza buforem odpowiedzi. Atakujący kontrolujący serwer lub przechwytujący niepodpisane sesje może wysłać spreparowane odpowiedzi QUERY_INFO z brakującymi lub zbyt dużymi długościami nazw, powodując awarię klienta.

libsmb2 do wersji 6.2 zawiera podatność heap out-of-bounds read w funkcji smb2_decode_file_all_info, umożliwiającą złośliwym serwerom SMB zawieszenie klientów poprzez wysłanie niesprawdzonego FileNameLength. Atakujący kontrolujący serwer lub przeprowadzający atak man-in-the-middle na niepodpisane sesje może zwrócić spreparowane odpowiedzi FileAllInformation na wywołania smb2_stat lub smb2_fstat, powodując awarię klienta.

CGNS do wersji 4.5.2 zawiera lukę typu stack out-of-bounds read w funkcji ADFI_read_node_header, która pozwala atakującym na zawieszenie aplikacji poprzez dostarczenie spreparowanych nagłówków węzłów ADF. Atakujący mogą przygotować pliki .cgns lub .adf, których niezakończony znakiem NUL tag końcowy powoduje, że ADFI_stridx_c skanuje poza disk_node_data, powodując awarię narzędzi takich jak cgnslist.

vgmstream do wersji r2117 zawiera lukę typu stack out-of-bounds read w dekoderze G.722.1/Siren14 w pliku g7221_lib.c, którego czytnik bitów uzupełnia dane bez sprawdzenia końca tablicy data_u32. Atakujący mogą dostarczyć spreparowane pliki .s14 lub .sss, które podczas wykrywania formatu wyprowadzają funkcję decode_vector_quantized_mlt_indices() poza bufor stosu, powodując awarię aplikacji.

ELFIO do wersji 3.12 zawiera podatność dereferencji wskaźnika NULL w funkcji relocation_section_accessor get_entry(), umożliwiającą atakującym zawieszenie aplikacji poprzez niezwalidowany indeks sh_link. Atakujący może dostarczyć spreparowany plik ELF, którego sekcja SHT_REL lub SHT_RELA ma wiszący sh_link, powodując dereferencję NULL w find_hash_section() i odmowę usługi.

Sofia-SIP do wersji 1.13.18 zawiera podatność heap out-of-bounds read w funkcji msg_multipart_parse(), umożliwiającą nieuwierzytelnionym zdalnym atakującym zawieszenie procesu poprzez wysłanie zbyt dużych granic MIME. Atakujący może wysłać INVITE z wieloczęściowym Content-Type, którego granica przekracza długość ciała, powodując odczyt przez memcmp poza buforem sterty i awarię procesu.

Khronos NNEF-Tools (nnef do 1.0.10, nnef-tools do 1.0.11) zawiera podatność path traversal umożliwiającą zapis plików poza katalogiem modelu poprzez spreparowane etykiety zmiennych. Atakujący może dostarczyć plik graph.nnef z sekwencjami '../' lub ścieżkami absolutnymi w etykietach, aby tworzyć lub nadpisywać pliki '.dat' podczas konwersji, zapisu lub generowania wag.