Katalog podatności CVE

gRPC-Go przed wersją 1.83.1 zawiera podatność w filtrze HTTP xDS RBAC, gdzie nazwy nagłówków nie są konwertowane na małe litery, mimo że przychodzące klucze metadanych są małymi literami. Polityka DENY używająca nazw mieszanych, takich jak X-Role lub User-Agent, nie dopasowuje się i zawodzi w trybie otwartym, pozwalając na żądania, które powinny być odrzucone. Ta sama niezgodność wielkości liter umożliwia obejście walidacji gRFC A41 dla :Scheme lub Grpc-Status oraz zapobiega przepisaniu Host na :authority. Problem został naprawiony w wersji 1.83.1.

W backendzie MTP w gvfs występuje błąd polegający na tym, że funkcja do_read() w gvfsbackendmtp.c ufa długości danych zwracanych przez urządzenie bez ograniczania jej do rozmiaru żądanego przez klienta. Złośliwe urządzenie MTP może odpowiedzieć większą liczbą bajtów niż żądano, co prowadzi do odczytu pamięci poza zamierzonymi granicami i może spowodować błąd segmentacji procesu gvfsd-mtp, prowadząc do odmowy usługi.

W backendzie AFP w gvfs występuje błąd polegający na tym, że podczas montowania udziału złośliwy serwer AFP może spowodować, że ścieżka odczytu DSI przetworzy długość przekraczającą rozmiar żądany przez klienta. Funkcja nie weryfikuje długości dostarczonej przez serwer względem wstępnie przygotowanego bufora odpowiedzi, co prowadzi do dostępu poza zamierzone granice. Problem ten pozwala złośliwemu serwerowi na przepełnienie bufora sterty i awarię procesu gvfsd-afp, prowadząc do odmowy usługi.

W backendzie SFTP w gvfs występuje błąd polegający na tym, że funkcja read_string() alokuje bufor o określonej długości, ale nie weryfikuje, czy bufor jest całkowicie wypełniony, pozostawiając resztę bufora z niezainicjalizowaną zawartością sterty. Jeśli serwer wyśle krótką odpowiedź FXP_HANDLE, te niezainicjalizowane bajty są traktowane jako uchwyt pliku. Klient następnie odsyła te bajty z powrotem do serwera w kolejnych żądaniach. Przy długości 128 bajtów złośliwy serwer może deterministycznie odczytać niezainicjalizowaną pamięć sterty z procesu gvfsd-sftp, ujawniając bazę sterty i adres załadowania biblioteki libgio, co prowadzi do deterministycznego obejścia ASLR.

W aplikacji serwującej treści pulpcore występuje błąd polegający na tym, że pliki przesłane do repozytoriów typu Pulp są serwowane z ich oryginalnym typem treści (np. text/html dla plików .html, image/svg+xml dla plików .svg) i bez nagłówka Content-Disposition: attachment, gdy używane jest lokalne przechowywanie plików. Uwierzytelniony użytkownik lub atakujący z uprawnieniami do przesyłania treści może przesłać specjalnie spreparowany plik HTML lub SVG zawierający JavaScript, który wykonuje się w przeglądarce każdego użytkownika odwiedzającego URL pliku, co prowadzi do trwałego XSS w kontekście aplikacji hostującej.

Heym przed wersją 0.0.98 nie stosuje zabezpieczeń SSRF (Server-Side Request Forgery) do węzłów WebSocket Send i WebSocket Trigger, co pozwala uwierzytelnionym użytkownikom na łączenie się z wewnętrznymi usługami. Atakujący mogą tworzyć węzły przepływu pracy z dowolnymi URL-ami i nagłówkami, aby dotrzeć do wewnętrznych usług i odczytać odpowiedzi z węzła WebSocket Trigger.

Snipe-IT przed wersją 8.7.0 błędnie weryfikuje uprawnienia dla punktu końcowego masowego przywracania zasobów, wymagając uprawnienia assets.edit zamiast assets.delete. Użytkownicy bez prawa do usuwania mogą przywracać miękkie usunięte zasoby, co pozwala na cofnięcie usunięć dokonanych przez administratora i obejście separacji uprawnień.

GROWI zawiera podatność kontroli dostępu w punkcie końcowym GET /_api/v3/revisions/:id, który sprawdza dostęp na podstawie parametru zapytania, ale zwraca rewizję identyfikowaną przez parametr ścieżki bez potwierdzenia, że odnoszą się do tej samej strony. Uwierzytelnieni atakujący mogą połączyć identyfikator strony, do której mają dostęp, z dowolnym identyfikatorem rewizji, aby odczytać treść rewizji ze stron, do których nie mają uprawnień.

GROWI zawiera podatność kontroli dostępu w punkcie końcowym GET /_api/v3/attachment/:id, który nie weryfikuje uprawnień dostępu do strony. Uwierzytelnieni atakujący mogą pobierać metadane załączników ze stron, których nie mogą wyświetlić, podając znane identyfikatory załączników.

W Xinhu Rainrock RockOA do wersji 2.3.2 wykryto podatność SQL injection w funkcji toaddval pliku /index.php?m=index&a=publicsavevalue&ajaxbool=true. Manipulacja argumentem Value może prowadzić do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.

W Cleo Harmony do wersji 5.8.1.10 wykryto podatność w funkcji LocalUserUtil.getNativeUserByAssertions komponentu SAML Authentication. Manipulacja argumentem Email prowadzi do nieprawidłowego uwierzytelnienia. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony. Zalecane jest uaktualnienie do wersji 5.8.1.11.

W Releasit COD Form & Upsells v1 wykryto podatność w komponencie OTP Validation. Manipulacja prowadzi do egzekwowania bezpieczeństwa po stronie klienta zamiast po stronie serwera. Atak może być przeprowadzony zdalnie. Exploit jest publiczny. Uaktualnienie do wersji v2 rozwiązuje problem.

xmldom to moduł DOMParser i XMLSerializer w czystym JavaScript. Przed wersjami @xmldom/xmldom 0.8.15 i 0.9.12 oraz w xmldom 0.6.0 i wcześniejszych, DOMParser.parseFromString() może po cichu zaakceptować tag zamykający taki jak </a\njunk>, zamknąć element i odrzucić końcową treść. W wersjach 0.9.x walidator tagów końcowych w lib/sax.js dziedziczy flagę multiline z reg(), co pozwala pierwszej linii spełnić zakotwiczoną produkcję XML ETag; starsze linie nie mają równoważnej walidacji. Ta różnica w parserze może ominąć bramkę poprawności przed zaufaniem, chociaż nie wstrzykuje odrzuconej treści; onError w 0.9.x i errorHandler w 0.8.x to odpowiednie interfejsy raportowania. Problem naprawiono w @xmldom/xmldom 0.8.15 i 0.9.12; brak poprawki dla xmldom.

xmldom to moduł DOMParser i XMLSerializer w czystym JavaScript. Przed wersjami @xmldom/xmldom 0.8.15 i 0.9.12 oraz w xmldom 0.6.0 i wcześniejszych, Document.createEntityReference(name) akceptuje nieprawidłową nazwę, a serializer ENTITY_REFERENCE_NODE emituje wynikową nodeName bezpośrednio w formie &name;. Bezpośrednia serializacja węzła lub fragmentu za pomocą XMLSerializer.serializeToString() z requireWellFormed: true może złamać granicę encji i wyprodukować kontrolowany przez atakującego markup XML po ponownym parsowaniu. Parser zwykle nie tworzy tych węzłów, a wstawianie jako dziecko elementu jest odrzucane, więc wykorzystanie wymaga, aby aplikacja utworzyła i bezpośrednio zserializowała EntityReference. Problem naprawiono w @xmldom/xmldom 0.8.15 i 0.9.12; brak poprawki dla xmldom.

Walidator DefaultBaseTypeLimitingValidator w bibliotece jackson-databind, stosowany automatycznie przy użyciu adnotacji @JsonTypeInfo bez własnego walidatora, nie uwzględniał typu java.lang.Comparable na liście niebezpiecznych typów bazowych. W efekcie aplikacja deklarująca właściwość lub klasę z Comparable jako typem bazowym akceptuje identyfikatory typów dla praktycznie dowolnej klasy implementującej Comparable, co pozwala atakującemu na tworzenie obiektów pod jego kontrolą. Wykazano możliwość utworzenia obiektu java.io.File dla dowolnej ścieżki.

Dell PowerStore zawiera podatność Argument Injection. Uwierzytelniony użytkownik z ograniczonymi uprawnieniami może potencjalnie wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do wrażliwych informacji systemowych.

Moduł mod_auth w serwerze inets httpd OTP, przy użyciu backendów uwierzytelniania dets lub mnesia oraz wielu bloków konfiguracji katalogów, scala wszystkie bloki katalogów w jedną wspólną przestrzeń nazw użytkowników/grup. Użytkownik dodany do jednego chronionego katalogu jest akceptowany jako ważny dla wszystkich innych chronionych katalogów na tym samym serwerze.

W module httpc w Erlang/OTP inets występuje podatność polegająca na nieprawidłowej walidacji ilości w danych wejściowych. Złośliwy lub skompromitowany serwer HTTP może obniżyć dostępność, zwracając nagłówek numeryczny o bardzo długiej sekwencji cyfr, co prowadzi do kosztownej konwersji na liczbę całkowitą.

W module eldap w Erlang/OTP występuje podatność polegająca na nieprawidłowej walidacji ilości w danych wejściowych. Złośliwy lub skompromitowany serwer LDAP może obniżyć dostępność, zwracając URL referencyjny z bardzo długim portem, co prowadzi do kosztownej konwersji na liczbę całkowitą.

W module snmp w Erlang/OTP występuje podatność polegająca na nieprawidłowej walidacji ilości w danych wejściowych. Zdalny atakujący może obniżyć dostępność, wysyłając wiadomość SNMP zawierającą BER INTEGER z dowolnie dużym polem długości, co prowadzi do kosztownych obliczeń na dużych liczbach.