Katalog podatności CVE

OW2 ASM w wersjach od 3.0 do 9.11 zawiera podatność niekontrolowanej rekurencji w funkcji SignatureReader.parseType(), która pozwala atakującemu wyczerpać stos poprzez głęboko zagnieżdżone sygnatury typów generycznych. Atakujący może dostarczyć spreparowany plik klas z długim atrybutem Signature zawierającym wiele zagnieżdżonych argumentów typu, aby wywołać StackOverflowError podczas transformacji klas, powodując odmowę usługi.

OW2 ASM 3.1 przed wersją 9.11 zawiera podatność nadmiernej alokacji pamięci w klasie AdviceAdapter z asm-commons, umożliwiającą atakującym wyczerpanie pamięci poprzez dostarczenie spreparowanych plików klas. Atakujący może stworzyć bajtkod z wieloma docelowymi skokami w konstruktorach, powodując nieograniczone kopiowanie stosu w forwardJumpStackFrames i alokację setek megabajtów, prowadząc do odmowy usługi.

OW2 ASM w wersjach od 3.0 do 9.11 zawiera podatność typu denial of service, która pozwala atakującemu wyczerpać CPU poprzez dostarczenie spreparowanych plików klas przetwarzanych z użyciem ClassWriter.COMPUTE_FRAMES. Atakujący może przygotować metody, które powodują wolne zbieganie nieograniczonego algorytmu punktu stałego MethodWriter.computeAllFrames(), zajmując wątki transformujące na nieograniczony czas.

OW2 ASM w wersjach od 3.0 do 9.11 zawiera podatność polegającą na kwadratowej alokacji pamięci w metodach MethodWriter.computeMaxStackAndLocal() oraz computeAllFrames() przy użyciu COMPUTE_MAXS lub COMPUTE_FRAMES. Atakujący może dostarczyć spreparowany plik klasy z tysiącami nakładających się handlerów wyjątków, co powoduje nadmierną alokację obiektów Edge i błąd OutOfMemoryError, który zawiesza JVM.

OW2 ASM w wersjach od 3.0 do 9.11 zawiera podatność niekontrolowanej rekurencji w metodzie ClassWriter.replaceAsmInstructions(), która pozwala atakującym wywołać odmowę usługi poprzez spreparowane pliki klas. Atakujący może dostarczyć klasę z dużą metodą zawierającą wiele długich skoków do przodu, co wywołuje nieograniczoną rekurencję w toByteArray() i błąd StackOverflowError podczas transformacji.

OW2 ASM w wersjach od 3.0 do 9.11 zawiera podatność nadmiernej alokacji pamięci w metodzie Label.addSubroutineRetSuccessors(), która nie egzekwuje reguły pojedynczego RET na JSR. Atakujący może dostarczyć spreparowany nieprawidłowy plik klasy z wieloma instrukcjami RET dla jednego JSR, co wywołuje alokację około 2 GB i zawiesza JVM.

OW2 ASM w wersjach od 5.0 do 9.11 zawiera podatność nadmiernej alokacji pamięci w metodzie ClassReader.readBootstrapMethodsAttribute(), która ustala rozmiar tablicy int na podstawie num_bootstrap_methods bez walidacji attribute_length. Atakujący może dostarczyć spreparowany plik klasy o rozmiarze około 100 bajtów, co wymusza alokację około 2 GB, powodując błąd OutOfMemoryError, który zawiesza JVM lub zużywa wątek.

svg-sanitizer to sanitizer SVG/XML w PHP. W wersjach przed 1.0.0 metoda Resolver::processReferences() w src/ElementReference/Resolver.php buduje graf referencji <use> z predykatem atrybutu href z rozróżnianiem wielkości liter, zanim cleanHrefAttributes() znormalizuje nazwy o mieszanej wielkości liter. Atakujący może podać xlink:HrEf w zagnieżdżonych elementach <use>, aby graf pominął te referencje, po czym sanitizer konwertuje atrybut do kanonicznego xlink:href i zwraca aktywną strukturę zagnieżdżenia bez zastosowania ochrony useNestingLimit. Aplikacja renderująca oczyszczony SVG może być narażona na wyczerpanie zasobów, któremu ma zapobiegać ta kontrola. Problem naprawiono w wersji 1.0.0.

NGINX Ingress Controller zawiera lukę przy implementacji polityki externalAuth dla ingress. Kontroler może nieprawidłowo obsłużyć odpowiedź HTTP od dostawcy tożsamości OAuth i pozwolić atakującemu uzyskać nieuwierzytelniony dostęp do chronionych ścieżek przed prawidłowym uwierzytelnieniem zewnętrznym.

Angular to platforma do budowania aplikacji webowych; w wersjach przed 20.3.31, 21.2.23 i 22.1.6 parser emulacji DOM w @angular/platform-server może wejść w nieskończoną pętlę synchroniczną, gdy renderowanie po stronie serwera przetwarza kontrolowany przez atakującego HTML zawierający niekompletny DOCTYPE kończący się białym znakiem na końcu danych. W Domino lib/HTMLParser.js stan after_doctype_name_state emituje tokeny doctype i EOF bez przesuwania nextchar, przez co skaner wielokrotnie przetwarza ten sam znacznik EOF. Zdalny nieuwierzytelniony atakujący może wykorzystać ten warunek przez ścieżki parsowania HTML po stronie serwera, takie jak wiązanie innerHTML, aby zużyć pełne CPU workera SSR Node.js, zagłodzić pętlę zdarzeń i zatrzymać równoczesne oraz kolejne żądania. Problem naprawiono w wersjach 20.3.31, 21.2.23 i 22.1.6.

NGINX JavaScript (njs) ma podatność, w której wbudowany silnik njs wycieka kontekst parsera libxml2, gdy xml.parse() zawiedzie. Ścieżka błędu nie rejestrowała czyszczenia i kontekst nie był zwalniany przez cały czas życia procesu. Nieuwierzytelniony atakujący może wysyłać żądania z nieprawidłowym XML i powodować nieograniczony wzrost pamięci w długotrwałych procesach roboczych NGINX.

Moduł njs XML w NGINX JavaScript (njs) ujawnia atrybuty XML oparte na encjach w sposób niespójny z kanonizacją libxml2. W backendach njs i QuickJS getter $attr$Name może zwrócić undefined dla jawnie obecnego atrybutu zawierającego wewnętrzne odwołanie do encji, a getter $attrs może zwrócić wartość pochodzącą tylko z pierwszego atrybutu potomnego. Może to pozwolić nieuwierzytelnionemu atakującemu na pominięcie walidacji przy jednoczesnym pomyślnym zweryfikowaniu podpisu.

Kaneo w wersji przed 2.1.6 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom uzyskać dostęp do innych przestrzeni roboczych, podając identyfikatory projektów, zadań, etykiet lub przestrzeni roboczych do tras API pozbawionych kontroli członkostwa. Atakujący, którzy zdobędą identyfikatory, na przykład z udostępnionych linków do projektów, mogą czytać projekty i zadania, modyfikować lub usuwać zadania, etykiety i komentarze oraz przeszukiwać zawartość przestrzeni roboczej.

PhysicsFS do wersji 3.2.0 zawiera podatność odczytu poza granicami w funkcji __PHYSFS_utf8codepoint(), umożliwiającą atakującym odczyt poza buforami nazw poprzez przesunięcie kursora o jeden bajt za daleko w sekwencjach UTF-8 o sześciu oktetach. Atakujący może dostarczyć spreparowane archiwum z nazwami wpisów kończącymi się sekwencjami sześciooktetowymi, powodując nadmierny odczyt w PHYSFS_utf8stricmp() i haszowaniu oraz awarię aplikacji.

Biblioteka office-converter do wersji 1.0.2 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego. Atakujący może przekazać spreparowaną nazwę pliku fileName do funkcji generatePdf() lub generateHtml(), osadzając $(...), backticki lub zamykający cudzysłów z metaznakami powłoki w nazwie pliku, która jest łączona z poleceniem unoconv uruchamianym przez child_process.exec(), co pozwala na wykonanie poleceń z uprawnieniami procesu Node.js.

Gravitee API Management w wersji do 4.12.22 zawiera lukę obejścia uwierzytelniania, która pozwala nieuwierzytelnionym zdalnym atakującym podszyć się pod dowolnego użytkownika poprzez sfałszowanie JWT podpisanych domyślnym, dostarczonym z produktem kluczem jwt.secret. Atakujący znający identyfikator istniejącego użytkownika może podpisać token HS256 z tym podmiotem i przedstawić go jako token bearer do Management API, podszywając się pod administratorów w celu uzyskania pełnej kontroli nad platformą.

DevIL w wersji do 1.8.0 zawiera przepełnienie bufora na stercie w funkcji iGetPalette() w pliku il_gif.cpp, które pozwala atakującym zapisywać poza buforem palety o rozmiarze 768 bajtów podczas ładowania obrazów GIF. Atakujący mogą dostarczyć spreparowany dwuklatkowy GIF, którego druga klatka używa metody disposal 1 z lokalną tabelą kolorów, zapisując do 384 kontrolowanych bajtów poza alokacją sterty i potencjalnie wykonując kod.

L-SMASH do wersji 2.14.5 zawiera podatność na nieskończoną pętlę w funkcji vc1_importer_probe() w pliku importer/vc1_imp.c. Atakujący może dostarczyć plik składający się wyłącznie z bajtów zerowych, który jest automatycznie sprawdzany przez lsmash_read_file(), powodując niekończące się zużycie CPU i odmowę usługi.

W jądrze Linux występuje zakleszczenie (deadlock) typu ABBA pomiędzy blokadami mmap_lock i disassociation_lock w podsystemie RDMA/uverbs. Wątek wykonujący mmap/fork zakłada blokady w kolejności mmap_lock → disassociation_lock, natomiast wątek wykonujący uverbs_user_mmap_disassociate() w kolejności odwrotnej, co prowadzi do możliwego zakleszczenia. Problem został rozwiązany poprzez usunięcie disassociation_lock i użycie istniejącej blokady hw_destroy_rwsem.

W jądrze Linux w sterowniku RDMA/efa procedura obsługi przerwania zarządzającego uzyskuje dostęp zarówno do kolejki ukończeń administracyjnych, jak i do kolejki zdarzeń asynchronicznych. Sterownik rejestrował przerwanie przed utworzeniem tych kolejek i niszczył je przed zwolnieniem przerwania, przez co czas życia procedury obsługi nie był ograniczony przez zasoby, do których się odwołuje. Poprawka inicjalizuje kolejki z zamaskowanymi przerwaniami, rejestruje przerwanie, a następnie przełącza w tryb przerwań, a przy usuwaniu resetuje urządzenie i zwalnia przerwanie przed zniszczeniem kolejek.