Katalog podatności CVE

FFmpeg przed commit 983dae9 zawiera podatność odczytu poza zakresem w pakieteryzatorze RTP dla AV1 (libavformat/rtpenc_av1.c). Pętla wykrywająca klatki kluczowe, która szuka nagłówka sekwencji OBU, przesuwa wskaźnik i licznik pozostałego rozmiaru o długość zakodowanego nagłówka plus rozmiar ładunku OBU bez wcześniejszego ograniczenia rozmiaru OBU względem pozostałych danych. Specjalnie spreparowany rozmiar OBU powoduje zawinięcie licznika pozostałego rozmiaru do wartości dodatniej, co powoduje, że następna iteracja pętli dereferencjonuje wskaźnik poza końcem bufora pakietu. Spreparowany pakiet wejściowy AV1 multipleksowany do RTP wyzwala odczyt poza zakresem.

FFmpeg przed commit 65b0dab zawiera podatność odczytu poza zakresem w demuxerze DASH (libavformat/dashdec.c). Gdy manifest DASH na żywo jest odświeżany z numerem startNumber niższym niż poprzednia wartość, bieżący numer sekwencji staje się ujemny. Funkcja pobierania fragmentów sprawdzała tylko górną granicę przed indeksowaniem tablicy fragmentów, co pozwalało na użycie ujemnego indeksu i powodowało odczyt poza zakresem. Złośliwy lub źle skonfigurowany serwer DASH może to wywołać, serwując manifest na żywo z malejącym startNumber podczas odświeżania manifestu.

FFmpeg przed commit b4c199c zawiera nieprawidłową konwersję zawężającą liczb całkowitych w pakiecie RTP AV1 (libavformat/rtpenc_av1.c). Rozmiar OBU jest rzutowany na long przed porównaniem z pozostałym rozmiarem ramki. Na platformach, gdzie long ma 32 bity, w tym 64-bitowe Windows, odpowiednio duże wartości rozmiaru OBU są zmieniane znakowo przez zawężającą konwersję, co daje wartość ujemną, która przechodzi kontrolę rozmiaru ładunku. To pozwala na obejście zabezpieczeń przez zbyt duży OBU na dotkniętych platformach, prowadząc do dostępu do pamięci poza zakresem, gdy nadmierna wartość jest następnie używana jako długość kopiowania.

FFmpeg przed commit 1cdeb3c zawiera podatność przepełnienia bufora sterty w pakieteryzatorze RTP dla VC-2/Dirac (libavformat/rtpenc_vc2hq.c), która pozwala atakującym na wywołanie uszkodzenia pamięci poprzez dostarczenie spreparowanej jednostki danych Dirac. Pakieteryzator kopiuje rozmiar jednostki danych lub fragmentu pochodzącego z wejścia do bufora o stałym rozmiarze bez sprawdzenia górnej granicy, co powoduje przepełnienie bufora sterty, gdy spreparowane wejście jest pakieteryzowane do wyjścia RTP.

FFmpeg przed commit 1c10bcc zawiera przepełnienie bufora na stercie w czytniku protokołu RIST (libavformat/librist.c). Funkcja librist_read() ignoruje argument rozmiaru i kopiuje pełną długość odebranego pakietu do bufora docelowego, co prowadzi do przepełnienia, gdy pakiet jest większy niż bufor. Błąd jest osiągalny przez schemat URL async:rist://, gdzie wrapper async dostarcza mniejszy bufor niż odebrany pakiet.

FFmpeg przed commit 9d786e4 zawiera podatność przepełnienia bufora stosu w multiplekserze MPEG-PS (libavformat/mpegenc.c). Podczas multipleksowania wejścia z większą liczbą strumieni niż mieści się w buforze o stałym rozmiarze na stosie, bufor jest przepełniany. Spreparowane wejście z nadmierną liczbą strumieni wyzwala przepełnienie podczas multipleksowania MPEG-PS.

FFmpeg przed commit acf5d7c zawiera podatność przepełnienia bufora sterty w pisarzu pudełka hvcC. Podczas zapisywania rekordu konfiguracji HEVC z większą liczbą jednostek NAL danego typu niż pole licznika może reprezentować, licznik jednostek NAL przepełnia się, co powoduje przepełnienie bufora sterty. Spreparowany plik wejściowy HEVC wyzwala przepełnienie podczas multipleksowania.

W operatorze search-v2-operator znaleziono błąd, który pozwala uprzywilejowanemu użytkownikowi (edytorowi Custom Resource) manipulować polami Search CR, takimi jak imageOverride, argumenty i zmienne środowiskowe, bez odpowiedniej walidacji. Atakujący może zamontować dowolne sekrety w środowisku kontenera wyszukiwania lub podmienić obraz kontenera na kontrolowany przez atakującego, co prowadzi do eskalacji uprawnień i potencjalnego pełnego przejęcia klastra.

Flow-Like przed wersją 1.0.4 przyznaje członkom aplikacji z uprawnieniami ExecuteEvents, ale bez uprawnień ReadFiles i WriteFiles, poświadczenia SAS do Azure Blob Storage z prawami zapisu i usuwania do treści aplikacji. Nawet gdy wybrano tryb InvokeNone, token SAS nadal zawiera uprawnienia rwdl dla prefiksu aplikacji.

W platformie Wazuh od wersji 4.3.0 do 4.14.6 oraz 5.0.0-beta3, funkcja process_files_from_worker() w framework/wazuh/core/cluster/master.py ufa kontrolowanemu przez peera kluczowi file_path z pliku files_metadata.json. Ścieżka docelowa jest łączona z WAZUH_PATH bez sprawdzenia, czy pozostaje w wybranym katalogu. Peer klastra posiadający wspólny klucz Fernet może przesłać spreparowane archiwum i nadpisać wrażliwe pliki, takie jak /var/ossec/etc/ossec.conf, co może prowadzić do wykonania kodu po przeładowaniu usług.

Wazuh to darmowa platforma open source używana do zapobiegania, wykrywania i reagowania na zagrożenia. Od wersji 4.6.0 do 4.14.6 oraz 5.0.0-beta3, funkcje DB::getFile() i DB::searchFile() w src/syscheckd/src/db/src/file.cpp łączą ścieżkę monitorowanego pliku z filtrami wierszy SQLite. Na systemach innych niż Windows, FIMDBCreator::encodeString() nie escapuje wartości. Lokalny użytkownik, który może utworzyć nazwę pliku w katalogu monitorowanym przez FIM, może wstrzyknąć wyrażenie UNION SELECT, gdy wazuh-syscheckd przetwarza lub usuwa tę ścieżkę. Potwierdzony prymityw manipuluje zestawami wyników SELECT używanymi przez kod FIM; nie wykazano instrukcji skumulowanych ani zdalnego wykonania kodu. Problem naprawiono w wersjach 4.14.6 i 5.0.0-beta3.

W platformie Wazuh od wersji 4.0.0 do 4.14.6 oraz 5.0.0-beta3, funkcja DistributedAPI.send_tmp_file() w framework/wazuh/core/cluster/dapi/dapi.py łączy kontrolowaną przez atakującego wartość tmp_file z WAZUH_PATH bez kanonizacji lub ograniczenia. Peer klastra posiadający wspólny klucz Fernet może użyć traversal lub ścieżki bezwzględnej, aby zmusić mastera do zwrócenia dowolnego czytelnego pliku przez kanał klastra. Odczytanie /var/ossec/api/configuration/security/private_key.pem pozwala na sfałszowanie tokenów administratora REST API i wykonywanie uprawnień administracyjnych bez tworzenia konta.

W platformie Wazuh od wersji 4.0.0 do 4.14.6 oraz 5.0.0-beta3, funkcja cluster.unmerge_info() w framework/wazuh/core/cluster/cluster.py konstruuje ścieżki z kontrolowanych przez peera wartości merge_type i name w scalonym archiwum synchronizacji. Funkcja process_files_from_worker() w framework/wazuh/core/cluster/master.py nie ogranicza odpowiednio wynikowej ścieżki do zadeklarowanego katalogu elementu klastra. Peer klastra posiadający wspólny klucz Fernet może użyć traversal w files_metadata.json lub nagłówku scalonego pliku, aby zapisać pliki takie jak /var/ossec/etc/ossec.conf, co może prowadzić do wykonania kodu po przeładowaniu usług Wazuh.

Wazuh to darmowa platforma open source używana do zapobiegania, wykrywania i reagowania na zagrożenia. Od wersji 4.5.0 do 4.14.6 i 5.0.0-beta2, funkcja compare_wazuh_versions() w src/shared/version_op.c kopiuje kontrolowane przez atakującego pole V z rejestracji do 10-bajtowego bufora na stosie za pomocą strncpy(), ale nie kończy jawnie bufora. Funkcja jest osiągalna przed uwierzytelnieniem przez wazuh-authd na porcie TCP 1515, gdy włączone jest anonimowe uwierzytelnianie TLS. Ciąg wersji o długości co najmniej dziewięciu niezerowych bajtów może spowodować, że strchr() i strtok() będą czytać poza ver2 i mogą sprawić, że strtok() zapisze bajt zerowy do sąsiedniej pamięci stosu, umożliwiając zdalną odmowę usługi. Problem został naprawiony w wersjach 4.14.6 i 5.0.0-beta2.

Wazuh od wersji 4.0.0 do 4.14.6 oraz 5.0.0-beta2 zawiera podatność w funkcji AffectedItemsWazuhResult.merge() w framework/wazuh/core/results.py, która ufa polu sort_casting w odpowiedzi JSON od pracownika klastra. Podczas scalania odpowiedzi API, nazwy typów kontrolowane przez atakującego są rozwiązywane przez wbudowane funkcje Pythona bez listy dozwolonych. Zainfekowany pracownik może ustawić sort_casting na exec i umieścić kod Pythona w affected_items, co powoduje wykonanie kodu przez mastera jako root podczas scalania odpowiedzi z wielu węzłów. Problem został naprawiony w wersjach 4.14.6 i 5.0.0-beta2.

Wazuh to darmowa platforma open source używana do zapobiegania, wykrywania i reagowania na zagrożenia. Od wersji 4.4.0 do 4.14.6 oraz 5.0.0-beta2, api/api/middlewares.py dekoduje nazwę użytkownika Basic authentication przed weryfikacją poświadczeń i przekazuje ją do loggera dostępu bez neutralizowania znaków kontrolnych. api/api/alogging.py interpoluje tę wartość do logu API w formacie tekstowym. Nieuwierzytelniony atakujący może umieścić znaki powrotu karetki lub nowej linii w nazwie użytkownika, aby sfałszować wpisy, ukryć aktywność lub zatruć systemy konsumujące tekstowy log audytowy. Format logu JSON nie jest dotknięty, ponieważ serializacja JSON escapuje te znaki. Problem naprawiono w wersjach 4.14.6 i 5.0.0-beta2.

Wazuh to darmowa platforma open source używana do zapobiegania, wykrywania i reagowania na zagrożenia. Od wersji 4.0.0 do 4.14.6 oraz 5.0.0-beta2, AuthenticationManager.check_user() w framework/wazuh/rbac/orm.py wykonuje check_password_hash() tylko wtedy, gdy podana nazwa użytkownika istnieje. Nieistniejąca nazwa użytkownika zwraca natychmiast, podczas gdy prawidłowa nazwa powoduje kosztowne obliczenie bcrypt. Nieuwierzytelniony zdalny atakujący może porównać czasy odpowiedzi uwierzytelniania, aby wyliczyć prawidłowe nazwy użytkowników Wazuh i wykorzystać te informacje w późniejszych atakach na poświadczenia. Problem naprawiono w wersjach 4.14.6 i 5.0.0-beta2.

Wazuh od wersji 4.9.0 do 4.10.4 oraz 4.14.6 zawiera podatność w punkcie końcowym PUT /security/users/{user_id} w api/api/controllers/security_controller.py, gdzie przekazywany jest request.get("user") zamiast request.context['token_info']['sub'] jako current_user. Funkcja remove_nones_to_dict() usuwa wynikową wartość None, więc ochrona kont zarezerwowanych w framework/wazuh/security.py nie może zweryfikować, kto wykonuje żądanie. Uwierzytelniony użytkownik z rolą users_admin może nadpisać hasło chronionych kont administratora o identyfikatorach do 99, w tym superużytkownika wazuh, i uzyskać pełną kontrolę administracyjną. Problem został naprawiony w wersjach 4.10.4 i 4.14.6.