Katalog podatności CVE

Zgłoszenie CVE zostało odrzucone, ponieważ dalsze badania wykazały, że problem nie jest podatnością.

CallBackery w wersjach przed 0.62.0 dla Perla przechowuje hasła użytkowników jako niesolone skróty HMAC-SHA1. Hasła są hashowane funkcją hmac_sha1_sum() z Mojo::Util bez klucza, bez soli i bez współczynnika pracy, więc identyczne hasła dają identyczne skróty, a odgadywanie jest szybkie.

Business::GoCardless w wersjach przed 1.01 dla Perla kończy przepływy przekierowania bez sprawdzania tokenu sesji, pozwalając na utworzenie płatności wobec mandatu innego klienta przy użyciu ujawnionego identyfikatora przepływu. confirm_resource nie pobiera tokenu sesji od wywołującego i zawsze akceptuje przepływ, a od wersji 1.00 przepływ z mandatem jest zwracany jako potwierdzony bez ponownego kończenia.

Business::GoCardless w wersjach przed 1.01 dla Perla akceptuje sfałszowane webhooki, gdy skonfigurowany sekret webhooka jest undef lub pusty. signature_valid używa każdego sekretu jako klucza HMAC, a Digest::SHA traktuje undef i pusty ciąg jako pusty klucz.

Business::GoCardless w wersjach przed 1.01 dla Perla pozwala na wyczerpanie pamięci przez spłaszczanie ładunków starszych webhooków przed sprawdzeniem ich podpisu. Ładunek z kluczem najwyższego poziomu "payload" jest spłaszczany do par klucz-wartość, gdzie długi klucz z długą tablicą kosztuje pamięć proporcjonalną do iloczynu ich długości.

CallBackery w wersjach przed 0.62.0 dla Perla wysyła użytkownikom ich własny skrót hasła oraz notatkę administracyjną przez getUserConfig. getUserConfig() zwraca cały wiersz cbuser, a getTableData() i getAllFieldValues() zwracają notatkę użytkownikom bez uprawnień administratora.

CallBackery w wersjach przed 0.62.0 dla Perla akceptuje nieoczekiwane wartości w polach formularzy sprawdzanych przez createRxValidator. Funkcja buduje /^${rx}$/ bez grupowania wzorca, więc alternatywa taka jak yes|no akceptuje wartości zaczynające się od yes lub kończące na no, a $ akceptuje wartość z końcowym znakiem nowej linii.

CallBackery w wersjach przed 0.62.0 dla Perla pozwala na wstrzyknięcie do logów przez znaki nowej linii w nazwie logowania. login() zapisuje nazwę logowania do logu aplikacji bez ucieczki znaków kontrolnych, a metoda RPC logowania nie wymaga uwierzytelnienia.

CallBackery w wersjach przed 0.62.0 dla Perla pozwala na atak odmowy usługi przez interpolację ścieżki żądania jako wyrażenia regularnego w CGI, FastCGI i PSGI. Hook before_dispatch usuwa PATH_INFO z końca URI podstawieniem, które interpoluje PATH_INFO bez cytowania, więc klient wybiera zarówno wzorzec, jak i dopasowywany ciąg.

CallBackery w wersjach przed 0.62.0 dla Perla pozwala na wykonanie poleceń systemowych przez polecenia powłoki sqlite3 w przywracanej kopii konfiguracji. restoreConfigBlob() przekazuje zrzut bazy do powłoki sqlite3, która wykonuje linie zaczynające się od kropki jako własne polecenia, więc .shell lub .system uruchamia polecenie systemowe, a .load ładuje kod natywny.

W CallBackery w wersjach przed 0.62.0 dla Perla kopie zapasowe konfiguracji są szyfrowane kluczem AES utworzonym przez dopełnienie hasła znakami "x" i przycięcie do 32 bajtów, bez soli i bez derywacji klucza. Pierwszy blok kopii zawiera 16-znakowe pole długości w formacie hex, więc odszyfrowanie jednego bloku potwierdza zgadywane hasło z pełną prędkością AES.

W CallBackery w wersjach przed 0.62.0 dla Perla podczas tworzenia kopii zapasowej konfiguracji pozostawiany jest w /tmp zrzut bazy danych konfiguracji z uprawnieniami do odczytu dla wszystkich. Funkcja getConfigBlob() zleca powłoce sqlite3 zapis zrzutu do /tmp/cbdump<pid> i nigdy go nie usuwa; plik dziedziczy umask procesu, a podłożony w tej przewidywalnej nazwie dowiązanie symboliczne jest podążane.

W CallBackery w wersjach przed 0.60.1 dla Perla nieuwierzytelnieni klienci mogą odczytać POD dowolnego pliku poprzez path traversal w trasie /doc. Trasa przekazuje żądaną nazwę do Pod::Simple::Search->find bez walidacji, a find dzieli nazwę po "::" i łączy części w ścieżkę pliku, więc nazwa taka jak "..::..::..::etc::motd" wychodzi poza @INC.

W HTTP::Parser::XS w wersjach przed 0.18 dla Perla funkcja parse_http_request obcina PATH_INFO na zakodowanym bajcie NUL. Parser XS dekoduje URL ścieżki żądania i mierzy wynik za pomocą strlen(), więc PATH_INFO kończy się na pierwszym bajcie zdekodowanym z %00; backend czysto perlowy nie jest dotknięty.

W Starlet w wersjach od 0.20 przed 0.33 dla Perla występuje wyczerpanie pamięci przez nieograniczone buforowanie przy dekodowaniu ciał żądań w formacie chunked. Dekoder dodaje każdy odczyt do jednego bufora nieprzetworzonego wejścia; nic nie ogranicza długości wiersza rozmiaru chunka, więc wiersz bez CRLF powiększa bufor tak długo, jak klient wysyła dane, a limit czasu odczytu restartuje się po każdym odczycie; dane dużego chunka są również trzymane w buforze do nadejścia całego chunka.

W Starlet w wersjach przed 0.33 dla Perla odpowiedzi na żądania HEAD zawierają ciało, co psuje kolejną odpowiedź na połączeniu trwałym lub potokowym. Metoda żądania nie jest przekazywana do writera odpowiedzi, więc ciało zwrócone przez aplikację dla HEAD jest wysyłane; z Plack::Middleware::Head ciało jest puste, ale odpowiedź HTTP/1.1 bez nagłówka Content-Length i tak otrzymuje terminator kodowania chunked; odpowiedzi ze statusem 204 lub 304 są również wysyłane z ciałem.

W Starlet w wersjach od 0.20 przed 0.33 dla Perla występuje wyczerpanie CPU przez backtracking wyrażeń regularnych przy dekodowaniu ciał żądań w formacie chunked. Wiersz rozmiaru chunka jest dopasowywany jako ciąg cyfr hex, następnie .* i CRLF; ciąg zakończony samym LF, a potem CRLF, nigdy nie pasuje, a silnik ponawia dopasowanie raz na każdą cyfrę, więc czas rośnie z kwadratem długości ciągu; nic nie ogranicza długości ciągu, który może obejmować kilka odczytów.

W Starlet w wersjach przed 0.33 dla Perla żądanie deklarujące duży Content-Length może zabić worker przez wyczerpanie pamięci. Ciało żądania jest czytane w pętli, która prosi sysread o całą pozostałą zadeklarowaną długość naraz; Perl powiększa bufor odczytu do tego rozmiaru przed nadejściem jakichkolwiek danych, więc długość większa niż dostępna pamięć powoduje zakończenie workera nieprzechwytywalnym błędem braku pamięci, zanim aplikacja zostanie wywołana.

FOSSBilling w wersjach przed 0.8.9 zawiera podatność Cross-Site Request Forgery w punkcie logowania personelu (POST /api/guest/staff/login). Funkcja checkGuestClientAuthentication() zezwala tylko na client_login i client_create, pozostawiając staff_login bez walidacji CSRF lub Origin, co pozwala zdalnym atakującym wymusić uwierzytelnienie.

Dell OpenManage Enterprise w wersjach przed 4.8.0 zawiera podatność na nieprawidłową neutralizację specjalnych elementów w poleceniach SQL (SQL Injection). Użytkownik z niskimi uprawnieniami mający dostęp zdalny może potencjalnie wykorzystać tę podatność, prowadząc do ujawnienia informacji.