Katalog podatności CVE

Budibase Server przed wersją 3.41.3 zawiera podatność na SSRF w punkcie końcowym weryfikacji źródła danych, która pozwala użytkownikom na poziomie buildera podawać dowolne adresy URL bez walidacji SSRF. Atakujący mogą wykorzystać to do wycieku wewnętrznych poświadczeń CouchDB, wysyłając żądania do serwerów kontrolowanych przez atakującego, uzyskując pełny dostęp do bazy danych w wdrożeniach chmurowych.

Budibase przed wersją 3.41.3 zawiera podatność braku autoryzacji w punkcie końcowym POST /api/resources/duplicate, która pozwala uwierzytelnionym builderom wstrzykiwać tabele, automatyzacje, zapytania i ekrany do dowolnej innej aplikacji bez posiadania roli w docelowym workspace. Atakujący mogą wstrzykiwać zasoby, podając dowolny identyfikator docelowego workspace w treści żądania, a następnie uruchamiać wstrzyknięte automatyzacje z wychodzącymi webhookami, aby eksfiltrować dane z aplikacji ofiary.

Budibase backend-core (@budibase/backend-core, używany przez @budibase/server) pomija zakres adresów współdzielonych 100.64.0.0/10 z domyślnej czarnej listy SSRF (DEFAULT_BLACKLIST) używanej przez podgląd zapytań REST. Gdy domyślna czarna lista jest aktywna (tj. samodzielne wdrożenie nie zdefiniowało BLACKLIST_IPS), uwierzytelniony użytkownik z uprawnieniami Buildera może wysłać żądanie podglądu zapytania REST do POST /api/queries/preview, kierując je do osiągalnego serwisu HTTP(S) w zakresie 100.64.0.0/10, co powoduje, że serwer wysyła żądanie do tego celu i zwraca odpowiedź przez przepływ podglądu. Według porady, nie zidentyfikowano wydanej poprawki w momencie publikacji; remediacja polega na dodaniu 100.64.0.0/10 do DEFAULT_BLACKLIST.

Budibase przed wersją 3.41.3 nie waliduje przypisań ról buildera w zakresie aplikacji w publicznych punktach końcowych tworzenia i aktualizacji użytkowników, co pozwala uwierzytelnionemu builderowi w zakresie aplikacji przyznać dostęp buildera do niepowiązanych aplikacji. Atakujący mogą wysyłać spreparowane żądania do API aktualizacji użytkownika z polami builder.apps, aby eskalować uprawnienia i uzyskać nieautoryzowany dostęp buildera do innych aplikacji w tym samym tenant.

Budibase przed wersją 3.41.3 nie egzekwuje ograniczeń ról per tabela na punkcie końcowym POST /api/datasources/query, co pozwala użytkownikom z niskimi uprawnieniami BASIC odczytywać, tworzyć, aktualizować lub usuwać wiersze w dowolnej tabeli niezależnie od skonfigurowanych uprawnień. Atakujący z rolą BASIC mogą wysyłać spreparowane żądania zapytań z identyfikatorami docelowych tabel, aby ominąć kontrolę dostępu na poziomie tabel i manipulować ograniczonymi danymi.

SiYuan przed wersją v3.8.1 zawiera podatność na SSRF w narzędziach agenta http_request i web_fetch, które wykonują rozwiązywanie DNS tylko w czasie guard, bez walidacji rozwiązywania w czasie połączenia. Atakujący mogą użyć DNS rebinding, aby odpowiedzieć na guard rozwiązywaniem z publicznym IP, a na połączenie z prywatnym lub metadata IP, omijając obronę SSRF i uzyskując dostęp do metadanych instancji chmury i usług wewnętrznych.

Rozszerzenie Joomla - Jefferson49 - Nieuwierzytelniona ślepa podatność SQLi w Sexy Polling Reloaded < 5.6.1.

W rozszerzeniu DP Calendar dla Joomla (digital-peak.com) w wersjach 7.0.0-8.19.5 oraz 9.0.0-10.12.0 występuje uwierzytelniona, uprzywilejowana podatność stored XSS. Tytuł lokalizacji jest renderowany w atrybucie data bez escapowania, co prowadzi do XSS; wymagane jest uprawnienie do tworzenia w DPCalendar.

Atakujący posiadający token przeznaczony do innego celu może się uwierzytelnić, ponieważ gdy odpowiedź tokena OAuth2 nie zawiera claimu scope, claim audience jest używany w jego miejsce i sprawdzany względem skonfigurowanych wymaganych zakresów. Są to różne koncepcje, a claim audience nie opisuje, co token może robić. Token, który nie przyznaje żadnych istotnych uprawnień, może zostać zaakceptowany, ponieważ jego wartość zamierzonego odbiorcy przypadkowo pasuje do skonfigurowanej nazwy zakresu, przyznając dostęp, który powinien być zabroniony. Ukrywa to również błędną konfigurację dostawcy tożsamości, gdzie zakresy nie są w ogóle wydawane. Upewnij się, że dostawca tożsamości wydaje claim scope dla wszystkich tokenów używanych z Dovecot i że skonfigurowane nazwy zakresów nie pasują do wartości audience. Zaktualizuj do niepodatnej wersji. Nie są znane publicznie dostępne exploity.

Nieuwierzytelniony atakujący może wysłać polecenie IMAP ID z bardzo dużą liczbą parametrów przed zalogowaniem, co powoduje nieproporcjonalny wzrost użycia pamięci i CPU. Proces logowania może zostać zakończony przez obsługę braku pamięci, co również kończy wszystkie inne połączenia obsługiwane przez ten sam proces. Może to powodować degradację lub odmowę usługi dla logowań IMAP. Ogranicz liczbę połączeń obsługiwanych przez pojedynczy proces imap-login. Ma to jednak wpływ na wydajność. Zaktualizuj do niepodatnej wersji. Nie są znane publicznie dostępne exploity.

Brak dostępnych informacji o podatności. Nie są znane publicznie dostępne exploity.

Nieuwierzytelniony atakujący może spowodować awarię procesu logowania ManageSieve, wysyłając małe, źle sformułowane polecenie przed uwierzytelnieniem. W trybie wysokiego bezpieczeństwa (domyślnym dla wydań społecznościowych) kończy się tylko połączenie atakującego. W trybie wysokiej wydajności (domyślnym dla wydań Pro) kończą się wszystkie połączenia obsługiwane przez ten sam proces managesieve-login. Powtarzanie ataku może spowodować denial of service dla zarządzania skryptami Sieve.

Atakujący, który może wysłać wiadomość do użytkownika, może stworzyć wiadomość z bardzo dużą liczbą adresów e-mail lub parametrów MIME w nagłówkach, co powoduje nadmierne zużycie pamięci podczas późniejszego parsowania wiadomości. Wiadomość jest nadal dostarczana, ale odczytanie jej przez IMAP może wyczerpać limit pamięci procesu i go zakończyć, powodując denial of service dla danego użytkownika.

W jądrze Linux naprawiono podatność w ptp: vmclock, która pozwalała na zmianę mapowania strony tylko do odczytu na zapisywalną. Funkcja vmclock_miscdev_mmap() odrzucała zapisywalne mapowania strony ABI vmclock z błędem -EROFS, ale pozostawiała flagę VM_MAYWRITE. Użytkownik mógł zmapować stronę jako tylko do odczytu, a następnie uaktualnić ją do zapisywalnej za pomocą mprotect(), co pozwalało gościowi na uszkodzenie danych czasu przechowywanych przez hosta (licznik sekwencji, czas UTC, offset TSC), które są zdefiniowane jako tylko do odczytu. Poprawka polega na wyczyszczeniu flagi VM_MAYWRITE na ścieżce tylko do odczytu, aby uniemożliwić uaktualnienie mapowania.

W jądrze Linux naprawiono podatność w of: reserved_mem, która powodowała zapis poza granicami tablicy, gdy zdefiniowano zbyt wiele dynamicznych regionów. Podczas uruchamiania funkcja fdt_scan_reserved_mem() zapisuje każdy dynamicznie umieszczony podwęzeł /reserved-memory do lokalnej tablicy o rozmiarze MAX_RESERVED_REGIONS. Jeśli drzewo urządzeń definiuje więcej niż MAX_RESERVED_REGIONS dynamicznie umieszczonych regionów, funkcja zapisuje poza koniec lokalnej tablicy. Poprawka dodaje sprawdzenie granic, które loguje błąd i pomija nadmiarowe regiony, przywracając oryginalne zachowanie.

W jądrze Linux naprawiono podatność w wifi: mac80211, która dotyczyła walidacji parametrów TWT przed konfiguracją sterownika. Funkcja ieee80211_process_rx_twt_action() tylko częściowo waliduje odebraną ramkę S1G TWT setup przed jej zakolejkowaniem. Indywidualne porozumienie może dotrzeć do ieee80211_s1g_rx_twt_setup() z twt->length zbyt krótkim dla pełnej struktury ieee80211_twt_params. Ścieżka indywidualna przekazuje twt do drv_add_twt_setup(). Zarówno tracepoint, jak i callback sterownika konsumują pełny blok parametrów, a nie tylko req_type. Poprawka nie przekazuje krótkiego indywidualnego porozumienia do sterownika. Porozumienia rozgłoszeniowe pozostają niezmienione, ponieważ są odrzucane lokalnie po uzyskaniu dostępu tylko do req_type.

W jądrze Linux naprawiono podatność w Bluetooth: ISO, która dotyczyła pozostawania wiszących referencji hcon w iso_conn. Po iso_conn_del(), gniazda ISO nie powinny już dereferencjonować hcon. Obecnie wyczyszczenie iso_conn::hcon polega na tym, że iso_conn_del() zwalnia ostatnią referencję do iso_conn. Poprawka upraszcza to przez jawne wyczyszczenie conn->hcon w iso_conn_del(), aby uniknąć bardziej złożonego rozumowania na temat wyścigów o to, kto trzyma ostatnią referencję.

W jądrze Linux naprawiono podatność w iomap, która powodowała zakleszczenie. Funkcja iomap_split_ioend może dzielić biosa, które już pochodzą z iomap_ioend_bioset, co prowadzi do zakleszczenia, gdy bioset jest wyczerpany. Poprawka dodaje oddzielny bioset, aby uniknąć tego zakleszczenia. Dodatkowo oznaczono iomap_ioend_split_bioset jako statyczny, ponieważ jest używany tylko w ioend.c, co naprawia ostrzeżenie sparse zgłoszone przez kernel test robot.

W jądrze Linux naprawiono podatność w mm/percpu-km, która powodowała przepełnienie bitmapy i błędy w księgowaniu w funkcji pcpu_create_chunk(). W pcpu_create_chunk(), nr_pages to całkowita ciągła alokacja zapasowa, czyli nr_units * pcpu_unit_pages, ale pcpu_chunk_populated() używa jej do ustawienia chunk->populated, którego rozmiar bitmapy to pcpu_unit_pages. Ponieważ bit N w chunk->populated oznacza, że offset strony N wewnątrz każdej jednostki jest wspierany, gdy nr_units > 1, funkcja zapisuje poza chunk->populated. Poprawka używa chunk->nr_pages. Naprawia to również globalne księgowanie pcpu_nr_empty_pop_pages, ponieważ pcpu_balance_free() iteruje tylko do chunk->nr_pages. Problem został wprowadzony przez commit a63d4ac4ab609, a później commit b539b87fed37f dodał pcpu_nr_empty_pop_pages i spowodował problem księgowania.

W jądrze Linux w protokole SCTP parametr Adaptation Indication nie był poprawnie walidowany pod względem długości. Akceptowano parametr zawierający tylko nagłówek, co prowadziło do odczytu poza zadeklarowanym obszarem i potencjalnego ujawnienia czterech bajtów z bufora odbiorczego.