Katalog podatności CVE

Parser adresów Nodemailer ma trzy opublikowane i załatane poprawki dotyczące obsługi komentarzy RFC 5322 w addr-spec. Opis obejmuje wcześniejsze problemy ze sklejaniem atomów domeny i lokalnej części oraz powiązane poprawki ReDoS.

Parser odpowiedzi klienta SMTP w Nodemailer składa wielowierszowe odpowiedzi serwera, dołączając każdą linię kontynuacji do jednego wpisu i ponownie testując, czy jest to odpowiedź częściowa. Test częściowej odpowiedzi wykonuje operacje na łańcuchach przy każdej linii, co może prowadzić do nieefektywnego przetwarzania.

Biblioteka net-ssh ufa 4-bajtowemu polu długości pakietu przesyłanego przez sieć, nie ograniczając go do wartości 35000 bajtów zgodnie z RFC 4253 §6.1. Złośliwy serwer może przed wymianą kluczy (w trybie jawnym) zadeklarować dowolnie dużą długość pakietu i przesyłać dane, powodując nieograniczony wzrost zużycia pamięci po stronie klienta przed uwierzytelnieniem.

Metoda Net::SSH::Transport::ServerVersion#read! dołącza każdy odebrany bajt do @version aż do napotkania znaku nowej linii, a następnie kopiuje do @header, bez limitu długości linii ani całkowitej liczby bajtów. Złośliwy serwer wysyłający długą linię identyfikacyjną bez znaku LF powoduje nieograniczony wzrost zużycia pamięci.

Podczas ładowania spreparowanego klucza prywatnego ed25519 zawierającego ogromną liczbę rund, net-ssh wchodzi w nieskończoną pętlę zużywającą czas CPU przez bardzo długi czas podczas próby załadowania klucza. To, że klucz nie jest prawdziwym kluczem SSH, nie ma w tym przypadku znaczenia.

Opcja raw: true dla pojedynczego żądania była ignorowana przez niektóre metody odczytu, które nadal uruchamiały load skonfigurowanego serializera (domyślnie Marshal) na wartościach oznaczonych jako serializowane — dotyczy m.in. get_multi, get_multi_cas, get_multi_with_metadata, get_cas i get_with_metadata.

Gdy klient ma skonfigurowany namespace, żądanie, które napotkało przejściowy błąd sieciowy (timeout lub zamknięcie połączenia przez memcached lub proxy), było ponawiane z namespace zastosowanym po raz drugi, przez co app:x stawało się app:app:x.

Podatność w bibliotece Sanitize pozwala obejść mechanizmy sanityzacji CSS, gdy dozwolone są elementy <style> lub gdy używane są metody Sanitize::CSS#stylesheet, Sanitize::CSS#tree! lub osadzane są właściwości z Sanitize::CSS#properties. Atakujący może wstrzyknąć złośliwy kod CSS, co może prowadzić do wykonania niebezpiecznych działań w przeglądarce użytkownika.

Podatność w bibliotece Mail dotyczy funkcji q_value_decode i b_value_decode, które dekodują tylko pierwsze zakodowane słowo RFC 2047 w ciągu znaków i używają zbyt zachłannego wzorca do dopasowania tokenu zestawu znaków. Specjalnie spreparowane, nieprawidłowe zakodowane słowo osadzone w nazwie wyświetlanej adresu lub części lokalnej może spowodować nieprawidłowe dekodowanie.

Funkcja decNumberCopy w pliku decNumber.c w jq do wersji 1.7.1 nieprawidłowo traktuje wartość NaN jako liczbową, co prowadzi do przepełnienia bufora na stosie i zapisu poza zakresem. Problem można wykorzystać na przykład przez użycie opcji --slurp z operacją odejmowania, taką jak filtr .-. przy odpowiednio spreparowanym wejściu.

Tokeny p_token i l_token były sprawdzane tylko pod kątem CR, LF i NUL. Token zawierający spacje pozwalał dodać dowolne flagi meta do polecenia — np. zmianę TTL elementu przy odczycie, tworzenie elementów zastępczych przy chybieniu, zamianę delete na stale tombstone czy wybór wartości początkowej incr.

Catdoc v0.95 zawiera dereferencję wskaźnika NULL w komponencie xls2csv w pliku src/xlsparse.c. Może to prowadzić do awarii aplikacji.

Biblioteka libraw 20.0 zawiera podatność polegającą na dereferencji wskaźnika NULL w funkcji parse_tiff_ifd w pliku src/metadata/tiff.cpp. W zależności od kontekstu może to prowadzić do wykonania dowolnego kodu. Podatność występuje tylko przy określonym sposobie kompilacji oprogramowania.

W jądrze Linux w podsystemie Bluetooth (hci_conn) użyto funkcji disable_delayed_work_sync zamiast cancel_delayed_work_sync, co nie tylko anuluje trwające prace, ale także wyłącza możliwość dodawania nowych zadań, co jest pożądane.

W libdoc do 2019-01-28 funkcja calcFileBlockOffset w ole.c pozwala na dzielenie przez zero. Może to prowadzić do awarii aplikacji.

Funkcja getlong w numutils.c w libdoc do 2017-10-23 zawiera przepełnienie bufora na stercie (heap-based buffer over-read), które pozwala atakującemu wywołać odmowę usługi (awarię aplikacji) za pomocą spreparowanego pliku.

Publiczna funkcja pomocnicza mergeAttributes() w @tiptap/core używa zwykłego przypisania nawiasowego na kluczach zwracanych przez Object.entries(). Własny klucz __proto__ z JSON wywołuje w ten sposób odziedziczony setter prototypu na nowo utworzonym obiekcie, a funkcja zwraca obiekt, którego prototyp jest kontrolowany przez atakującego.

W komponencie src/path.c programu GNU Unrtf w wersji 0.21.10 występuje dereferencja wskaźnika NULL. Atakujący może wywołać odmowę usługi (DoS), wstrzykując spreparowane dane do parametru search_path.

W jądrze Linuxa w podsystemie Bluetooth (hci_core) dodano wyłączanie prac (works) podczas rejestracji urządzenia hci_unregister_dev, ponieważ urządzenie hci_dev ma być zwolnione i nowe zadania nie powinny być przesyłane.

Funkcja openTempFile w bibliotekach Xpdf i Poppler (0.24.3 i wcześniejsze) tworzy pliki tymczasowe o przewidywalnych nazwach, gdy działa na systemie innym niż Unix. Lokalny użytkownik może wykorzystać atak symlinkowy, aby nadpisać dowolne pliki.