Katalog podatności CVE

W interfejsie zarządzania siecią routera Archer C20 v6 stwierdzono podatność na wstrzykiwanie poleceń systemu operacyjnego podczas przetwarzania niektórych operacji konfiguracji WAN. Uwierzytelniony administrator może wykorzystać niewystarczającą walidację danych wejściowych do wykonania dowolnych poleceń systemowych, co może prowadzić do pełnego przejęcia urządzenia.

W Netty przed wersjami 4.1.137.Final i 4.2.17.Final domyślne konstruktory SniHandler używają ścieżki agregacji ClientHello przed uzgadnianiem, gdzie handshakeBuffer.clear() i writeBytes() kopiują wszystkie wcześniej odebrane bajty dla każdego dodatkowego rekordu TLS. Nieuwierzytelniony zdalny peer może wysłać duży ClientHello w tysiącach małych rekordów, powodując kwadratowy wzrost obciążenia CPU w pętli zdarzeń przed zakończeniem uzgadniania TLS, co pogarsza obsługę TLS dla innych klientów.

Netty to asynchroniczny, sterowany zdarzeniami framework do tworzenia aplikacji sieciowych. Przed wersjami 4.1.137.Final i 4.2.17.Final funkcja io.netty.handler.ssl.SslClientHelloHandler#decode sprawdza niewłaściwy offset przed odczytaniem czterobajtowego nagłówka TLS handshake, więc ClientHello, którego nagłówek handshake obejmuje wiele rekordów, może spowodować IndexOutOfBoundsException i wywołać select(ctx, null). To wybiera domyślny SslContext zamiast kontekstu specyficznego dla SNI. We wdrożeniach, gdzie per-SNI clientAuth=REQUIRE jest jedyną bramą wzajemnego TLS, a domyślny SslContext używa clientAuth=NONE lub clientAuth=OPTIONAL i nie ma weryfikacji certyfikatów na poziomie aplikacji, nieuwierzytelniony zdalny atakujący może ominąć wymóg wzajemnego TLS chronionej trasy. Problem jest naprawiony w wersjach 4.1.137.Final i 4.2.17.Final.

W procesie budowania mce-operator-bundle skrypty są pobierane i wykonywane ze zdalnego repozytorium bez weryfikacji integralności, takiej jak przypięcie do konkretnego commita czy weryfikacja podpisu. Osoba atakująca z dostępem do zapisu w tym repozytorium może wstrzyknąć i wykonać dowolny kod podczas budowania. Konsekwencją jest naruszony proces budowania, co może prowadzić do dystrybucji złośliwego oprogramowania.

Firma Tanium naprawiła podatność typu bomba kompresyjna w produkcie Threat Response.

W LiquidJS przed wersją 10.27.2 filtr join w src/filters/array.ts oblicza złożoność na podstawie długości tablicy i separatora, a nie całkowitej długości wygenerowanego ciągu. Filtr concat może tanio podwajać tablice referencji, a następnie join materializuje treść, obciążając tylko liczbę elementów, co pozwala przekroczyć skonfigurowany memoryLimit. Podobny problem ma filtr array_to_sentence_string, co może prowadzić do awarii procesu.

Coturn w wersji 4.15.0 ma podatność, która pozwala uwierzytelnionemu użytkownikowi TURN na wielokrotne wznawianie alokacji z nowych 5-krotek UDP bez zakończenia przekazania, gdy włączona jest opcja --mobility. Prowadzi to do nieograniczonej liczby sesji po stronie serwera i wyczerpania pamięci procesu, nawet przy skonfigurowanym --user-quota=1.

Coturn to darmowa implementacja serwera TURN i STUN. Przed wersją 4.15.0 atakujący w ścieżce sieciowej może dodać atrybuty po MESSAGE-INTEGRITY do uwierzytelnionego żądania STUN przez zwykły UDP lub TCP, dostosować długość nagłówka STUN i przeliczyć niekluczowany FINGERPRINT, podczas gdy oryginalny HMAC pozostaje ważny, ponieważ obejmuje tylko prefiks wiadomości. Parsowanie po stronie serwera w src/server/ns_turn_server.c kontynuuje po MESSAGE-INTEGRITY przez handle_turn_allocate(), handle_turn_create_permission(), handle_turn_refresh() i handle_turn_command(), co pozwala na nadpisanie czasu życia alokacji, wstrzyknięcie uprawnienia lub ominięcie kontroli pochodzenia przez atrybuty LIFETIME, XOR-PEER-ADDRESS lub ORIGIN. Wdrożenia TLS i DTLS zapobiegają tej modyfikacji w tranzycie. Problem naprawiono w wersji 4.15.0.

W Coturn przed wersją 4.13.0 uwierzytelniony użytkownik TURN może umieścić specyfikatory formatu printf w atrybutach STUN USERNAME lub REALM, które przechodzą walidację is_secure_string() i są osadzane w kluczach Redis. Funkcja send_message_to_redis() przekazuje kontrolowany klucz jako argument formatu do redisAsyncCommand(), co może prowadzić do odczytu poza va_list. Eksploitacja może spowodować awarię procesu coturn lub ujawnienie pamięci stosu do Redis.

Coturn przed wersją 4.15.0 ma podatność, w której nieuwierzytelniony klient może wysłać wiadomość STUN przez TCP/TLS z polem długości treści od 65520 do 65532, powodując zawinięcie zmiennej len w stun_get_message_len_str(). Prowadzi to do desynchronizacji parsera strumienia i zerwania połączenia atakującego klienta, ale nie wpływa na innych klientów ani proces serwera.

W usłudze Windows Telephony Service występuje wyścig (race condition) podczas współbieżnego wykonywania z użyciem współdzielonego zasobu. Uwierzytelniony atakujący może wykorzystać tę podatność do lokalnej eskalacji uprawnień.

W LiquidJS od wersji 10.26.0 do 10.27.1 filtr strip_html w src/filters/html.ts może wejść w nieskończoną pętlę, gdy wejściowy ciąg zawiera '<', ma co najmniej jeden poprzedzający znak i nie ma późniejszego '>'. Powoduje to zablokowanie renderowania szablonu i może prowadzić do odmowy usługi przy bardzo krótkim wejściu, np. 'a<'.

Lemmy-ui przed wersją 0.19.19-beta.1 renderuje Markdown bez sanityzacji, co pozwala na wstrzyknięcie HTML i wykonanie JavaScript w kontekście origin lemmy-ui. Zatwierdzony członek lub zdalna sfederowana instancja może przechowywać złośliwą treść, a osoba ją wyświetlająca może wykonać skrypt, co może ujawnić sesję i uwierzytelnione działania.

Lemmy przed wersjami 0.19.19 i 1.0.0-alpha.18 nie sprawdza listy blokad przy edycji prywatnych wiadomości. Zablokowany nadawca może nadal edytować stare wiadomości, które odbiorca może zobaczyć, co umożliwia nękanie po zablokowaniu.

Lemmy przed wersjami 0.19.19 i 1.0.0-alpha.18 pozwala moderatorowi o niższej randze na usunięcie moderatora o wyższej randze poprzez wysłanie podpisanej aktywności ActivityPub Remove. Weryfikacja nie sprawdza rangi moderatora, co umożliwia junior moderatorowi usunięcie senior moderatora z listy moderatorów społeczności.

Lemmy przed wersjami 0.19.19 i 1.0.0-beta.1 zwraca różne błędy przy logowaniu w zależności od tego, czy nazwa użytkownika lub adres e-mail istnieje w systemie. Nieistniejące konto powoduje błąd 404, a istniejące z błędnym hasłem zwraca błąd 400. Ta różnica pozwala nieuwierzytelnionemu atakującemu potwierdzić zarejestrowane nazwy użytkowników lub adresy e-mail.

Lemmy przed wersjami 0.19.19 i 1.0.0-beta.1 używa pierwszej wartości nagłówka X-Forwarded-For jako adresu klienta do ograniczania szybkości. Konfiguracja nginx dołącza prawdziwy adres klienta do wartości dostarczonej przez klienta, co pozwala atakującemu na spoofing adresu i ominięcie limitów na wiele endpointów API.

Koel przed wersją 9.7.1 błędnie traktuje adresy NAT64 i 6to4 jako publiczne, co pozwala uwierzytelnionemu użytkownikowi na umieszczenie takiego adresu w podcaście RSS i wywołanie żądań do wewnętrznych usług lub metadanych chmury. Odpowiedź serwera jest zwracana użytkownikowi.

W Koel przed wersją 9.7.0 trasy Subsonic-compatible createInternetRadioStation.view i updateInternetRadioStation.view akceptują streamUrl od uwierzytelnionego użytkownika bez sprawdzeń SafeUrl i HasAudioContentType. Przechowywany URL jest przekazywany do RadioStreamProxy::openStream(), który wywołuje fopen($url, 'r', false, $context). Pozwala to na dostęp do wewnętrznych usług HTTP, takich jak loopback, RFC1918, Docker bridge czy metadata.

Koel przed wersją 9.7.0 w routingu Subsonic createPodcastChannel.view nie stosuje walidacji SafeUrl, co pozwala uwierzytelnionemu użytkownikowi podać prywatny adres URL. Powoduje to natychmiastowe żądania serwerowe do adresów loopback, Docker bridge lub RFC1918.