Katalog podatności CVE

Framework AIL zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w funkcji przesyłania do crawlera. Uwierzytelniony użytkownik z niskimi uprawnieniami może przesłać dowolny adres URL do przeszukania bez odpowiedniej walidacji hosta docelowego. Atakujący może wykorzystać serwer AIL jako punkt pośredni do uzyskania dostępu do usług wewnętrznych, w tym adresów pętli zwrotnej, sieci prywatnych i metadanych chmury.

Kod zrzutu rdzenia ELF zliczał liczbę wpisów mapy VM, które można zrzucić, alokował bufor dla odpowiednich nagłówków programów, a następnie iterował po mapie drugi raz, aby je wypełnić. Proces współdzielący przestrzeń adresową przez rfork(2) może zmienić mapę między dwoma przebiegami, co powoduje zapis nagłówków programów poza końcem bufora. Nieuprzywilejowany użytkownik lokalny współdzielący przestrzeń adresową z procesem, który zrzuca rdzeń, może wywołać zapis poza zakresem na stercie jądra, potencjalnie prowadząc do eskalacji uprawnień.

Polecenia GETALL i SETALL w semctl(2) rejestrowały liczbę semaforów w docelowym zestawie, zwalniały blokadę chroniącą zestaw, alokowały bufor o rozmiarze odpowiadającym tej liczbie i ponownie przejmowały blokadę. Do weryfikacji, czy zestaw nie został zastąpiony w międzyczasie, używano sprawdzenia numeru sekwencji, ale numer sekwencji zawija się po 0x8000 cyklach tworzenia/niszczenia. Poprzez szybkie niszczenie i odtwarzanie zestawów semaforów pod tym samym indeksem, inny proces może spowodować zawinięcie numeru sekwencji, co pozwala zestawowi z inną liczbą semaforów przejść walidację. Kolejna kopia odczytuje lub zapisuje poza końcem przydzielonego bufora. Nieuprzywilejowany użytkownik lokalny może wywołać odczyty i zapisy poza zakresem na pamięci sterty jądra, potencjalnie prowadząc do eskalacji uprawnień.

Podczas kopiowania knotes w trakcie fork, knote z filtrem opartym na timerze mógł zostać wyzwolony i umieszczony na liście aktywnej kqueue przed zakończeniem kopiowania. Procedura kopiowania nie uwzględniała tego i mogła umieścić nowy knote po raz drugi, uszkadzając listę aktywną. Ponadto procedura kopiowania nie trzymała odpowiednich blokad podczas odczytu stanu knote, co pozwalało na dalsze wyścigi. Nieuprzywilejowany użytkownik lokalny może wywołać use-after-free w jądrze, potencjalnie prowadząc do eskalacji uprawnień.

Wtyczka TranslatePress dla WordPressa do wersji 3.2.5 włącznie jest podatna na nieuwierzytelnione przechowywane Cross-Site Scripting (XSS). Specjalne znaczniki gettext '#!trpst#' i '#!trpen#' są bezwarunkowo zamieniane na '<' i '>' przez funkcję translate_page(). Nieuwierzytelniony atakujący może osadzić te znaczniki w komentarzu, a po wyświetleniu posta w drugim języku znaczniki zamieniają się w prawdziwy tag <img>, co umożliwia wykonanie złośliwego skryptu w przeglądarce odwiedzającego.

Wtyczka WP Statistics dla WordPressa do wersji 14.16.8 włącznie jest podatna na przechowywane Cross-Site Scripting (XSS) poprzez parametr 'utm_campaign'. Brak odpowiedniej sanityzacji wejścia i escapingu wyjścia umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony. Atak można przeprowadzić bez uwierzytelnienia przez publiczny endpoint REST /wp-statistics/v2/hit.

Ioctl ZFS_IOC_USERSPACE_MANY, używany przez zfs-userspace(8), obcinał 64-bitowy rozmiar bufora wyjściowego do 32-bitowej liczby całkowitej dla alokacji w jądrze, ale używał oryginalnego 64-bitowego rozmiaru jako limitu bufora podczas zapisywania rekordów. Lokalny użytkownik z delegowanym uprawnieniem ZFS "userused" może wywołać przepełnienie sterty jądra przez ioctl ZFS_IOC_USERSPACE_MANY, potencjalnie eskalując uprawnienia.

Niektóre wywołania systemowe, takie jak open(2) z flagą O_TRUNC oraz fspacectl(2), mogły nieprawidłowo zwalniać pamięć w obiektach largepage. Operacje te nie są dozwolone na obiektach largepage, ale implementacja tego nie weryfikowała. Nieuprzywilejowany lokalny użytkownik może wykorzystać ten błąd, aby uzyskać dostęp do zwolnionej pamięci jądra, co może prowadzić do eskalacji uprawnień.

Handler setsockopt(2) dla RACK zwalnia blokadę połączenia, aby skopiować dane opcji z przestrzeni użytkownika, a następnie ponownie ją przejmuje. Po ponownym przejęciu weryfikuje, czy stos TCP nie został przełączony, ale nie przeładowuje swojego wskaźnika do bloku sterowania połączeniem stosu. Jeśli przestrzeń użytkownika przełączy stosy dwukrotnie w tym oknie, kontrola zakończy się sukcesem, ale zapisany wskaźnik będzie odnosił się do zwolnionej pamięci. Ten błąd może być wykorzystany przez nieuprzywilejowanego lokalnego użytkownika do eskalacji uprawnień.

Handler RTSP w bibliotece libalias przepisuje wychodzące pakiety do bufora o stałej długości na stosie bez sprawdzania, czy przepisane dane mieszczą się w buforze, ani czy wynik mieści się z powrotem w oryginalnym pakiecie. Host wysyłający spreparowany ruch RTSP z wewnątrz bramy NAT używającej libalias może przepełnić bufor stosu, potencjalnie uzyskując zdalne wykonanie kodu w jądrze (przy użyciu NAT ipfw(4)) lub w procesie natd(8) (który zwykle działa jako root).

Wtyczka SAML Single Sign On dla WordPressa przed wersją 5.4.7 nie weryfikuje podpisu odpowiedzi SAML przed zapisaniem przenoszonego certyfikatu i oferuje administratorowi jednoklikową kontrolę, która promuje ten zapisany certyfikat do zaufanego certyfikatu podpisującego witryny. Pozwala to nieuwierzytelnionym atakującym na zdobycie zaufania dla własnego certyfikatu, a następnie uwierzytelnienie się jako dowolny użytkownik, w tym administrator.

Wtyczka ProSolution WP Client dla WordPressa przed wersją 2.0.11 nie sanityzuje i nie escapuje parametru przed odzwierciedleniem go w atrybucie HTML na jednej ze stron administracyjnych, co prowadzi do odzwierciedlonego Cross-Site Scripting (XSS) działającego w sesji administratora, który zostanie nakłoniony do wysłania spreparowanego żądania.

Wtyczka ProSolution WP Client dla WordPressa przed wersją 2.0.11 nie sanityzuje i nie escapuje kilku parametrów przed odzwierciedleniem ich w atrybutach HTML na stronach publicznych, co prowadzi do odzwierciedlonego Cross-Site Scripting (XSS), które może być wyzwolone wobec dowolnego odwiedzającego, w tym zalogowanego administratora.

Wtyczka NextScripts: Social Networks Auto-Poster dla WordPressa przed wersją 4.4.8 nie escapuje niektórych parametrów z ciągu zapytania, które odzwierciedla na jednej ze swoich stron administracyjnych, co pozwala atakującym na przeprowadzenie ataków Reflected Cross-Site Scripting przeciwko zalogowanym użytkownikom, takim jak administratorzy, którzy zostaną nakłonieni do otwarcia spreparowanego linku.

Wtyczka User Verification by PickPlugins dla WordPressa do wersji 2.0.47 nie weryfikuje, czy żądanie ponownego wysłania e-maila weryfikacyjnego jest autoryzowane do działania na podanym użytkowniku, ani nie wiąże tokena ochronnego z tym użytkownikiem, co pozwala nieuwierzytelnionym atakującym na zresetowanie statusu weryfikacji e-mail dowolnych użytkowników i zablokowanie ich, w tym administratorów, z ich kont.

Wtyczka Booking calendar, Appointment Booking System do WordPressa do wersji 3.2.36 nie filtruje prawidłowo przesłanych plików SVG, co pozwala nieuwierzytelnionym atakującym na przesłanie pliku omijającego usuwanie skryptów i wykonującego dowolny kod JavaScript po otwarciu pliku, w tym w sesji administratora przeglądającego zgłoszenia.

Wtyczka Eventin do WordPressa przed wersją 4.1.21 nie weryfikuje własności ani uprawnień przed usunięciem kont użytkowników, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na trwałe usunięcie kont innych użytkowników.

Wtyczka Eventin do WordPressa przed wersją 4.1.21 nie weryfikuje prawidłowo własności wydarzeń przed umożliwieniem ich modyfikacji, usunięcia lub przypisania do innego autora, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na zmianę, usunięcie lub przejęcie wydarzeń utworzonych przez innych, w tym administratorów.

Wtyczka Dinatur do WordPressa do wersji 1.18 nie sanityzuje i nie escapuje danych wejściowych użytkownika przed użyciem ich w zapytaniu SQL, co pozwala nieuwierzytelnionym użytkownikom na przeprowadzanie ataków SQL injection. Ten sam moduł obsługi wykonuje również czyszczenie tabeli bazy danych bez żadnej autoryzacji, co pozwala każdemu nieuwierzytelnionemu odwiedzającemu na wyczyszczenie danych wtyczki.

Wtyczka Advanced File Manager do WordPressa przed wersją 5.4.13 nie przeprowadza kontroli uprawnień w kilku akcjach AJAX do zarządzania plikami, co pozwala użytkownikom z dowolną rolą, której administrator przyznał dostęp do menedżera plików (nawet na poziomie Subskrybenta), na odczyt dowolnych plików na serwerze — w tym wrażliwych plików konfiguracyjnych — oraz na nadpisywanie istniejących plików nie-PHP, co może być wykorzystane do przejęcia kont administratorów i całej witryny.