CVE-2002-2029

W Cronicle przed wersją 0.9.124 uwierzytelniony użytkownik niebędący administratorem z uprawnieniami run_events, create_events lub edit_events może podać nieoczekiwane klucze w parametrach zdarzenia przez api_create_event, api_update_event lub api_run_event. Klucz kolidujący z wrażliwą zmienną środowiskową może nadpisać kontekst wykonania wtyczki i spowodować eskalację uprawnień, wykonanie kodu, dostęp do danych lub zakłócenie usługi.

W MONAI przed wersją 1.6.1 funkcja PydicomReader._get_affine() ufa wartościom nieskończonym w polach DICOM PixelSpacing, ImagePositionPatient i ImageOrientationPatient i składa je w macierz afiniczna bez walidacji. Nieuwierzytelniony atakujący mogący przesłać spreparowany plik DICOM do domyślnego wdrożenia MONAILabel może propagować wartości NaN lub nieskończoność, powodując błędy wnioskowania, trwałe zatrucie magazynu danych lub zniekształcone wyniki.

W dcmjs przed wersją 0.52.0 implementacje DecimalString i IntegerString w src/ValueRepresentation.js sanityzują tekst permisywnym wyrażeniem regularnym i przekazują wynik do konstruktora Number bez walidacji skończoności i reguł DICOM. Przepełnienie notacji naukowej w polu DS lub IS może dać Infinity lub NaN, a IntegerString akceptuje notację wykładniczą i wartości spoza zakresu 32-bitowego. Aplikacje ufające tym wartościom mogą propagować nieprawidłowe liczby do geometrii, okienkowania, skalowania dawki i rekonstrukcji objętości.

FreeSWITCH przed wersją 1.11.2 akceptuje wszystkie testy łączności ICE bez kryptograficznej weryfikacji atrybutu STUN MESSAGE-INTEGRITY. Zdalny atakujący może sfałszować test łączności ICE bez poświadczeń SDP, nominować własny adres i przekierować ruch RTP/DTLS, co umożliwia podsłuchiwanie i wstrzykiwanie mediów na niezaszyfrowanych połączeniach.

FreeSWITCH przed wersją 1.11.2 ma błąd w funkcji ws_read_frame(), która dekoduje 64-bitową długość ładunku WebSocket z 32-bitową zamianą bajtów i zawęża wynik do typu signed. Wartość, której dolne słowo staje się ujemne, omija sprawdzenie rozmiaru i jest reinterpretowana jako ogromna liczba unsigned, powodując nadpisanie pamięci poza buforem odbioru 64 KiB. Może to uszkodzić wskaźniki połączeń i spowodować awarię FreeSWITCH, kończąc wszystkie sesje.

FreeSWITCH przed wersją 1.11.3 w funkcji sofia_presence_handle_sip_i_message() dzieli użytkownika To przychodzącego komunikatu SIP MESSAGE na znaku plus i traktuje lewą stronę jako selektor protokołu czatu. Wybór api chat proto prowadzi do switch_api_execute(), pozwalając peerowi, którego MESSAGE został zaakceptowany, na uruchamianie poleceń API FreeSWITCH, w tym poleceń systemowych, z uprawnieniami demona. Podatność jest aktywnie wykorzystywana w środowisku.

OpenEMR przed wersją 8.4.0 ma błąd w kontrolerach C_Document.class.php: akcje zapisu, w tym move_action_process(), nie weryfikują dostępu wywołującego do dokumentu źródłowego, bieżącego pacjenta i kategorii ani do docelowego pacjenta i kategorii przed wykonaniem mutacji przez Document::change_patient(). Nisko uprzywilejowany uwierzytelniony użytkownik może przypisać dowolny dokument do pacjenta lub kategorii, do której ma dostęp, a następnie go odczytać.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 kontroler workflow używa wartości aow_action podatnej na path traversal w require_once() bez ograniczenia rozwiązywanego pliku. Uwierzytelniony użytkownik z rolą WorkFlow może dołączyć wykonywalny kod PHP i uzyskać zdalne wykonanie kodu.

LMFDB przed commitem 01829bd zawiera podatność server-side template injection w funkcji render_knowl, pozwalającą nieuwierzytelnionym atakującym wstrzykiwać wyrażenia Jinja przez parametry żądania. Atakujący może dostarczyć spreparowane wartości query-string lub dane 'content' do /knowledge/render/<ID>, aby dotrzeć do wbudowanych funkcji Pythona i wykonać polecenia systemowe.

W SuiteCRM w wersjach przed 7.15.2 i 8.10.2 edytor Studio Dropdown Editor przepuszcza $dropdown_name przez html_entity_decode() i zapisuje wynik bezpośrednio do pliku językowego PHP w katalogu custom/, który jest dołączany przy późniejszych ładowaniach stron. Administrator może wstrzyknąć trwały kod PHP wykonywany jako konto serwera webowego.