CVE-2025-15638
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Wersje Net::Dropbear przed 0.14 dla Perla zawierają podatną wersję libtomcrypt. Wersje te obejmują Dropbear 2019.78 lub wcześniejsze, które są dotknięte podatnościami CVE-2016-6129 i CVE-2018-12437.
Ocena ryzyka
Używanie podatnych wersji Net::Dropbear może prowadzić do poważnych luk w bezpieczeństwie, które mogą być wykorzystane przez atakujących do przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację Net::Dropbear do wersji 0.14 lub nowszej, aby usunąć podatności związane z libtomcrypt.
Powiązane podatności
- CVE-2026-7826Krytyczne
Podatność w FalkorDB przed wersją 4.18.4 powoduje odczyt poza granicami pamięci sterty w funkcji BufferSerializerIOv2_ReadBuffer. Zdalny atakujący, który może wydawać polecenia replikacji Redis (np. gdy instancja nie ma skonfigurowanego hasła), może wysłać spreparowany strumień RDB z polem długości pod-bufora przekraczającym pozostały rozmiar bufora. Jedyna kontrola granic to ASSERT(), który jest kompilowany w wersjach release, więc memcpy() czyta poza przydzieloną pamięcią.
- CVE-2026-5759Krytyczne
Podwójne zwolnienie i użycie po zwolnieniu w funkcji RdbLoadDeletedNodes w dekoderach grafów RDB w FalkorDB przed wersją 4.18.1. Zdalny atakujący, który może wydawać polecenia replikacji Redis, może wysłać spreparowany strumień RDB, w którym długość bufora usuniętych węzłów nie jest wielokrotnością sizeof(NodeID). Kontrola długości opiera się na ASSERT(), który jest pomijany w wersjach release, więc funkcja kontynuuje po zwolnieniu bufora, czyta go i zwalnia ponownie.
- CVE-2026-96207Krytyczne
Nieprawidłowa walidacja certyfikatów w Microsoft Partner Center pozwala nieautoryzowanemu atakującemu na podniesienie uprawnień w sieci.
- CVE-2026-94510Krytyczne
Obejście autoryzacji przez klucz kontrolowany przez użytkownika w Microsoft Bookings pozwala nieautoryzowanemu atakującemu na podniesienie uprawnień w sieci.
- CVE-2026-88131Krytyczne
Podatność deserializacji niezaufanych danych w Microsoft Dataverse umożliwia nieautoryzowanemu atakującemu zdalne wykonanie kodu przez sieć.
- CVE-2026-77900Krytyczne
Brak uwierzytelniania dla krytycznej funkcji w Azure App Service umożliwia nieautoryzowanemu atakującemu zdalne wykonanie kodu przez sieć.
- CVE-2026-69435Krytyczne
Brak autoryzacji w Azure SRE Agent umożliwia uwierzytelnionemu atakującemu podniesienie uprawnień przez sieć.
- CVE-2026-84249Krytyczne
IBM Guardium Data Protection w wersjach 12.2 i 12.2.2 może pozwolić zdalnemu atakującemu na wykonywanie dowolnych operacji zarządzających z powodu braku uwierzytelniania dla krytycznej funkcji.
- CVE-2026-80381Krytyczne
IBM Guardium Data Protection w wersjach 12.0, 12.1 i 12.2 może pozwolić zdalnemu atakującemu na wykonywanie nieautoryzowanych instrukcji SQL z powodu podatności SQL injection.
- CVE-2026-75875Krytyczne
IBM Guardium Data Protection w wersjach 12.0, 12.1 i 12.2 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu z powodu podatności path traversal.
Oryginalny opis (angielski, źródło NVD)
Net::Dropbear versions before 0.14 for Perl contains a vulnerable version of libtomcrypt. Net::Dropbear versions before 0.14 includes versions of Dropbear 2019.78 or earlier. These include versions of libtomcrypt v1.18.1 or earlier, which is affected by CVE-2016-6129 and CVE-2018-12437.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS