Katalog podatności CVE

W Zammad przed wersją 7.1.2 filtr zabezpieczający konfigurację Agenta AI może zostać ominięty przez wprowadzenie specjalnie spreparowanego tekstu w jednym z pól Agenta AI. Administrator z uprawnieniami do tworzenia lub edycji Agentów AI może wykorzystać to do wykonania dowolnych poleceń na serwerze hostującym Zammad, potencjalnie odczytując, modyfikując lub niszcząc wszystkie dane na tym serwerze. Nie jest wymagana interakcja innych użytkowników; złośliwy kod uruchamia się automatycznie przy następnym przetwarzaniu zgłoszenia przez dotkniętego Agenta AI. Problem naprawiono w wersji 7.1.2.

W systemie Zammad przed wersją 7.1.2 akcja destroy_form w AttachmentsController usuwa rekordy UploadCache Store wyłącznie na podstawie dostarczonego przez użytkownika form_id, bez weryfikacji, czy użytkownik jest właścicielem tych rekordów. Uwierzytelniony atakujący, który pozna UUID oczekującego przesyłania innego użytkownika, może po cichu usunąć tymczasowe pliki przed ich przesłaniem przez ofiarę. Problem naprawiono w wersji 7.1.2.

W Zammad w wersjach 7.0.2 i 7.1.0 zarządzanie sesjami dla połączeń websocket i long-polling jest podatne na atak typu path traversal. Identyfikatory sesji dostarczane przez klienta są niewystarczająco walidowane przed użyciem do konstruowania wewnętrznych ścieżek plików. Gdy aktywny jest magazyn sesji oparty na plikach (domyślna konfiguracja), uwierzytelniony atakujący może manipulować identyfikatorem sesji, aby odnosił się do lokalizacji poza zamierzonym katalogiem, prowadząc do usunięcia dowolnych plików i katalogów na serwerze. Wymaga to tylko sesji uwierzytelnionej o niskich uprawnieniach i jednego spreparowanego żądania. Instancje skonfigurowane z magazynem sesji opartym na Redis nie są dotknięte. Problem naprawiono w wersjach 7.0.3 i 7.1.1.

Zammad to internetowy system helpdesk/obsługi klienta o otwartym kodzie źródłowym. W wersjach przed 7.0.2 i 7.1.0 sanitizer HTML Zammad (HtmlSanitizer::Strict) blokuje zewnętrzne adresy URL w celu zapobiegania ładowaniu zdalnych treści, ale atrybut srcset, również dozwolony, nie podlega tej samej kontroli. To niedopatrzenie pozwala atakującemu na osadzenie dowolnych zewnętrznych adresów URL w atrybucie srcset po prostu wysyłając e-mail, skutecznie omijając ochronę przed zewnętrznymi treściami. Gdy agent wyświetla zgłoszenie zawierające złośliwy srcset, przeglądarka po cichu ładuje adres URL kontrolowany przez atakującego, co prowadzi do wycieku adresu IP agenta, User-Agent, Referer i dokładnego czasu wyświetlenia zgłoszenia. HtmlSanitizer::Strict został rozszerzony o blokowanie zewnętrznych adresów URL w atrybucie srcset tagów. Zrobiono to, aby zapobiec śledzeniu pikseli i ładowaniu zewnętrznych treści, co mogłoby naruszyć prywatność użytkownika. Problem został naprawiony w wersjach 7.0.2 i 7.1.0.

Zammad to internetowy system helpdesk/obsługi klienta o otwartym kodzie źródłowym. W wersjach przed 7.0.2, podczas uwierzytelniania federacyjnego (OAuth/OIDC/SAML), adres URL obrazu profilu od zewnętrznego dostawcy tożsamości jest pobierany bez weryfikacji adresu docelowego. Podmiot kontrolujący swój profil u podłączonego dostawcy może spowodować, że serwer połączy się z wewnętrznymi lokalizacjami sieciowymi. Różnice w czasie odpowiedzi i wzorcach błędów między osiągalnymi i nieosiągalnymi celami pozwalają na sondowanie usług wewnętrznych. Procesy robocze mogą być blokowane na kilka sekund na żądanie. Wymaga skonfigurowanego zewnętrznego dostawcy uwierzytelniania, u którego podmiot może modyfikować adres URL obrazu profilu. Problem został naprawiony w wersji 7.0.2.

W Zammad przed wersjami 7.0.2 i 7.1.0 występuje brak walidacji w kaskadzie autoryzacji. W określonych warunkach ograniczenia klucza dostępu są nadpisywane przez ukryte uprawnienia konta nadrzędnego, co niweluje separację obszarów funkcjonalnych i prowadzi do niekontrolowanej ekspansji uprawnień administracyjnych. Atakujący może tworzyć nowe konta administratorów pomimo ograniczeń tokenów, uzyskując pełny dostęp do wszystkich danych systemu (zgłoszenia, klienci, konfiguracja) i całkowitą kontrolę nad instancją Zammad. Problem naprawiono w wersjach 7.0.2 i 7.1.0.

Zammad to internetowy system helpdesk/obsługi klienta o otwartym kodzie źródłowym. W wersjach przed 7.0.2 podatność w sanityzacji HTML Zammad pozwala na wstrzyknięcie określonych elementów HTML do treści zgłoszeń. Gdy inny użytkownik wyświetla spreparowane zgłoszenie, wstrzyknięty element może wywołać żądanie wylogowania, kończąc sesję przeglądającego. Podatność została naprawiona w wersji 7.0.2.

W Zammad przed wersją 7.0.1 uwierzytelniony użytkownik o niskich uprawnieniach może wstrzyknąć dowolny kod HTML, w tym procedury obsługi zdarzeń JavaScript, do tytułu zgłoszenia podczas standardowego procesu tworzenia zgłoszenia. Tytuł jest zapisywany bez sanityzacji. Problem naprawiono w wersji 7.0.1.

W systemie Zammad przed wersją 7.0.2 stwierdzono podatność polegającą na obejściu autoryzacji, która pozwala uwierzytelnionemu agentowi odczytać treść odpowiedzi z bazy wiedzy, do której nie powinien mieć dostępu. Podatna mutacja GraphQL sprawdza tylko uprawnienie ticket.agent, a nie autoryzację do samej odpowiedzi. Problem naprawiono w wersji 7.0.2.

W Zammad przed wersją 7.0.2 występuje błąd kontroli dostępu w API GraphQL. Uwierzytelniony użytkownik może odczytać dane elementu paska zadań (taskbar) należącego do innego użytkownika, podając jego identyfikator, co może ujawnić m.in. automatycznie zapisane szkice zgłoszeń.

W Zammad przed wersją 7.0.2 w przychodzącym przetwarzaniu e-maili PGP wartość zwracana przez weryfikację gpg była po cichu ignorowana. Niezależnie od tego, czy gpg zgłosił poprawny, niepoprawny czy brakujący podpis, procedura bezwarunkowo zapisywała sign: { success: true, comment: "Good signature" } w preferencjach bezpieczeństwa artykułu. Każdy nadawca mógł manipulować treścią podpisanego e-maila PGP lub stworzyć wiadomość z całkowicie sfałszowanym lub niepasującym podpisem, a Zammad wyświetlał ją jako kryptograficznie zweryfikowaną z etykietą "Good signature". Użytkownicy i agenci polegający na wskaźniku podpisu w celu potwierdzenia autentyczności i integralności wiadomości mogli zostać wprowadzeni w błąd, ufając zmodyfikowanym lub sfałszowanym treściom. Podatność dotyczy wszystkich przychodzących e-maili podpisanych PGP przetwarzanych przy włączonej integracji PGP. Problem naprawiono w wersji 7.0.2.

W Zammad przed wersją 7.0.2 dowolny uwierzytelniony agent może przeglądać tytuły, statusy, etykiety i adresy URL zgłoszeń GitHub/GitLab powiązanych z dowolnym zgłoszeniem w systemie, podając kolejne identyfikatory zgłoszeń. Narusza to granice izolacji zgłoszeń między agentami.

W Zammad przed wersją 7.0.2 nieuwierzytelnione żądanie do POST /api/v1/import/otrs/import_check blokuje pracownika żądań Zammad na około dwie minuty. Akcje import_check i import_status nie mają zabezpieczenia setup_done_response, które mają inne akcje w tym samym kontrolerze, więc wykonują się na w pełni skonfigurowanych instancjach produkcyjnych. Akcja wchodzi w pętlę ponowień wobec pustego punktu końcowego OTRS, śpiąc 30 s + 45 s między próbami. Nieuwierzytelniony zdalny atakujący może odmówić usługi produkcyjnej instancji Zammad. Każde żądanie kosztuje prawie nic i wymusza ~115 sekund blokowania po stronie serwera. Kilka żądań na sekundę nasyca pulę pracowników Puma. Problem naprawiono w wersji 7.0.2.

W zhistaredu StarTraining do wersji 3.8.1 włącznie odkryto lukę w nieznanej funkcji pliku SecurityConfig.java komponentu api-docs Endpoint, która prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

Podatność w StarTraining do wersji 3.8.1, w funkcji anonimowej pliku /druid/index.html komponentu Druid Console. Brak uwierzytelnienia umożliwia zdalny atak. Exploit jest publicznie dostępny.

Podatność w StarTraining do wersji 3.8.1 w funkcji UserLoginService.createToken pliku application.yml komponentu JWT Token Handler. Manipulacja argumentami user_id/company_id powoduje użycie zaszytego hasła. Atak zdalny, exploit publiczny.

Podatność w Zhonglun CloudPos do wersji 3.0.1.76 w funkcji OpenLocalBrowser pliku ZlPos/ZlPos/Bizlogic/JSBridge.cs komponentu JSBridge. Manipulacja argumentem url prowadzi do wstrzyknięcia kodu. Atak zdalny, exploit publiczny.

Podatność typu Missing Authorization w obsłudze kodu escape askpass w terminalu kitty (wersje od 0.25.0 do 0.49.0). Funkcja handle_remote_askpass() otwiera obiekt pamięci współdzielonej POSIX wskazany w kodzie escape i zapisuje do niego odpowiedź użytkownika, nie sprawdzając właściciela ani uprawnień obiektu. Inny lokalny użytkownik może utworzyć taki obiekt, wymusić wyświetlenie fałszywego monitu (np. o hasło) i odczytać wpisany sekret.

Podatność Use After Free w protokole przeciągnij i upuść w kitty od wersji 0.47.0 do 0.49.0 pozwala programowi piszącemu do terminala na odczyt i zapis do zwolnionej pamięci sterty. Błąd występuje w funkcji drag_remote_file_data() w kitty/dnd.c, gdzie wskaźnik do tablicy jest używany po jej zwolnieniu przez funkcje pomocnicze.

Podatność w golang.org/x/playground pozwala złośliwemu plikowi txtar na ucieczkę z zamierzonego kontekstu wykonania i wymuszenie zapisu do zaufanego systemu plików hosta playground. Dodatkowo, jedna ze ścieżek wywołania 'go vet' nie ograniczała poprawnie środowiska wykonania, co umożliwiało odczyt pliku konfiguracyjnego środowiska z katalogu domowego hosta. Połączenie tych problemów może prowadzić do zdalnego wykonania kodu na hoście playground.