Katalog podatności CVE

FreePBX przed wersjami 16.0.47 i 17.0.30 ma podatność w module Framework, która pozwala na przywrócenie ukrytego ustawienia AUTHTYPE z wartością none przez spreparowaną kopię zapasową. Uwierzytelniony użytkownik z uprawnieniami do przywracania kopii zapasowych może wyłączyć uwierzytelnianie FreePBX podczas przywracania, omijając usuwanie AUTHTYPE=none w interfejsie.

FreePBX przed wersjami 16.0.6 i 17.0.5.4 ma podatność w module Text-To-Speech, która pozwala administratorowi zapisać nazwę miejsca docelowego TTS, która jest kodowana HTML, dekodowana podczas generowania dialplanu, przekazywana jako argument AGI i używana do budowy nazw plików w agi-bin/propolys-tts.agi. Nazwa docelowa trafia do surowego wykonania poleceń powłoki, umożliwiając wykonanie dowolnych komend systemowych jako użytkownik asterisk.

Trigger.dev od wersji 4.4.2 do 4.5.0 ma podatność w trasach presign pakietów, gdzie nazwa pliku kontrolowana przez wywołującego jest przekazywana do generowania presigned URL, umożliwiając trawersację katalogów i dostęp do payloadów zadań innych organizacji. Klucz API projektu może odczytać lub nadpisać dane innych organizacji w środowiskach self-hosted.

Trigger.dev od wersji 4.4.2 do 4.5.0-rc.5 ma podatność w Aws4FetchClient.buildUrl() i presign(), gdzie klucze pakietów kontrolowane przez użytkownika są przypisywane do URL.pathname, a trasa akceptuje parametry bez odrzucania segmentów kropek i bez walidacji własności zasobów. Normalizacja ścieżki WHATWG usuwa segmenty .. przed podpisaniem, umożliwiając uzyskanie presigned URL dla kluczy innego dzierżawcy i odczyt lub nadpisanie payloadów zadań.

JupyterLab od wersji 3.3.0 do 4.5.10 i 4.6.2 ma podatność w ustawieniach notebooka, gdzie ustawienia sideBySideLeftMarginOverride i sideBySideRightMarginOverride nie są poprawnie walidowane przed wstawieniem do stylu. Spreparowany plik overrides.json może zawierać instrukcje wykonywane jako kod, a zaimportowanie go lub automatyczne zastosowanie przez atakującego może prowadzić do wykonania kodu z uprawnieniami użytkownika.

Budibase przed wersją 3.39.18 zawiera podatność na wstrzyknięcie SQL w integracji MySQL, gdzie nazwa tabeli nie jest poprawnie escapowana w zapytaniu DESCRIBE. Atakujący może utworzyć tabelę z nazwą zawierającą backtick i dodatkowe zapytanie, które zostanie wykonane podczas skanowania schematu przez administratora. Problem naprawiono w wersji 3.39.18.

Budibase przed wersją 3.39.24 zawiera podatność w punkcie końcowym POST /api/public/v1/roles/assign, gdzie brakuje walidacji appBuilder.appId lub role.appId. Użytkownik z uprawnieniami buildera w jednej aplikacji może przypisać sobie uprawnienia buildera lub dowolną rolę w innej aplikacji, uzyskując dostęp do jej danych, konfiguracji źródeł danych i automatyzacji. Problem naprawiono w wersji 3.39.24.

Budibase przed wersją 3.40.0 nie maskuje poświadczeń źródeł danych przechowywanych w polach typu STRING, co pozwala uwierzytelnionym użytkownikom na odczytanie w postaci jawnej ciągów połączeń MongoDB i kluczy prywatnych Firebase. Atakujący z uprawnieniami odczytu tabel mogą pobrać konfiguracje źródeł danych przez API, uzyskując dostęp do poświadczeń baz danych i kluczy kont usług.

Budibase przed wersją 3.40.0 zawiera podatność w punkcie końcowym PUT /api/global/users/tenant/owner (changeTenantOwnerEmail), która pozwala każdemu uwierzytelnionemu użytkownikowi, nawet z najniższymi uprawnieniami BASIC, na zmianę adresu e-mail właściciela konta na adres kontrolowany przez atakującego. Atakujący może następnie użyć publicznego mechanizmu resetowania hasła, aby przejąć konto administratora, uzyskując pełny dostęp administracyjny.

Budibase przed wersją 3.40.0 zawiera podatności typu Server-Side Request Forgery (SSRF) w imporcie zapytań OpenAPI i wykonywaniu zapytań REST, które pozwalają uwierzytelnionym użytkownikom z uprawnieniami buildera na obejście ochrony DNS pinning poprzez ataki DNS rebinding. Atakujący mogą skonfigurować nazwy hostów, które podczas walidacji rozwiązują się na adresy publiczne, ale podczas rzeczywistego połączenia na adresy pętli zwrotnej lub prywatne, umożliwiając dostęp do zablokowanych wewnętrznych usług HTTP.

Budibase przed wersją 3.40.0 zawiera podatność na wstrzyknięcie SQL w łączniku Oracle, w wyszukiwaniu wierszy po zapisie, gdzie nazwy tabel nie są poprawnie escapowane. Atakujący z uprawnieniami zapisu na tabeli z cudzysłowem w nazwie może wstrzyknąć SQL, który wykona się jako użytkownik bazy danych, umożliwiając odczyt lub modyfikację dowolnych danych.

Budibase przed wersją 3.40.0 zawiera podatność na Cross-Site Request Forgery (CSRF) w punkcie końcowym handoff linku czatu, która pozwala atakującym na powiązanie zewnętrznej tożsamości czatu z kontem ofiary. Atakujący mogą stworzyć stronę phishingową, która automatycznie wysyła żądanie POST z przeciekiem tokena potwierdzającego, aby powiązać swoją tożsamość czatu z kontem ofiary, umożliwiając podszywanie się w operacjach agenta i dziedziczenie uprawnień ofiary.

OpenWrt LuCI zawiera zbyt liberalną definicję ACL w luci-mod-system-mounts, która przyznaje dostęp do zapisu do /etc/crontabs/root użytkownikom przeznaczonym tylko do konfiguracji montowania. Uwierzytelnieni użytkownicy z grupą ACL mount-configuration mogą dodawać dowolne wpisy cron przez ubus file.write, które domyślny demon busybox crond wykonuje jako root w ciągu minuty.

Złośliwy GOPROXY mógł wcześniej sfałszować do dwóch kafelków sumdb, co pozwalało na obejście kontroli GOSUMDB dla żądanego modułu i utrwalenie treści modułu kontrolowanej przez atakującego w lokalnym cache modułów Go. Atak umożliwia złośliwemu GOPROXY serwowanie złośliwej treści modułu, która nie może być wykryta przez ocenę dziennika przejrzystości. Wszystkie kafelki są teraz poprawnie weryfikowane względem ich rodziców. Aby sprawdzić, czy zostałeś dotknięty: rm -r go.sum go.work.sum vendor/ && go mod tidy

Złośliwy GOSUMDB mógł serwować dowolną treść modułu nie zawartą w dzienniku przejrzystości. Ten atak pozwala skoordynowanemu GOPROXY i GOSUMDB na serwowanie klientowi złośliwej treści modułu, która nie może być wykryta przez ocenę dziennika przejrzystości. Aby sprawdzić, czy zostałeś dotknięty: rm -r go.sum go.work.sum vendor/ && go mod tidy

Komunikaty uzgadniania, takie jak KeyUpdate, są zawsze uważane za postępujące w stanie, niezależnie od tego, czy uzgadnianie zostało zakończone, czy nie. W rezultacie złośliwy klient może wysyłać komunikaty KeyUpdate, aby zmusić serwer do ciągłego wykonywania operacji wyprowadzania kluczy w nieskończoność.

Wcześniej DecodeElement resetował licznik głębokości, co powodowało, że nigdy nie został wyzwolony; mogło to prowadzić do wyczerpania stosu.

Gdy serwer jest skonfigurowany do obsługi niezaszyfrowanego HTTP/2, odczytuje kilka bajtów z każdego nowego połączenia, aby sprawdzić, czy zawierają one prefiks klienta HTTP/2. W tym przypadku ReadHeaderTimeout nie jest stosowany, co może prowadzić do problemów z limitami czasu.

Podatność dotyczy braku limitu rekurencji w funkcji Unmarshal, co może prowadzić do wyczerpania stosu podczas analizowania głęboko zagnieżdżonych, rekurencyjnych struktur.

W urządzeniach Tenda CH, CP i TX3 w wersjach V21.x/V22.x/V25.x/V26.x/V27.x stwierdzono podatność w komponencie SSH, która polega na użyciu zakodowanego na stałe hasła. Atak może być przeprowadzony zdalnie, ale wymaga wysokiego poziomu złożoności i jest trudny do wykorzystania. Opublikowano exploit, który może być użyty.