Katalog podatności CVE

Biblioteka jsmn w commicie 25647e6 jest podatna na przepełnienie bufora (buffer overflow) w funkcji dump() w pliku example/jsondump.c.

NanoSVG w commicie 239e102ec zawiera podatność nieprawidłowej konwersji numerycznej w funkcji nsvg__addActive() rasteryzatora. Specjalnie spreparowany dokument SVG z wystarczająco dużymi współrzędnymi geometrii może spowodować, że współrzędne krawędzi skalowane stałoprzecinkowo przekroczą zakres reprezentowalny przez typ int.

NanoSVG w commicie 239e102ec zawiera podatność nieprawidłowej konwersji numerycznej w funkcji nsvg__pathArcTo() podczas parsowania poleceń łuku SVG. Specjalnie spreparowany dokument SVG z ekstremalnymi wartościami promienia łuku może spowodować, że pośrednie obliczenia łuku wygenerują kąt delta o wartości NaN.

Biblioteka minimp3 w commicie ea99364f zawiera podatność przepełnienia liczb całkowitych (integer overflow) w funkcji mp3dec_skip_id3v1() podczas parsowania pola rozmiaru tagu APEv2.

MuJS w commicie e892c9fdb zawiera podatność nieprawidłowej konwersji numerycznej w funkcji jsR_isindex() w pliku jsrun.c. Specjalnie spreparowane wejście JavaScript zawierające nadmiernie duży indeks tablicy numerycznej może spowodować konwersję wartości zmiennoprzecinkowej poza zakresem do liczby całkowitej bez odpowiedniej walidacji zakresu.

SumatraPDF 3.6.1 zawiera podatność na przepełnienie liczby całkowitej w funkcji EngineMupdf::BuildPageLabelRec() podczas parsowania wpisów /Nums w PageLabels pliku PDF.

simdjson 4.6.1 zawiera podatność na odczyt poza zakresem o jeden bajt w funkcji dom::parser::parse_unpadded(). Specjalnie spreparowany, skrócony dokument JSON, którego końcowy token strukturalny zamyka zagnieżdżoną tablicę lub obiekt, może spowodować, że json_iterator::walk_document() uzyska dostęp do buf[len] po wyczerpaniu bufora wejściowego.

nDPI 5.1.0 zawiera problem z dostępem do pamięci w kodzie deserializacji dyssektora DNS. Specjalnie spreparowane dane sieciowe mogą powodować rzutowanie adresów bufora na nieparzystych offsetach na wskaźniki uint16_t lub szersze i bezpośrednie dereferencjonowanie bez sprawdzania wyrównania.

W tinyexpr (commit 4a7456e) istnieje podatność na nieprawidłowe obliczenie rozmiaru bufora w funkcji new_expr(). Dla węzłów wyrażeń o arności 0, w tym stałych, zmiennych i funkcji bezargumentowych, funkcja alokuje mniej pamięci niż sizeof(te_expr), ale traktuje zwróconą alokację jako pełny obiekt te_expr.

Termix w wersjach od 1.7.0 do 2.5.1 w procesie wdrażania kluczy SSH tworzy wzorzec grep z danych kontrolowanych przez użytkownika i wstawia go do poleceń powłoki wykonywanych na zdalnym hoście. Uwierzytelniony użytkownik może wstrzyknąć polecenia powłoki i wykonać je z uprawnieniami wybranego konta zdalnego. Problem naprawiono w wersji 2.5.1.

Termix w wersjach od 2.5.0 do 2.5.1 pozwala uwierzytelnionym użytkownikom skonfigurować kanały powiadomień webhook lub ntfy z adresami URL kontrolowanymi przez atakującego i wywołać żądania po stronie serwera przez endpoint testowy. Brak listy dozwolonych adresów i blokowania adresów prywatnych umożliwia żądania do wewnętrznych usług HTTP. Problem naprawiono w wersji 2.5.1.

Termix w wersjach od 1.7.0 do 2.5.1 w endpoincie POST /credentials/:id/deploy-to-host pobiera rekordy poświadczeń i hostów na podstawie wartości credentialId i targetHostId bez sprawdzenia, czy należą one do żądającego użytkownika. Błędy różnicowe ujawniają istnienie rekordów oraz wartość authType, a host uwierzytelniany kluczem może otrzymać próbę połączenia SSH z kluczem publicznym atakującego. Problem naprawiono w wersji 2.5.1.

Termix w wersjach od 1.8.0 do 2.5.1 pozwala uwierzytelnionym użytkownikom na dostęp do API statystyk serwera bez autoryzacji per host. Endpointy GET /status, GET /status/:id oraz POST /clear-connections ujawniają stan hostów i pozwalają zwykłemu użytkownikowi wyczyścić globalną pulę połączeń SSH. Problem naprawiono w wersji 2.5.1.

BentoPDF w wersji 2.8.6 i wcześniejszych ma podatność w proxy CORS dla certyfikatów i znaczników czasu w cloudflare/cors-proxy-worker.js, które używa isPrivateOrReservedHost() do walidacji nazwy hosta oddzielnie od rozwiązywania DNS używanego przez fetch(targetUrl), co pozwala na rozwiązanie nazwy hosta do wewnętrznego lub zastrzeżonego miejsca po walidacji. Ścieżka podobna do certyfikatu może spełnić ALLOWED_PATH_PATTERNS, a bezpośredni klienci mogą sfałszować nagłówek Origin. Wdrożenia bez PROXY_SECRET pomijają opcjonalną kontrolę podpisu.

LaSuite Doc w wersjach od 4.8.2 do 5.4.0 w endpoincie GET /api/v1.0/documents/search/ akceptuje sekwencyjne siedmiocyfrowe ścieżki dokumentów bez wymagania znajomości publicznego UUID. Nieuwierzytelniony atakujący może wyliczać publiczne poddrzewa dokumentów, uzyskując identyfikatory, tytuły, dane twórców i metadane, a różnice w odpowiedziach 403/404 ujawniają istnienie ścieżek. Problem naprawiono w wersji 5.4.0.

Kontrola dostępu do drzwi na statku Norwegian Cruise Line przyznaje dostęp wyłącznie na podstawie statycznego 7-bajtowego UID zapisanego na chipie NFC NTAG212. UID to numer seryjny producenta, wysyłany jawnie przy każdym odczycie i nie jest przeznaczony do celów uwierzytelniania.

RabbitMQ w wersjach przed 3.13.15, 4.0.20, 4.1.11, 4.2.6 i 4.3.1 pozwala użytkownikowi z tagiem monitorowania usuwać lub restartować dowolne dynamiczne shovel w każdym vhost, który widzi. Endpoint zarządzania shovel deleguje autoryzację do sprawdzenia monitorującego, mimo że operacja DELETE powinna być ograniczona do roli policymaker. Problem naprawiono w wymienionych wersjach.

BentoPDF to samodzielnie hostowany zestaw narzędzi PDF działający po stronie klienta. W wersji 2.8.6 i wcześniejszych funkcja deserializeWorkflow() przyjmuje kontrolę tsaUrl węzła Timestamp z importowanego JSON bez walidacji schematu i miejsca docelowego. Gdy użytkownik zaimportuje spreparowany workflow i uruchomi go na pliku PDF, funkcja timestampPdf() wysyła żądanie RFC 3161 TimeStampReq zawierające skrót SHA-256 dokumentu do punktu końcowego wybranego przez atakującego. Domyślna konfiguracja samodzielnego hostowania nie ustawia VITE_CORS_PROXY_URL, więc żądanie omija kontrole ALLOWED_TSA_HOSTS proxy i jest wysyłane bezpośrednio. Ujawniony skrót może potwierdzić, że dokument odpowiada znanemu plikowi, oraz skorelować ten sam dokument między użytkownikami bez ujawniania jego treści. Podatność naprawiono w wersji 2.8.7.

Logto od wersji 1.31.0 do 1.42.0 ma podatność w handlerach API konta w packages/core/src/routes/account/third-party-tokens.ts, które pozwalają posiadaczowi tokenu dostępu z tylko zakresem openid na pobranie przechowywanych tokenów dostępu dostawcy SSO przez GET /api/my-account/identities/{target}/access-token lub GET /api/my-account/sso-identities/{connectorId}/access-token. Handlery uwierzytelniają użytkownika, ale nie wymagają zakresu identities, który chroni sąsiednie operacje, omijając granicę zgody API.

Logto przed wersją 1.43.0 pobiera dane z adresów kontrolowanych przez administratora bez walidacji adresu połączenia. Dostarczanie webhooków oraz niestandardowe i OIDC konektory mogą docierać do adresów specjalnego przeznaczenia i metadanych chmury, co może ujawnić wewnętrzne dane lub poświadczenia dostawcy. Problem został naprawiony w wersji 1.43.0.