Katalog podatności CVE

W Brocade SANnav w wersjach przed 3.0.1a wewnętrzne porty usług mają niebezpieczne mechanizmy kontroli dostępu, co pozwala lokalnym użytkownikom hosta bez uprawnień administracyjnych komunikować się bezpośrednio z usługami zarządzającymi backendu. Lokalny atakujący może wykorzystać ten dostęp do wysyłania poleceń do podłączonych przełączników Fabric OS w kontekście bezpieczeństwa użytkownika zarządzającego SANnav.

Imprivata EAM w wersji 26.2.6 i wcześniejszych nie umożliwia rotacji pary kluczy RSA po wdrożeniu podczas generowania certyfikatu X.509. Używanie pary kluczy RSA przez czas nieokreślony do generowania certyfikatów jest sprzeczne z najlepszymi praktykami.

OpenC3 COSMOS zapewnia funkcjonalność wysyłania poleceń i odbierania danych z jednego lub więcej systemów wbudowanych. Od wersji 5.1.0 do 7.3.0, uwierzytelnieni użytkownicy niebędący administratorami mogą zapisywać treści w katalogu targets_modified/, które są później wykonywane przez wiele ścieżek konfiguracyjnych poniżej zamierzonego poziomu uprawnień do wykonywania kodu. Definicje tabel i poleceń lub telemetrii są przetwarzane przez ConfigParser, PacketConfig, GENERIC_READ_CONVERSION lub GENERIC_WRITE_CONVERSION, umożliwiając renderowanie ERB lub ocenę Ruby i Pythona, podczas gdy openc3-cosmos-script-runner-api/scripts/run_suite_analysis.rb wykonuje pliki procedur suite przez require. Przesyłanie danych do magazynu, zapisy ekranów i tworzenie skryptów mogą umieścić treści w nakładce, a wyzwolenie przetwarzania tabel, przeładowania cmd/tlm lub analizy suite wykonuje treści w cmd-tlm-api, decom microservices lub Script Runner z dostępem do wewnętrznych poświadczeń i danych. Problem został naprawiony w wersji 7.3.0.

W OpenC3 COSMOS od wersji 5.12.0 do 7.3.0 uwierzytelniony użytkownik może zapisać ustawienie pypi_url przez set_setting w POST /openc3-api/api, a następnie doprowadzić do interpolacji tej wartości do polecenia powłoki podczas instalacji wtyczki z metadanymi zależności Pythona. Znaki specjalne powłoki w ustawieniu są interpretowane przez shell, co pozwala na wykonanie dowolnych poleceń systemowych jako użytkownik usługi openc3 z dostępem do poświadczeń Redis i bucketów.

W bibliotece JLine od wersji 3.0.0 do 3.30.15 i 4.3.1 wbudowana przeglądarka less przekazuje wzorce wyszukiwania i filtra wyświetlania kontrolowane przez użytkownika bezpośrednio do silnika wyrażeń regularnych Javy z nawrotami i wielokrotnie stosuje je do zawartości pliku. Wyrażenie z zagnieżdżonymi kwantyfikatorami oceniane na niedopasowanych liniach może zużyć nadmierną ilość CPU i trwale zablokować wątek sesji, a powtarzane sesje w Telnet lub SSH mogą wyczerpać ograniczoną pulę workerów.

W bibliotece JLine od wersji 3.0.0 do 3.30.15 i 4.3.1 wbudowane polecenie grep przyjmuje kontrolowane przez użytkownika wyrażenie regularne i, o ile nie użyto trybu line-regexp, automatycznie dodaje prefiks i sufiks dot-star przed kompilacją w silniku wyrażeń regularnych Javy z nawrotami. Rozszerzenie to powiększa przestrzeń przeszukiwania, więc krótkie wyrażenie z zagnieżdżonymi kwantyfikatorami oceniane na niedopasowanych danych może zużyć nadmierną ilość CPU i trwale zablokować worker polecenia, także w zdalnie dostępnych sesjach powłoki.

Biblioteka JLine do obsługi konsoli w Javie ma podatność w wbudowanym edytorze nano, gdzie tryb wyszukiwania regex przekazuje kontrolowany przez użytkownika termin do silnika wyrażeń regularnych bez limitu czasu lub ograniczenia cofania. Złośliwe wyrażenie może powodować nadmierne zużycie CPU i zablokowanie wątku sesji edytora.

Biblioteka JLine ma podatność w metodzie DefaultHistory.matchPatterns, gdzie wartość konfiguracji HISTORY_IGNORE jest konwertowana na wyrażenie regularne z niepełnym escapowaniem składni. Atakujący kontrolujący konfigurację może dostarczyć złośliwe wyrażenie, które jest przetwarzane przy każdym dodaniu komendy do historii, powodując nadmierne zużycie CPU i blokadę wątku czytnika.

W OpenC3 COSMOS od wersji 5.0.6 do 7.3.0 uwierzytelniony użytkownik z uprawnieniem system_set może zapisać współdzielony ekran przez POST /openc3-api/screen, którego akcja widżetu BUTTON jest wykonywana w przeglądarce innego operatora po aktywowaniu przycisku. Zapisany skrypt działa w origin COSMOS i może odczytać localStorage.openc3Token, co pozwala na kradzież tokenu bearer ofiary, przejęcie konta i działania z uprawnieniami ofiary.

OpenBao Agent w trybie renderowania exec mógł zapisywać sekrety z env_template na standardowe wyjście, gdy plik exec.go odtwarzał runner szablonu po powtarzających się błędach renderowania, głównie po osiągnięciu num_retries. Proces nadzorujący, kolektor logów lub lokalny użytkownik z dostępem do tego wyjścia mógł odczytać wyrenderowane wartości sekretów. Problem naprawiono w wersji 2.6.0.

W CopyAPIView (awx/awx/api/generics.py:873) ustawiono permission_classes = (IsAuthenticated,), więc get_object() DRF nie wykonuje kontroli RBAC na poziomie obiektu. Handler get() jawnie sprawdza request.user.can_access(obj._class_, 'read', obj), ale post() tego nie robi — sprawdza jedynie can_access(model, 'add', create_kwargs_check) oraz can_access(model, 'copy_related', obj). Dla JobTemplate uprawnienia can_add i can_copy_related nie implikują prawa odczytu źródłowego szablonu zadania.

W wtyczce Formie do Craft CMS w wersjach przed 2.2.23 i 3.1.31 akcja formie/sent-notifications/get-resend-modal-content w SentNotificationsController::actionGetResendModalContent przyjmuje identyfikator powiadomienia z żądania bez sprawdzenia uprawnień ani autoryzacji na poziomie obiektu. Każdy uwierzytelniony użytkownik mogący wywołać tę akcję może enumerować identyfikatory powiadomień i odczytywać nagłówki odbiorców oraz pełne treści HTML wiadomości e-mail zawierające dane z formularzy, nawet bez uprawnienia do przeglądania wysłanych powiadomień.

W wtyczce Formie do Craft CMS w wersjach przed 2.2.23 i 3.1.31 anonimowa akcja formie/submissions/submit w SubmissionsController::actionSubmit ufa identyfikatorowi submissionId dostarczonemu przez klienta przy ładowaniu niekompletnego zgłoszenia bez powiązania z sesją, walidacji własności lub ważnego submissionEditToken. Nieuwierzytelniony atakujący może enumerować sekwencyjne identyfikatory i nadpisać lub przejąć zgłoszenie innego użytkownika w trakcie wypełniania, a zmodyfikowane dane mogą zostać zapisane i przekazane dalej przez powiadomienia lub integracje.

W wtyczce Formie do Craft CMS w wersjach przed 2.2.23 i 3.1.31 akcja formie/integrations/form-settings w IntegrationsController::actionFormSettings jest dostępna bez wymaganych uprawnień do integracji formularzy i przekazuje ustawienia z żądania do skonfigurowanej integracji. Uwierzytelniony atakujący może zastąpić właściwości hosta wychodzącego, takie jak apiUrl, podczas gdy serwer używa zapisanych kluczy API lub tokenów OAuth, powodując nieślepe żądania po stronie serwera do hosta kontrolowanego przez atakującego lub wewnętrznego i zwracając zdalną odpowiedź.

NetworkManager-l2tp do wersji 1.52.4 (naprawione w 1.52.6) zawiera podatność na podniesienie uprawnień. Lokalny użytkownik z prawem tworzenia połączeń VPN może wstrzyknąć opcje pppd poprzez spreparowaną nazwę użytkownika VPN (zawierającą cudzysłów lub biały znak), co pozwala na wykonanie dowolnego kodu jako root.

Funkcja RunAdHocCommand.build_args() dołącza parametr limit jako pozycyjny argument (args.append(limit)) zamiast używać args.extend(['-l', limit]) jak w RunJob. Limit rozpoczynający się od myślnika jest interpretowany jako opcja CLI ansible. Obecnie ograniczone do flag krótkiego spięcia (--version, --help), ponieważ wstrzyknięty element wypiera wymagany argument wzorca. Eskalowałoby, gdyby ansible-core kiedykolwiek ustawiło wzorzec jako domyślny.

LaunchConfigurationBaseSerializer.scm_branch nie ma walidacji validate_scm_branch() sprawdzającej wiodący myślnik, w przeciwieństwie do serializatorów Project/JobTemplate/JobLaunch. Schedule i WFJT Node akceptują --upload-pack=/bin/id jako scm_branch. Obecnie blokowane w czasie działania przez sprawdzenie ValueError w jobs.py:1502 (obrona w głąb), ale luka w walidacji API oznacza poleganie wyłącznie na zabezpieczeniu warstwy zadań. Usunięcie tego zabezpieczenia podczas refaktoryzacji przekształciłoby to w RCE.

Biała lista AST Jinja szablonów powiadomień sprawdza tylko statyczne węzły Getattr. Dynamiczne indeksy (job['job'+'_env']) i warunkowe bramkowanie {% if job.id > 100 %} omijają zarówno sprawdzenie AST, jak i test-render (stub ma mały job.id). W czasie działania bramkowana gałąź wykonuje się, a wyjątki zapisują pełne ślady stosu do treści powiadomienia, które jest wysyłane POSTem do kontrolowanego przez atakującego URL webhooka. Ujawnia ścieżki instalacji, wersję Pythona, numery linii źródłowych.

Metoda StringListPathField.to_internal_value() wywołuje os.path.exists() na nieograniczonych ścieżkach podanych przez użytkownika. Różnica w odpowiedziach 200 vs 400 ujawnia istnienie dowolnych ścieżek bezwzględnych w podzie controller-web, w tym plików wrażliwych jak SECRET_KEY czy tokeny konta serwisowego.

Metoda HostList.list() łapie wyjątek Exception i zwraca str(e) bezpośrednio. Poprzez host_filter, każdy uwierzytelniony użytkownik może wywołać Django FieldError (ujawniający pełny graf relacji modelu Host) lub PostgreSQL DataError (ujawniający surowe błędy bazy danych).