Katalog podatności CVE

hexpm (hex.pm) ma podatność na niewystarczające wygasanie sesji w tokenach OAuth. Użytkownik, którego członkostwo w organizacji lub sesja dobiegła końca, może nadal czytać prywatne pakiety organizacji i dokumentację dzięki zachowanemu tokenowi odświeżającemu. Dostęp jest tylko do odczytu i ograniczony do organizacji, do których konto należało w momencie przyznania tokenu.

Twenty to otwarta platforma CRM. Przed wersją 2.22.0 uprawnienia do odczytu na poziomie pola są egzekwowane dla wybranych pól wyjściowych, ale nie dla predykatów filtrów GraphQL lub REST. Członek przestrzeni roboczej lub klucz API z uprawnieniem do odczytu obiektu, ale bez dostępu do konkretnego pola, może odwołać się do tego pola w filtrach bezpośrednich, relacyjnych lub zapisanych, a wynikowe totalCount i obecność wierszy ujawniają, czy zgadywane wartości pasują do rzeczywistej kolumny, tworząc wyrocznię boolean/count.

W radare2 przed wersją 6.2.0 parser zrzutów awaryjnych Windows 64-bit (dmp64) był podatny, ponieważ używał kontrolowanej przez dane wejściowe wartości PageCount (liczba stron w obszarze pamięci fizycznej) bezpośrednio jako granicy pętli alokacji na stronę. Podatność jest wyzwalana przez otwarcie małego, spreparowanego pełnego zrzutu pamięci Windows. Parser wielokrotnie alokował i dołączał deskryptory stron bez walidacji liczby względem rozmiaru zrzutu, co może powodować odmowę usługi poprzez nadmierne zużycie pamięci i czasu przetwarzania.

W radare2 przed wersją 6.2.0 parser łańcuchów poprawek relokacji NE był podatny, ponieważ podążał za łańcuchami poprawek bez aktywnego limitu iteracji lub wykrywania cykli. Podatność jest wyzwalana przez otwarcie spreparowanego pliku wykonywalnego NE, którego wpis relokacji w granicach wskazuje z powrotem na siebie zamiast osiągnąć 0xffff. Parser wielokrotnie przetwarzał tę samą relokację i alokował nowy obiekt relokacji w każdej iteracji, co może powodować odmowę usługi poprzez ciągłe zużycie CPU i pamięci.

radare2 przed wersją 6.2.0 zawiera podatność w parserze plików Mach-O (LC_DATA_IN_CODE), który ufa wartościom dataoff i datasize, co może prowadzić do odczytu poza buforem (heap out-of-bounds read) przy przetwarzaniu specjalnie spreparowanego pliku. Atak wymaga włączenia opcji bin.verbose. Może to spowodować zakończenie procesu, ale nie wykazano ujawnienia pamięci.

radare2 przed wersją 6.2.0 zawiera podatność w parserze bytecode Lua 5.3, który odczytuje pola metadanych bez sprawdzania długości bufora. Przy otwarciu spreparowanego pliku z łańcuchem nazwy funkcji kończącym się na granicy bufora, parser czyta poza przydzieloną pamięć, co może powodować błędne wyniki lub zakończenie procesu.

radare2 przed wersją 6.2.0 zawiera podatność w parserze Unicode plików binarnych property-list, która nie przydziela odpowiedniej ilości pamięci i nie gwarantuje zakończenia NUL. Uruchomienie komend pFB lub pFBj na nietworzonych danych może spowodować odczyt poza pamięcią, co prowadzi do ujawnienia niezainicjalizowanych lub sąsiednich danych w wyjściu JSON lub zakończenia procesu.

radare2 przed wersją 6.2.0 zawiera podatność w parserze metadanych Swift dla plików Mach-O, gdzie względny wskaźnik może być niższy niż baza sekcji, co prowadzi do ujemnego indeksu. Przy parsowaniu metadanych ze spreparowanego pliku, parser odczytuje cztery bajty przed buforem, co może powodować nieprawidłowe przetwarzanie lub zakończenie procesu.

W radare2 przed wersją 6.2.0 loader formatu Apple Preferred Executable Format (PEF) był podatny, ponieważ akceptował wartości relocSecCount nieograniczone przez liczbę sekcji lub kompletnych rekordów relokacji w danych wejściowych. Podatność jest wyzwalana przez normalne automatyczne wykrywanie formatu binarnego małego spreparowanego pliku Apple PEF. Loader mógł wykonać do 268 435 456 iteracji sekcji relokacji i powtarzanych operacji na buforze po przesunięciu offsetów rekordów poza koniec pliku, co może powodować odmowę usługi poprzez nadmierne zużycie CPU i przedłużone przetwarzanie.

W radare2 przed wersją 6.2.0 obsługa ELF PN_XNUM była podatna, ponieważ parser ELF alokował tablicę nagłówków programu przy użyciu rozwiązanej wartości PN_XNUM, ale kilka konsumentów nadal iterowało z oryginalną wartością e_phnum równą 65535. Podatność jest wyzwalana przez przetwarzanie spreparowanego pliku ELF z e_phnum = 0xffff i znacznie mniejszą rozwiązaną liczbą w shdr[0].sh_info. Konsumenci iterowali poza zaalokowaną tablicą nagłówków programu, co może powodować odczyt poza granicami sterty i zakończenie procesu, prowadząc do odmowy usługi; ujawnienie pamięci i wykonanie kodu nie zostały wykazane.

W radare2 przed wersją 6.2.0 parser marshal bajtkodu CPython .pyc był podatny, ponieważ czytniki marshal CPython akceptowały 32-bitową długość łańcucha bez odrzucania wartości przepełniających alokację rozmiar-plus-jeden. Podatność jest wyzwalana przez otwarcie lub inspekcję spreparowanego pliku .pyc za pomocą r2 lub rabin2. Długość 0xffffffff powodowała zawinięcie alokacji do zera, zanim wspólny czytnik bajtów zapisał kontrolowane przez atakującego dane i bajty wypełniające poza alokacją sterty, co może powodować uszkodzenie pamięci sterty i odmowę usługi; wykonanie dowolnego kodu jest możliwe, ale nie zostało wykazane.

Lantronix SLC8000 (przed firmware v9.7.0.5), SLC9000 (przed v9.7.0.2), EMG8500/EMG7500 (przed v9.7.0.1) oraz wszystkie wersje firmware SLB882/SLCx-03/SLCx-02 zawierają podatność na przejście ścieżki (path traversal) w punkcie końcowym przesyłania portalu zarządzania webowego. Uwierzytelniony atakujący może zapisać dowolne dane w dowolnym miejscu w systemie plików urządzenia, prowadząc do zdalnego wykonania kodu.

Lantronix SLC8000 (przed firmware v9.7.0.5), SLC9000 (przed v9.7.0.2), EMG8500/EMG7500 (przed v9.7.0.1) oraz wszystkie wersje firmware SLB882/SLCx-03/SLCx-02 zawierają podatność na obejście uwierzytelnienia w punkcie końcowym przesyłania portalu zarządzania webowego. Nieuwierzytelniony atakujący może odczytać poufne pliki konfiguracyjne i przesłać pliki do dowolnych lokalizacji w systemie plików, prowadząc do zdalnego wykonania kodu.

Wszystkie wersje firmware Lantronix SLC8000, SLC9000, EMG8500, EMG7500, SLB882, SLCx-03 i SLCx-02 zawierają podatność polegającą na obejściu uwierzytelniania w portalu zarządzania web, która pozwala nieuwierzytelnionym atakującym na wyprowadzenie ważnych tokenów sesji zalogowanych użytkowników i obejście walidacji źródłowego adresu IP oraz User-Agent. Tokeny sesji są generowane deterministycznie na podstawie modelu urządzenia i bieżącego czasu z rozdzielczością jednej sekundy, co daje mały, możliwy do wyliczenia zbiór aktywnych tokenów.

Lantronix SLC8000 (przed firmware v9.7.0.3), SLC9000 (przed v9.7.0.2), EMG8500/EMG7500 (przed v9.7.0.1) oraz wszystkie wersje firmware SLB882/SLCx-03/SLCx-02 zawierają podatność na wstrzyknięcie poleceń. Uwierzytelniony atakujący z uprawnieniem 'services' może wykonać dowolne polecenia powłoki jako root poprzez polecenie 'set script schedule', które przekazuje nieoczyszczone dane wejściowe do wywołania system().

Lantronix SLC8000 (przed firmware v9.7.0.3), SLC9000 (przed v9.7.0.2), EMG8500/EMG7500 (przed v9.7.0.1) oraz wszystkie wersje firmware SLB882/SLCx-03/SLCx-02 zawierają podatność na wstrzyknięcie poleceń. Uwierzytelniony atakujący z uprawnieniem 'services' może wykonać dowolne polecenia powłoki jako root poprzez polecenie 'set nfs download', które przekazuje nieoczyszczone dane wejściowe do wywołania system().

Urządzenia Lantronix SLC8000 (przed firmware v9.7.0.3), SLC9000 (przed v9.7.0.2), EMG8500/EMG7500 (przed v9.7.0.1) oraz wszystkie wersje SLB882 zawierają podatność SSRF w listenerze WebSSH/WebTelnet. Nieuwierzytelniony atakujący może zmodyfikować parametr rooturl, aby przekierować połączenie Telnet do dowolnego hosta lub adresu IP. Umożliwia to wyliczanie i komunikację z wewnętrznymi punktami końcowymi sieci.

Urządzenia Lantronix SLC8000 (przed firmware v9.7.0.3), SLC9000 (przed v9.7.0.2), EMG8500/EMG7500 (przed v9.7.0.1) oraz wszystkie wersje SLB882 zawierają podatność SSRF w listenerze WebSSH/WebTelnet. Nieuwierzytelniony atakujący może zmodyfikować parametr rooturl, aby przekierować połączenie SSH do dowolnego hosta lub adresu IP. Umożliwia to wyliczanie i komunikację z wewnętrznymi punktami końcowymi sieci.

Urządzenia Lantronix SLC8000 (przed firmware v9.7.0.3), SLC9000 (przed v9.7.0.2), EMG8500/EMG7500 (przed v9.7.0.1) oraz wszystkie wersje SLB882 zawierają podatność SSRF w listenerze WebSSH/WebTelnet. Niestandardowy shellinaboxd buduje cel połączenia SSH za pomocą snprintf z danymi od użytkownika; podanie zbyt długiej nazwy użytkownika powoduje obcięcie sufiksu adresu IP urządzenia i przekierowanie połączenia do dowolnego hosta. Umożliwia to wyliczanie i komunikację z wewnętrznymi punktami końcowymi sieci.

W urządzeniach Lantronix SLC8000/SLC9000 (przed firmware v9.7.0.2), EMG8500/EMG7500 (przed firmware v9.7.0.1) oraz we wszystkich wersjach firmware SLB882/SLCx-03/SLCx-02 występuje przepełnienie bufora na stosie. Uwierzytelniony atakujący może potencjalnie wykonać dowolny kod, wykorzystując nieudokumentowaną komendę zapisu mfc eeprom, która kopiuje nieograniczone dane wejściowe do bufora stosu przed przekazaniem ich do wywołania system().