Katalog podatności CVE

W oprogramowaniu ColorFul iGameCenter w wersji 1.0.3.4 wykryto słabość w funkcji sub_140001AF0 w bibliotece ene.sys, obsługującej IOCTL. Manipulacja prowadzi do dereferencji niezaufanego wskaźnika. Atak może być przeprowadzony wyłącznie lokalnie, a exploit został publicznie udostępniony.

W Warpgate przed wersją 0.28.4 endpoint PUT /@warpgate/admin/api/users/:id/roles/:role_id nie wymaga uprawnienia AdminPermission::AccessRolesAssign. Ograniczony administrator z dowolnym uprawnieniem może zaktualizować expires_at istniejącego przypisania roli i wyczyścić revoked_at, wydłużając wygasające uprawnienie lub przywracając odebrane.

Warpgate do wersji 0.27.6 włącznie ma podatność w ścieżce SSH przez przeglądarkę, gdzie klucz hosta skoku (jump host) jest zapisywany dla adresu docelowego. W trybach Prompt i AutoAccept maszyna prezentująca klucz skoku na adresie docelowym może zostać zaakceptowana jako cel, co pozwala na przechwycenie ruchu użytkownika i nowo wydanego certyfikatu przy uwierzytelnianiu certyfikatowym. Natywna ścieżka SSH nie jest dotknięta, ponieważ śledzi każdy skok osobno. Problem naprawiono w wersji 0.27.6.

W Warpgate ścieżka powrotu SSO response_mode=form_post w sso_provider_list.rs używa serde_json::to_string bez neutralizacji sekwencji zamykającej skrypt. Wartość może trafić do bloku script przez kontrolowany przez atakującego parametr next lub przez komunikaty błędów IdP konkatenowane bez kodowania URL. Ścieżka IdP jest osiągalna, gdy atakujący kontroluje skonfigurowanego dostawcę tożsamości lub kontroluje roszczenie email/username na swoim koncie. Ofiara musi ukończyć przepływ form_post SSO, aby wstrzyknięty znacznik został wyrenderowany. CSP Warpgate blokuje wstrzyknięty JavaScript, więc skutkiem jest podszywanie się pod treść, fałszywy formularz logowania lub meta refresh. Problem naprawiono w wersji 0.27.6.

Warpgate do wersji 0.27.3 włącznie ma podatność w uwierzytelnianiu tokenem API HTTP, gdzie walidacja tokenu nie egzekwuje ograniczeń allowed_ip_ranges właściciela tokenu. Atakujący posiadający wyciekły, wyłudzony lub wykradziony token X-Warpgate-Token może go użyć z zabronionej lokalizacji sieciowej. Wdrożenia bez allowed_ip_ranges nie są dotknięte, a inne ścieżki (HTTP target proxying, SSH, MySQL, PostgreSQL, RDP, VNC, Kubernetes) nie akceptują tej podatnej ścieżki tokenu HTTP. Problem naprawiono w wersji 0.27.3.

Dell Command | Integration Suite for System Center w wersjach przed 6.7.2 ma podatność związaną z nieprawidłowymi domyślnymi uprawnieniami. Atakujący z niskimi uprawnieniami i lokalnym dostępem może wykorzystać tę podatność, prowadząc do ujawnienia informacji.

Dell Command | Intel vPro Out of Band w wersjach przed 4.7.2 ma podatność związaną z nieprawidłowymi domyślnymi uprawnieniami. Atakujący z niskimi uprawnieniami i lokalnym dostępem może wykorzystać tę podatność, prowadząc do ujawnienia informacji.

Ten identyfikator CVE został odrzucony lub wycofany przez organizację CVE Numbering Authority. Brak dostępnych szczegółów technicznych dotyczących podatności.

Warpgate, open source bastion host SSH, HTTPS i MySQL dla Linuksa, w wersjach przed 0.25.6 posiada podatność w api_get_recording_stream w warpgate-admin/src/api/recordings_detail.rs. Endpoint /@warpgate/admin/api/recordings/{uuid}/stream jest chroniony tylko uwierzytelnieniem sesji, bez wymagania uprawnień administratora do przeglądania nagrań. Każdy uwierzytelniony zwykły użytkownik może subskrybować WebSocket aktywnego nagrania i odbierać w czasie rzeczywistym dane wejściowe i wyjściowe terminala z sesji SSH, MySQL lub PostgreSQL, w tym poświadczenia i polecenia.

Warpgate przed wersją 0.25.6 ma podatność w proxy HTTP, gdzie nagłówek x-warpgate-username dostarczony przez klienta jest przekazywany przed dodaniem uwierzytelnionego użytkownika. Ponieważ konstruktor żądań zachowuje powtórzone wartości, backend ufający pierwszej wartości może autoryzować uwierzytelnionego atakującego jako innego użytkownika. Podobnie akceptowany jest zarezerwowany nagłówek x-warpgate-authentication-type. Problem naprawiono w wersji 0.25.6.

InvenTree przed wersją 1.4.0 ma podatność w renderowaniu raportów i etykiet przez WeasyPrint, gdzie uprzywilejowani użytkownicy mogą tworzyć szablony pobierające zasoby wybrane przez atakującego przez HTTP, HTTPS lub lokalny URI pliku. Brak ograniczonego url_fetcher pozwala na odczyt lokalnych plików lub odpowiedzi wewnętrznych usług, co umożliwia pełny odczyt SSRF, ujawnienie dowolnych plików lokalnych, w tym poświadczeń aplikacji, i możliwą kompromitację konta superużytkownika. Problem naprawiono w wersji 1.4.0.

InvenTree przed wersją 1.4.0 ma podatność w endpointach /api/report/print/ i /api/report/label/print/, które wymagają uwierzytelnienia, ale nie sprawdzają uprawnień per-model przed wyborem obiektów i renderowaniem ich z wybranym szablonem. Konto bez roli lub z niepowiązaną rolą może wyliczać identyfikatory obiektów i pobierać raporty zawierające dane zakupów, sprzedaży, części, BOM, zapasów, budowy, dostawców, klientów, cen i inwentaryzacji, które odpowiednie API by odmówiły. Problem naprawiono w wersji 1.4.0.

InvenTree przed wersją 1.4.0 ma podatność w endpointach /api/importer/row/ i /api/importer/mapping/, które nie ograniczają zapytań do właściciela sesji importu. Każdy uwierzytelniony użytkownik, nawet bez przypisanych ról, może podać identyfikator sesji innego użytkownika i pobrać dane wierszy oraz mapowania kolumn, ujawniając pełną zawartość danych przygotowanych do importu. Problem naprawiono w wersji 1.4.0.

InvenTree przed wersją 1.4.0 ma podatność w endpointach ustawień wtyczek, które nie wymagają uwierzytelnienia (brak uprawnienia IsAuthenticated). Niezalogowany atakujący może pobrać nazwy wtyczek, klucze ustawień, opisy, typy, wybory i niechronione wartości konfiguracyjne. Chronione wartości sekretów pozostają zamaskowane, więc ogranicza się to do metadanych i nie-sekretnej konfiguracji. Problem naprawiono w wersji 1.4.0.

InvenTree przed wersją 1.4.0 ma podatność w endpointcie /api/barcode/, który akceptuje wewnętrzny kod kreskowy JSON zsyntetyzowany przez atakującego, zawierający małą literę modelu i klucz główny. Endpoint wymaga tylko uwierzytelnienia lub ogólnego zakresu odczytu, a wbudowana wtyczka kodu kreskowego zwraca pełny serializer modelu bez sprawdzania uprawnień per-model. Użytkownik z niskimi uprawnieniami może wyliczać klucze główne dla części, zapasów, lokalizacji, części dostawców i producentów, zamówień i budów, ujawniając wrażliwe dane handlowe. Problem naprawiono w wersji 1.4.0.

Warpgate to open-source'owy bastion SSH, HTTPS i MySQL dla Linuksa. Przed wersją 0.25.5 endpoint /@warpgate/api/sso/providers/:name/start przechowuje kontrolowany przez atakującego parametr next, który handler POST /@warpgate/api/sso/return wstawia bez escapowania HTML do odpowiedzi generowanej przez warpgate-protocol-http/src/api/sso_provider_list.rs. Ofiara, która kliknie spreparowany link i ukończy SSO, może spowodować wykonanie znaczników i JavaScriptu w uwierzytelnionym originie Warpgate, co umożliwia dostęp do danych sesji i działań przez API użytkownika, a przez API administratora tylko gdy ofiara jest administratorem. Ścieżka GET /@warpgate/api/sso/return również używa tej samej niezwalidowanej wartości jako celu przekierowania, umożliwiając otwarte przekierowanie.

Dell Command Powershell Provider (DCPP) w wersjach przed 2.10.2 zawiera podatność polegającą na umieszczaniu poufnych informacji w plikach dziennika. Atakujący z niskimi uprawnieniami i dostępem lokalnym może wykorzystać tę podatność, prowadząc do ujawnienia informacji.

W sterowniku Time-aware GPIO w Zephyr OS brakuje walidacji wskaźników wyjściowych w syscallu tgpio_pin_read_ts_ec(), co pozwala nieuprzywilejowanemu wątkowi na zapis do dowolnej pamięci jądra. Podatność występuje tylko w konfiguracjach z CONFIG_USERSPACE=y i CONFIG_TIMEAWARE_GPIO=y, a praktyczny zakres jest ograniczony przez problemy z kompilacją w niektórych wersjach.

Telegram Desktop w wersjach przed 6.9.4 pozwala na XSS w eksporterze HTML. Podatność występuje w button.text.toUtf8 w export_output_html.cpp. Wykorzystanie jest możliwe tylko wtedy, gdy ofiara użyła eksportu HTML, ale złośliwy ładunek może zostać wyeksportowany, jeśli wiadomość została przekazana do grupy przez członka.

Biblioteka Email::Sender::Transport::Sendmail w wersjach przed 2.602 dla Perla pozwala na wykonanie dowolnych poleceń w systemie Windows podczas wysyłania wiadomości, której adres koperty trafia do powłoki w funkcji _sendmail_pipe. Na platformie MSWin32 adres nadawcy i wszystkich odbiorców są łączone w jeden łańcuch polecenia przekazywany do powłoki przez open(). Atakujący kontrolujący jeden z tych adresów nagłówkowych może wykonać polecenia z uprawnieniami procesu wysyłającego.