Katalog podatności CVE

W bibliotece usbredir wykryto błąd zapisu poza granicami bufora. Rozpoczęcie strumienia izochronicznego OUT z liczbą transferów równą 1 pozostawia pojedynczy bufor transferu trwale niezgłoszony, co omija sprawdzanie granic w usbredirhost_iso_packet() i pozwala drugiej stronie usbredir zapisywać poza końcem tablicy deskryptorów pakietów przy każdym kolejnym pakiecie izochronicznym.

W platformie Graylog API aktualizacji widoków dla zapisanych wyszukiwań i pulpitów pozwala użytkownikowi z uprawnieniem edycji, ale bez własności encji, dołączyć shareRequest przyznający uprawnienia właściciela dowolnemu kontu. Wybrane konto może następnie usunąć zapisane wyszukiwanie lub pulpit albo odebrać dostęp pierwotnemu właścicielowi. Problem dotyczy wersji od 6.3.0 do 6.3.14, 7.0.9 i 7.1.4.

KubeEdge, open source system do rozszerzania natywnych możliwości orkiestracji kontenerów na hosty brzegowe, w wersjach od 1.16.0 do 1.21.2, 1.22.2 i 1.23.1 posiada podatność w funkcji DecompressTarGz w keadm/cmd/keadm/app/cmd/util/common.go. Funkcja łączy nazwy wpisów archiwum z miejscem rozpakowania bez wystarczającej walidacji. Podczas keadm join lub instalacji na węzłach brzegowych Windows archiwum pochodzące z niezaufanego źródła może zawierać komponenty katalogu nadrzędnego, ukośniki w stylu Windows, ścieżki absolutne lub ścieżki z prefiksem dysku, które wychodzą poza zamierzony katalog.

KubeEdge, open source system do rozszerzania natywnych możliwości orkiestracji kontenerów na hosty brzegowe, w wersjach od 1.21.0 do 1.21.2, 1.22.2 i 1.23.1 posiada podatność w przetwarzaniu ConfigUpdateJob w edge/pkg/taskmanager/actions/configupdatejob.go. Wartości updateFields kontrolowane przez uwierzytelnionego użytkownika są łączone z poleceniem keadm config-update i wykonywane przez powłokę systemową. Użytkownik z uprawnieniami do tworzenia lub modyfikowania zasobów ConfigUpdateJob może umieścić metaznaki powłoki w wartości --set i spowodować wykonanie dowolnych poleceń na docelowym węźle brzegowym z uprawnieniami procesu KubeEdge.

W systemie InvenTree endpoint POST /api/machine/{pk}/restart/ używa IsAuthenticatedOrReadScope bez wymagania roli ADMIN, która jest wymagana przy innych operacjach zarządzania maszynami. Każdy uwierzytelniony użytkownik bez roli ADMIN, w tym użytkownik magazynu z samą rolą STOCK, może wywołać MachineRestart i zrestartować dowolną zarejestrowaną maszynę, resetując jej status i przerywając aktywne drukowanie, skanowanie lub inne operacje. Problem naprawiono w wersji 1.4.0.

W CKAN MCP Server zabezpieczenie SSRF validateServerUrl sprawdza tylko nazwę hosta i nigdy nie wykonuje zapytania DNS. Każdy dostarczony przez wywołującego server_url, którego nazwa hosta rozwiązuje się na adres wewnętrzny, przechodzi walidację, więc serwer wysyła żądania do loopbacku i metadanych chmurowych (169.254.169.254). Jest to trzecie obejście tego samego zabezpieczenia, sięgające IMDS. Poprawka znajduje się w wersji 0.4.108.

W HomeBox domyślnie włączone zabezpieczenia SSRF BlockBogonNets i BlockCloudMetadata w notifier_url.go nie sprawdzają adresów IPv4 osadzonych w prefiksach NAT64 64:ff9b::/96 i 64:ff9b:1::/48. Uwierzytelniony użytkownik może przesłać notifier generic:// przez POST /v1/notifiers lub POST /v1/notifiers/test, a w instancji z wyjściem NAT64/DNS64 brama może przetłumaczyć zaakceptowany adres IPv6 na metadane chmurowe, localhost lub inny wewnętrzny host IPv4. Ścieżka testowa zwraca informacje o wyniku dostarczenia, co może ujawnić pobrane metadane, takie jak tymczasowe poświadczenia. Problem naprawiono w wersji 0.26.0.

HomeBox, system inwentaryzacji i organizacji domu, w wersjach przed 0.26.0 posiada podatność w NotifierRepository.Update w backend/internal/data/repo/repo_notifier.go. Funkcja aktualizuje notifier przez UpdateOneID(id) bez wymagania zgodności identyfikatora użytkownika rekordu z uwierzytelnionym użytkownikiem. Uwierzytelniony użytkownik, który poda UUID notifiera innego najemcy do PUT /v1/notifiers/{id}, może odczytać zwrócony zapisany URL, który może zawierać poświadczenia Shoutrrr w postaci jawnej dla Slack, SMTP, Telegram, Pushover lub Discord, oraz może zastąpić URL, aby przekierować powiadomienia ofiary do webhooka kontrolowanego przez atakującego.

HomeBox, system inwentaryzacji i organizacji domu, w wersjach przed 0.26.0 posiada podatność w MaintenanceEntryRepository.Update i MaintenanceEntryRepository.Delete w backend/internal/data/repo/repo_maintenance_entry.go. Funkcje używają UpdateOneID(id) i DeleteOneID(id) bez weryfikacji, czy wpis konserwacji należy do aktywnej grupy uwierzytelnionego użytkownika. Uwierzytelniony użytkownik o niskich uprawnieniach, który zna lub wyliczy UUID wpisu konserwacji innego najemcy, może nadpisać ten rekord lub trwale go usunąć.

W HomeBox endpoint POST /v1/groups/members wywołuje HandleGroupMemberAdd i GroupService.AddMember z użyciem dostarczonego przez wywołującego userID bez wymagania roli właściciela, tokenu zaproszenia, zgody użytkownika docelowego ani powiadomienia. Każdy uwierzytelniony użytkownik może zmusić inne konto do dołączenia do swojej grupy, ujawnić adres e-mail i nazwę użytkownika docelowego przez listę członków oraz utworzyć warunek członkostwa wykorzystywany przez osobną podatność czyszczenia zapasów między grupami. Problem naprawiono w wersji 0.26.0.

HomeBox, system inwentaryzacji i organizacji domu, w wersjach przed 0.26.0 posiada podatność w HandleWipeInventory w backend/app/api/handlers/v1/v1_ctrl_actions.go. Funkcja autoryzuje POST /v1/actions/wipe-inventory na podstawie globalnej wartości ctx.User.IsOwner zamiast roli wywołującego w aktywnej grupie, podczas gdy aktywna grupa jest wybierana przez nagłówek X-Tenant. Ponieważ każdy samodzielnie zarejestrowany użytkownik, który tworzy grupę, otrzymuje globalną wartość właściciela, użytkownik będący również członkiem innej grupy może wybrać tę grupę przez X-Tenant i trwale usunąć cały jej inwentarz, co jest nieodwracalne bez zewnętrznych kopii zapasowych.

W bibliotece SmallRye Fault Tolerance, używanej przez Quarkus do zapewniania strategii takich jak ponowienia i wyłączniki obwodu dla mikrousług, wykryto usterkę. Problem występuje przy użyciu adnotacji ApplyGuard lub ApplyFaultTolerance, gdzie biblioteka nie zwalnia wewnętrznych obiektów śledzących po każdym żądaniu. Powoduje to stały wzrost zużycia pamięci, który ostatecznie prowadzi do spowolnienia i awarii aplikacji z powodu braku pamięci.

ntopng to internetowa aplikacja do monitorowania ruchu sieciowego. Przed wersją 6.7.260718 skrypty scripts/lua/rest/v2/get/system/configurations/list_available_backups.lua i download_backup.lua pozwalają każdemu uwierzytelnionemu użytkownikowi niebędącemu administratorem na listowanie i pobieranie kopii zapasowych konfiguracji systemu bez sprawdzenia uprawnień administratora. Ścieżka pobierania sięga do backup_config.export_backup, a prefs_dump_utils.build_prefs_dump_table obejmuje przestrzeń kluczy Redis ntopng.user.* w kopii zapasowej. Pobrana kopia może więc ujawnić hashe haseł lokalnych użytkowników oraz, gdy skonfigurowano, tokeny API, sekrety TOTP i dane poświadczeń WebAuthn, umożliwiając przejęcie konta poprzez użyteczne lub odzyskiwalne poświadczenia. Problem naprawiono w wersji 6.7.260718.

W ntopng przed wersją 6.7.260717 endpoint POST /lua/rest/v2/edit/system/edit_blacklist.lua nie sprawdza uprawnień administratora i wywołuje lists_utils.editList dla każdego uwierzytelnionego użytkownika. Parametry list_name, list_enabled, url i list_update pozwalają użytkownikowi bez uprawnień administratora przekierować pobieranie danych threat intelligence na treści kontrolowane przez atakującego, wyłączyć listy blokad lub zablokować zaplanowane aktualizacje.

Ajenti to modularny panel administracyjny serwera dla Linuksa i BSD. W wersjach przed 2.2.16 każdy uwierzytelniony użytkownik może wywołać /api/core/tasks/start, aby zakolejkować InstallPlugin, UnInstallPlugin lub UpgradeAll z plugins/plugins/tasks.py bez uprawnień do zarządzania wtyczkami. InstallPlugin i UnInstallPlugin budują specyfikację pakietu pip z niezweryfikowanych pól name i version, a proces roboczy uruchamia pip jako root. Niskouprzywilejowany użytkownik może więc zainstalować, usunąć lub zaktualizować wtyczkę z uprawnieniami roota, co prowadzi do wykonania kodu jako root i pełnego przejęcia hosta. Problem naprawiono w wersji 2.2.16.

Tinyauth przed wersją 5.1.0 ujawnia zdalnie obserwowalną różnicę czasową między próbami uwierzytelnienia dla istniejących i nieistniejących lokalnych nazw użytkowników. Funkcje loginHandler i basicAuth zwracają szybko po zgłoszeniu brakującego użytkownika, podczas gdy istniejący użytkownik powoduje wykonanie kosztownej weryfikacji hasła bcrypt.

Tinyauth przed wersją 5.1.0 pozwala nieuwierzytelnionemu zdalnemu atakującemu wysłać żądania POST /api/user/login z 257 różnymi nieistniejącymi nazwami użytkowników, aby wypełnić MaxLoginAttemptRecords i aktywować globalną blokadę logowania. Funkcja IsAccountLocked sprawdza ten globalny stan przed walidacją niepowiązanych kont, powodując, że prawidłowi użytkownicy otrzymują HTTP 429 przez około 300 sekund.

W Tinyauth przed wersją 5.1.2 porównywanie przekazywanych nazw hostów odbywa się z rozróżnianiem wielkości liter, podczas gdy reverse proxy routuje równoważne nazwy hostów bez rozróżniania wielkości liter. Uwierzytelniony użytkownik o niskich uprawnieniach może obejść kontrolę dostępu do aplikacji, używając nazwy hosta o innej wielkości liter, ponieważ wyszukiwanie może nie znaleźć skonfigurowanej aplikacji i zwrócić pusty obiekt kontroli dostępu, który jest traktowany jako zezwalający.

W draw.io przed wersją 30.3.8 funkcja Utils.sanitizeUrl() sprawdza adresy IPv6 Unique Local Addresses, porównując prefiksy tekstowe fc00:: i fd00::, ale JDK zwraca rozwiniętą postać adresu, przez co zakres fc00::/7, w tym zakres metadanych AWS fd00:ec2::/32, nie jest blokowany. Nieuwierzytelnione żądanie do /embed2.js?fetch= może spowodować pobranie wewnętrznego zasobu IPv6 ULA i odesłanie odpowiedzi do żądającego.

draw.io przed wersją 30.2.7 w pliku ExportProxyServlet.java używa request.getPathInfo() do budowy proxyPath i dołącza go bezpośrednio do EXPORT_URL bez odrzucania segmentów kropkowych ani weryfikacji, że znormalizowany cel pozostaje w skonfigurowanej ścieżce eksportu. Nieuwierzytelnione żądanie z segmentami traversal może trafić do nieprzewidzianych tras wewnętrznego serwera eksportu, a serwlet przekazuje wszystkie nagłówki i treść żądania, umożliwiając wstrzyknięcie dowolnych nagłówków.