Katalog podatności CVE

MISP w domyślnym motywie zawiera podatność typu stored XSS na stronie indeksu Galaxies. Nazwy przykładowych tagów pochodzące z nieznanych klastrów galaktyk są wstawiane do HTML bez kodowania encji, co pozwala użytkownikowi z uprawnieniami edycji tagów wstrzyknąć złośliwy skrypt. Administrator odwiedzający stronę Galaxies uruchamia ten skrypt w swojej sesji przeglądarki.

W produktach ST Engineering iDirect iDX oraz Evo iDX wykryto lukę w pliku /authorize komponentu HTTP Request Handler. Manipulacja argumentem Success prowadzi do rozdzielania odpowiedzi HTTP (HTTP response splitting). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Luka dotyczy wyłącznie produktów nieobsługiwanych przez producenta; aktualne wersje (X10, X11, Velocity 5.x+) nie mają potwierdzonego wpływu.

W produktach ST Engineering iDirect iDX oraz Evo iDX wykryto lukę w komponencie Location Header Handler. Manipulacja argumentem Host prowadzi do otwartego przekierowania (open redirect). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Luka dotyczy wyłącznie produktów, które nie są już wspierane przez producenta.

Podatność w Hyve5 Leantime do wersji 3.9.8 dotyczy nieznanej funkcjonalności pliku /app/Domain/Dashboard/Templates/show.blade.php w komponencie Project Dashboard. Manipulacja prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony i może być użyty. Wymagane jest uprawnienie "EDIT perm" do umieszczenia ładunku; atak działa na wszystkich użytkowników przeglądających pulpit projektu, ponieważ zatruta nazwa etykiety jest wyświetlana bez escapowania. Dostawca został wcześnie powiadomiony, ale nie odpowiedział.

Luka wstrzyknięcia poleceń systemu operacyjnego dotyczy Tuleap Enterprise Edition od wersji 17.3 do 17.5 i może pozwolić atakującemu na wykonanie dowolnych poleceń na serwerze.

W noobaa-core, komponencie NooBaa Multicloud Object Gateway, wykryto błąd w logice weryfikacji podpisów przy obsłudze presigned URL S3 z SigV4. Usługa nie odrzuca żądań zawierających niepodpisane nagłówki x-amz-, lecz po prostu pomija je w obliczeniach podpisu. Pozwala to atakującemu z ważnym presigned PUT URL dodać niepodpisany nagłówek x-amz-copy-source i zamienić zwykły upload na operację CopyObject.

W Hyve5 Leantime do wersji 3.9.8 wykryto lukę w funkcji getAllGrouped w pliku app/Domain/Tickets/Services/Tickets.php w komponencie Kanban Board. Manipulacja powoduje cross site scripting (XSS). Atak można przeprowadzić zdalnie, a exploit został opublikowany i może być użyty. Nazwa poprawki: a30a6837b4071ac05a4f58d0e1baa2c62aa8695e. Zaleca się wdrożenie poprawki.

Neethi podczas pobierania zdalnej referencji polityki ogranicza tylko czas pojedynczego odczytu, a nie całego transferu. Serwer wysyłający dane bardzo powoli może utrzymywać połączenie w nieskończoność i blokować wątek wywołujący, powodując odmowę usługi (DoS).

Specjalnie spreparowana para dokumentów WS-Policy może wymusić na mechanizmie policy-intersection w Neethi wykonanie wykładniczej liczby operacji, obciążając CPU przez długi czas (odmowa usługi). Zaleca się aktualizację do wersji 3.2.4, która naprawia ten problem.

Mały dokument WS-Policy wykorzystujący powtarzające się odwołania do polityk może wymusić na Neethi wykładnicze wielokrotne rozwijanie tych samych odwołań podczas normalizacji, zużywając ogromne ilości CPU i pamięci (odmowa usługi). Zaleca się aktualizację do wersji 3.2.4.

Specjalnie spreparowany dokument WS-Policy może umieścić nieograniczoną ilość treści wewnątrz asercji polityki, którą Neethi kopiuje do pamięci bez uwzględnienia jej w limitach rozmiaru, wyczerpując stertę (odmowa usługi). Zaleca się aktualizację do wersji 3.2.4.

Specjalnie spreparowany dokument WS-Policy z głęboko zagnieżdżonymi elementami polityki może obejść limit głębokości zagnieżdżenia w Neethi i wyczerpać stos wątku, powodując awarię parsera (odmowa usługi). Zaleca się aktualizację do wersji 3.2.4.

Podatność w Temporal Server umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami zapisu w pojedynczej przestrzeni nazw (namespace) wykonanie dowolnego polecenia na hoście, na którym działa Worker Service. Polecenie jest wykonywane natychmiast, a proces Worker Service posiada dostęp do danych uwierzytelniających i kluczy TLS całego klastra, co eskaluje wpływ do całego klastra. Luka dotyczy wersji od 1.31.0 do 1.31.2 (przed 1.31.3) i jest obecna w domyślnych binariach i obrazach kontenerowych.

Temporal Server w wersjach 1.30.0 i nowszych decydował o tym, czy callback zakończenia Workflow jest wewnętrzny, na podstawie nagłówka HTTP dostarczonego przez wywołującego. Uwierzytelniony użytkownik z uprawnieniami zapisu w jednej przestrzeni nazw mógł dołączyć callback, którego nagłówek 'source' powodował przekierowanie żądania do wewnętrznego frontendu i wykonanie dowolnego żądania POST na administracyjnym API jako administrator systemu. W wersjach 1.25.0–1.29.7 występuje węższa wersja tej samej wady, wymagająca zgodności nagłówka z identyfikatorem klastra.

Biblioteka github.com/temporalio/ringpop-go egzekwuje skonfigurowane limity LabelOptions, gdy aplikacja zmienia etykiety lokalnego węzła, ale w podatnych wersjach nie stosuje tych limitów do map etykiet otrzymywanych w zmianach członkostwa SWIM. Zdalny peer z dostępem do nasłuchu TChannel może wielokrotnie przesyłać zmiany dla różnych adresów członków z kluczami, wartościami lub liczbami etykiet przekraczającymi limity odbiorcy, powodując nadmierne zużycie pamięci i przepustowości gossipu.

Biblioteka github.com/temporalio/tchannel-go nie odrzucała fragmentów wywołań TChannel zawierających metadane sumy kontrolnej, ale bez fragmentów argumentów z prefiksem długości. Czytnik fragmentów pozostawiał pusty wycinek fragmentów i bezwarunkowo wybierał pierwszy element. Zdalny peer może dostarczyć taki zniekształcony fragment wywołania, w tym jako bezpośrednie początkowe żądanie wywołania po zakończeniu standardowego uzgadniania inicjalizacji, powodując nieodzyskany panic Go poza zakresem wycinka na gorutynie dyspozytorskiej utworzonej przez bibliotekę i zakończenie procesu hostującego.

Biblioteka github.com/temporalio/tchannel-go nie walidowała jednobajtowego pola typu sumy kontrolnej w przychodzących ramkach wywołań TChannel. Zdalny peer z dostępem do nasłuchu może zakończyć standardowe uzgadnianie inicjalizacji i wysłać żądanie wywołania z nieobsługiwanym typem sumy kontrolnej. Parser używa tej wartości jako indeksu do czteroelementowej puli sum kontrolnych, powodując nieodzyskany panic Go na gorutynie odczytu połączenia i zakończenie procesu hostującego.

Biblioteka temporalio/sqlparser akceptuje zapytania SQL z głęboko zagnieżdżonymi wyrażeniami unarnymi i zwraca równie głębokie drzewo AST bez limitu zagnieżdżenia. Operacje String i Walk rekurencyjnie przechodzą to drzewo, co może doprowadzić do przepełnienia stosu Go i zakończenia procesu. Temporal Server przekazuje dane wejściowe od użytkownika przez ten parser w ścieżkach archiwizacji, widoczności i zapytań workerów.

Temporal Server nie ograniczał pracy wykonywanej podczas wyszukiwania następnego czasu akcji harmonogramu. Uwierzytelniony użytkownik z uprawnieniami zapisu w namespace mógł utworzyć harmonogram łączący drobnoziarnisty interwał z kalendarzem wykluczeń odrzucającym każdy kandydat, co powodowało nadmierne zużycie CPU w komponentach Frontend i Schedule worker.

Biblioteka temporalio/sqlparser może wywołać panic, gdy Parse, ParseStrictDDL lub ParseNext przetwarza komentarz wersji MySQL o pustej zawartości lub składającej się z jednej do pięciu cyfr. Funkcja ExtractMysqlComment nie sprawdza wyniku -1 zwracanego przez strings.IndexFunc przed użyciem go jako granicy wycinka, co prowadzi do paniki Go i zakończenia procesu.