Katalog podatności CVE

Wykryto błąd w wymaganej akcji Update User Locale w rozwiązaniu Keycloak. Gdy akcja ta jest uporządkowana przed akcją Configure OTP w realmie, system może nie wymuszać obowiązkowej rejestracji uwierzytelniania wieloskładnikowego podczas logowania. Pozwala to atakującemu z ważnym hasłem uzyskać dostęp do konta bez skonfigurowania wymaganego jednorazowego hasła (OTP).

W leomoon-studios wiki-go do wersji 1.9.1 funkcje SaveHandler/SourceHandler w pliku internal/handlers/editor.go (komponent API) są podatne na path traversal poprzez manipulację danymi wejściowymi. Atak można przeprowadzić zdalnie, a publiczny exploit może być wykorzystywany w atakach.

W leomoon-studios wiki-go do wersji 1.9.1 funkcja RenameFileHandler w pliku internal/handlers/files.go (komponent Files Rename API) jest podatna na path traversal poprzez manipulację argumentami currentPath/newName. Atak można zainicjować zdalnie, a publiczny exploit może być wykorzystywany w atakach.

W leomoon-studios wiki-go do wersji 1.9.1 zidentyfikowano podatność w nieznanej funkcji pliku internal/handlers/metadata_api.go komponentu fetch-metadata Endpoint. Manipulacja prowadzi do server-side request forgery (SSRF). Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W HarnessRouter do wersji 0.31.12 wykryto lukę w nieznanej funkcji pliku gateway/app.py w komponencie Targets Test Endpoint. Manipulacja argumentem base_url może prowadzić do ataku Server-Side Request Forgery, wykonywanego zdalnie.

Apache Traffic Server może ulec awarii z powodu dereferencji wskaźnika null, gdy żądanie POST klienta jest zrywane przez half-close podczas ponownego parsowania odpowiedzi źródła chunked z reentrantnego wywołania zwrotnego write-ready. Jest to wyścig zależny od czasu wprowadzony przez backporty kontroli przepływu CVE-2021-32564. Problem dotyczy wersji 9.2.15, 10.1.4 i 10.2.0.

Apache Traffic Server może wstrzymać przekazywany transfer chunked z usuniętymi trailerami (proxy.config.http.drop_chunked_trailers) aż do przekroczenia limitu czasu połączenia, ponieważ czeka na bajty trailera, które już zostały usunięte. Usuwanie trailerów jest domyślnie włączone w wersji 10.x; w wersjach 8.1.11 i 9.2.x jest domyślnie wyłączone i dotyczy ich tylko po włączeniu. Problem dotyczy wersji 8.1.11, od 9.2.5 do 9.2.15, od 10.0.0 do 10.1.4 oraz 10.2.0.

Sterownik eSPI Nuvoton NPCX w funkcji espi_taf_parse() przetwarza żądania TAF bez walidacji 12-bitowego pola długości z nagłówka. Dla żądań zapisu i RPMC OP1 kopiuje do 255 słów do 16-słowego bufora w strukturze statycznej, powodując zapis poza granicami struktury (ok. 956 bajtów w .bss) oraz odczyt sąsiednich rejestrów eSPI. Ta sama niezweryfikowana długość trafia do flash_write(), co pozwala hostowi odczytać do 4 KB sąsiedniej pamięci SRAM kontrolera.

Sterownik Infineon PSOC 6 BLESS HCI przechowywał deskryptor pakietu HCI w zmiennej o zasięgu pliku, współdzielonej między wątkami, a semafor serializujący obejmował tylko wywołanie do kontrolera, nie zaś odczyt współdzielonego stanu. Współbieżne transmisje z różnych wątków mogą powodować, że kontroler otrzyma deskryptor z niespójnymi polami (dataLength z jednego bufora, wskaźnik data z innego), co prowadzi do ujawnienia sąsiedniej pamięci RAM lub utraty/zduplikowania pakietów HCI.

Sterownik czujnika czasu przelotu Broadcom AFBR-S50 w Zephyr RTOS podwójnie finalizuje zgłoszenie RTIO, gdy ocena danych z czujnika zakończy się błędem. Gałąź błędu w data_ready_work_handler() wywołuje handle_error_on_result(), ale nie wykonuje return, więc to samo struct rtio_iodev_sqe jest ponownie finalizowane przez rtio_iodev_sqe_ok(). Prowadzi to do użycia zwolnionej pamięci, podwójnego zwolnienia wpisu puli i zapisów przez zwolniony bufor.

Podatność w pseudo-sterowniku multipleksera urządzeń (devmux) w Zephyr polega na braku walidacji uprawnień w funkcjach weryfikujących wywołania systemowe z przestrzeni użytkownika. Gdy włączone są CONFIG_USERSPACE i CONFIG_DEVMUX, wątek użytkownika może odczytać i zmienić wybór urządzenia docelowego multipleksera bez odpowiednich uprawnień, ponieważ urządzenia devmux nie są rejestrowane jako obiekty jądra i nie podlegają kontroli dostępu.

Wykryto podatność w HarnessRouter do wersji 0.31.10 w pliku gateway/app.py w komponencie Identity Mode. Manipulacja argumentami X-Harness-Org/X-Harness-Member prowadzi do nieprawidłowej autoryzacji. Atak jest możliwy zdalnie, o wysokiej złożoności i trudnej wykorzystywalności.

W ProjectWorlds Advanced Library Management System 1.0 wykryto podatność bezpieczeństwa w funkcji mysqli_query w pliku profile.php. Manipulacja argumentem admin_id prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Lokalna eskalacja uprawnień w Checkmk 2.5.0p14 pozwala lokalnemu użytkownikowi z prawem zapisu do katalogu bibliotek klienta Oracle w katalogu domowym Oracle wymienionym w pliku 'oratab' lub do samego pliku 'oratab' na wykonanie kodu jako root, jeśli agent ma włączoną wtyczkę 'mk-oracle'.

Wtyczka Tailored Tools dla WordPressa zawiera podatność typu Cross-Site Request Forgery (CSRF), która pozwala na wymuszenie niepożądanych działań w imieniu zalogowanego użytkownika. Problem dotyczy wersji do 3.0.3 włącznie.

W Apache Pulsar endpoint functions connectors (/admin/v2/functions/connectors i /admin/v3/functions/connectors) zwraca katalog connectorów IO bez wymagania uprawnień super-użytkownika, podczas gdy endpoint worker connectors wymaga takich uprawnień. W rezultacie każdy uwierzytelniony klient może odczytać metadane katalogu connectorów niezależnie od posiadanej roli. Luka dotyczy wersji od 2.4.1 do 4.0.13 oraz od 4.1.0 do 4.2.4.

Luka w Apache Pulsar dotyczy endpointu REST API Functions Worker służącego do wyzwalania funkcji. Worker publikuje wiadomość do tematu wejściowego funkcji, używając własnych poświadczeń brokera, a nie poświadczeń wywołującego, i nie sprawdza, czy wywołujący ma uprawnienia do produkowania do tego tematu. W wersjach przed 2.4.0 nie ma żadnej weryfikacji uprawnień wywołującego dla tego endpointu.

W komponencie libarchive w BusyBox występuje podatność na path traversal przez dowiązania symboliczne, umożliwiająca zdalnym atakującym tworzenie dowolnych plików. Wymagana jest interakcja użytkownika — ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik. Problem wynika z braku właściwej walidacji ścieżki dostarczonej przez użytkownika przed użyciem jej w operacjach na plikach.

gin-vue-admin do wersji 2.9.2 zawiera podatność path traversal, która pozwala uwierzytelnionym administratorom na rekurencyjne usuwanie dowolnych katalogów poprzez podanie sekwencji przejścia w parametrze pluginName. Atakujący może wysłać spreparowane żądanie POST do /autoCode/removePlugin z sekwencjami '../', powodując usunięcie przez os.RemoveAll dowolnego katalogu z prawem zapisu dla procesu serwera.

pdfmake w wersji 0.3.8 przed 0.3.12 nie stosuje ograniczenia setLocalAccessPolicy() do obrazów osadzonych w zawartości SVG, co pozwala atakującemu odczytać zablokowane pliki lokalne. Atakujący dostarczający definicję dokumentu może dodać href obrazu SVG wskazujący na ścieżkę lokalną i osadzić zawartość zastrzeżonego pliku w wygenerowanym PDF.