Katalog podatności CVE

Router WNC T-Mobile 5G Box IDU zawiera podatność na wstrzyknięcie poleceń OS w funkcji zmiany hasła komponentu portal.cgi. Aplikacja nie neutralizuje prawidłowo znaków specjalnych w parametrach http_passwd_hidden i http_passwdConfirm_hidden, co pozwala uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń w systemie operacyjnym z uprawnieniami roota. Problem naprawiono w firmware 1.1.0.651412.

Router WNC T-Mobile 5G Box IDU jest podatny na wstrzyknięcie poleceń OS w punkcie końcowym /cgi-bin/portal.cgi, konkretnie poprzez parametr POST cli_cookie. Wartość parametru cli_cookie jest bezpośrednio łączona z ciągiem polecenia find bez prawidłowej sanityzacji, co pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wstrzyknięcie i wykonanie dowolnych poleceń powłoki jako root. Problem naprawiono w firmware 1.1.0.651412.

Router WNC T-Mobile 5G Box IDU zawiera podatność typu Cross-Site Request Forgery (CSRF) w komponencie portal.cgi. Mechanizm anty-CSRF nie waliduje parametru csrf_token_value, akceptując dowolną wartość jako prawidłową, co pozwala zdalnemu atakującemu wykonać nieautoryzowane akcje na urządzeniu.

Router WNC T-Mobile 5G Box IDU posiada podatność polegającą na nieprawidłowej kontroli dostępu. Endpoint wnc_maccheck.cgi jest dostępny bez uwierzytelnienia, co pozwala zdalnemu atakującemu na odczyt wrażliwych danych konfiguracyjnych, w tym hasła administratora, hasła WiFi oraz informacji technicznych o urządzeniu. Problem został naprawiony w wersji firmware 1.1.0.651412.

Router WNC T-Mobile 5G Box IDU jest podatny na wstrzyknięcie poleceń w funkcji ping w punkcie końcowym /cgi-bin/portal.cgi, konkretnie w parametrach POST ping_ip, ping_size i ping_times. Przyczyną jest brak weryfikacji i sanityzacji danych wejściowych przed użyciem ich w poleceniu systemowym, co pozwala uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń powłoki i uzyskanie dostępu roota. Problem naprawiono w firmware 1.1.0.651412.

Router WNC T-Mobile 5G Box IDU zawiera podatność typu authentication bypass w komponencie portal.cgi. Mechanizm weryfikacji sesji nieprawidłowo sprawdza cookie sessionid, weryfikując jedynie istnienie odpowiadającego pliku w /tmp/login_user. Atakujący może obejść uwierzytelnienie, używając wpisów katalogowych takich jak "." lub ".." w cookie, uzyskując nieautoryzowany dostęp do panelu administracyjnego. Problem został naprawiony w wersji firmware 1.1.0.651412.

Zidentyfikowano podatność w projekcie a2ui-project a2ui w wersjach 0.8/0.9/1.0. Dotyczy ona nieznanej funkcji w pliku model-processor.ts komponentu Model Processor. Manipulacja argumentem current[segment] prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie. Identyfikator poprawki to 1b3bff234661ce922cbc3771be642b23ec9fd0fa. Aby naprawić ten problem, zaleca się wdrożenie poprawki.

Wykryto podatność w projekcie a2ui-project a2ui w wersjach 0.9/0.9.1. Problem dotyczy funkcji updateComponents w pliku basic_functions.ts komponentu Update Components. Wykonanie manipulacji może prowadzić do zużycia zasobów. Atak może być przeprowadzony zdalnie. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział jeszcze.

W jądrze Linux naprawiono podatność w funkcji skb_zerocopy(), która nieprawidłowo wywoływała skb_tx_error() na źródłowym skb podczas kopiowania fragów. To powodowało zakończenie uarg zerocopy i wyczyszczenie flagi SKBFL_SHARED_FRAG na skb, który nadal był używany przez stos sieciowy. W szczególności na ścieżce OVS_ACTION_ATTR_USERSPACE skb nie był zwalniany po błędzie, co mogło prowadzić do dekryptowania danych ESP w miejscu, gdzie skb nie posiadał prywatnie fragów, co mogło powodować uszkodzenie danych lub inne problemy.

W jądrze Linux w funkcji ni_create_attr_list() (system plików ntfs3) występuje błąd zapisu poza granicami bufora (slab-out-of-bounds write). Funkcja przydziela bufor o stałym rozmiarze równym rozmiarowi rekordu MFT, a następnie zapisuje wpisy ATTR_LIST_ENTRY dla każdego atrybutu bez sprawdzania końca bufora. Złośliwy obraz NTFS z odpowiednio spreparowanymi atrybutami może spowodować przepełnienie bufora sterty.

W jądrze Linux w komponencie drm/xe wykryto błąd w funkcji get_flat_ccs_offset(), która zaokrąglała w górę offset końca pamięci VRAM, przez co fragment pamięci należący do sprzętowej kompresji (flat CCS) był udostępniany alokatorowi VRAM jako wolna pamięć. Sprzęt kompresji nadpisywał następnie dane w tym obszarze bez wiedzy sterownika, co prowadziło m.in. do uszkodzenia tablic stron i zawieszenia kompozytora (czarny ekran). Problem dotyczy głównie układów Intel Battlemage G21.

W jądrze Linux w funkcji free_pages_nolock() na systemach jednoprocesorowych (UP) użyto spin_trylock() w kontekście NMI, co jest niebezpieczne. Błąd dotyczy ścieżki zwalniania stron i może prowadzić do awarii jądra. Podatność może być wykorzystana przez lokalnego atakującego do eskalacji uprawnień.

W jądrze Linux w sterowniku USB gadget ffs struktura io_data przechowuje wskaźnik do mm_struct zadania, ale nie utrzymuje referencji podczas oczekujących żądań asynchronicznych. Może to prowadzić do użycia po zwolnieniu (use-after-free), jeśli zadanie zakończy się przed obsługą ukończenia. Poprawka polega na pobraniu referencji przez mmgrab() przy kolejkowaniu i zwolnieniu przez mmdrop() przy ukończeniu.

W jądrze Linux w sterowniku USB gadget f_fs występuje use-after-free w ścieżce błędu AIO. Gdy ffs_epfile_io() zwróci błąd inny niż -EIOCBQUEUED, struktura io_data jest zwalniana, ale funkcja anulowania kiocb pozostaje uzbrojona i wskazuje na zwolniony wskaźnik. Równoległe anulowanie (np. sys_io_cancel()) może spowodować użycie po zwolnieniu. Poprawka polega na bezpiecznym rozbrojeniu anulowania przez kiocb->ki_complete() i zwróceniu -EIOCBQUEUED.

W jądrze Linux w module zram bit blokady slotu jest ustawiany w niewłaściwej pozycji na systemach 64-bitowych big-endian. Zamiast w polu flags trafia w pole ac_time, co przy włączonym ZRAM_TRACK_ENTRY_ACTIME powoduje kasowanie blokady i pozwala innemu CPU przejąć ten sam slot. Wartość czasu dostępu z ustawionym bitem może sprawić, że slot pozostanie zablokowany na zawsze. Poprawka przenosi bit blokady do połowy flags na big-endian 64-bit.

W jądrze Linux wykryto podatność w systemie plików Ceph, gdzie funkcja ceph_fname_to_usr() przekazywała bufory z regionu vmalloc() do API kryptograficznego fscrypt, które wymaga buforów w liniowym obszarze pamięci. Może to powodować błędy (oops) systemu, szczególnie na platformach innych niż x86. Poprawka dodaje obsługę buforów vmalloc() poprzez użycie tymczasowego bufora pośredniego.

W jądrze Linux sterownik HID sony nie usuwa kontrolera z listy urządzeń, gdy rejestracja urządzenia wejściowego w HID core zakończy się niepowodzeniem. Struktura sony_sc jest zwalniana przez devres, ale jej węzeł listy pozostaje podłączony, co prowadzi do użycia zwolnionej pamięci przy obsłudze kolejnego kontrolera.

W jądrze Linux naprawiono podatność w KVM dotyczącą maszyn wirtualnych SEV-SNP. Gdy strona pamięci gościa (guest_memfd) będąca zapleczem VMSA jest unieważniana (np. przez PUNCH_HOLE) lub gdy powiązany memslot jest usuwany/przenoszony, vCPU nie przeładowywał VMSA, co prowadziło do błędu RMPUPDATE (FAIL_INUSE) i w konsekwencji do błędu strony (RMP #PF).

W jądrze Linux funkcje NFSD odwołujące stan administracyjny (unlock_filesystem, NFSD_CMD_UNLOCK_FILESYSTEM, NFSD_CMD_UNLOCK_EXPORT) sprawdzają tylko nn->nfsd_serv, który jest ustawiany przed alokacją tablicy nn->conf_id_hashtbl. Prowadzi to do dereferencji NULL, gdy serwer nie został jeszcze uruchomiony.

W jądrze Linux funkcja nfsd4_revoke_export_states() zwalnia blokadę nn->client_lock, ale trzymany referencja stateid nie utrzymuje przy życiu klienta. Równoległe zakończenie klienta może zwolnić go, podczas gdy revoke_one_stid() nadal go używa, powodując use-after-free.