Katalog podatności CVE

NLnet Labs Unbound od wersji 1.12.0 do 1.26.0 ma podatność use-after-free, gdy jest skompilowany z obsługą DNS-over-HTTPS (--with-libnghttp2). W ścieżkach błędów (np. RPZ drop, jostle) porzucony strumień DoH powoduje awarię całej sesji DoH i nie uwzględnia innych strumieni, prowadząc do use-after-free. Atakujący może to wywołać pojedynczym połączeniem DoH, ale wpływ jest ograniczony, ponieważ odczyty nie są kontrolowane przez użytkownika; jednak zahartowany alokator może wykryć błąd i kontrolowanie zakończyć proces, powodując DoS.

W NLnet Labs Unbound do wersji 1.26.0 włącznie, znaleziono podatność, która może stopniowo uszkadzać pamięć sterty i w pewnych systemach oraz opcjach kompilacji może prowadzić do zdalnego wykonania kodu. Podatność zaczyna się, gdy synteza CNAME podczas odpowiedzi z górnego poziomu wymaga wymuszenia (przepisania) maksymalnej wartości TTL w buforze pakietu. W połączeniu ze wskaźnikiem kompresji wskazującym na nadpisaną wartość i unieważniającym nazwę domeny, prowadzi to do ścieżki błędu, która nie przesuwa prawidłowo pozycji bufora i umożliwia przepełnienie bufora sterty.

W providerze Apache Airflow FAB resetowanie hasła użytkownika nie usuwa jego istniejących sesji w bazie danych, mimo udokumentowanego zachowania. Porównanie identyfikatora sesji (string) z identyfikatorem użytkownika (integer) nigdy nie pasuje, więc żadna sesja nie jest usuwana, a atakujący z kopią ciasteczka zachowuje dostęp.

W NLnet Labs Unbound do wersji 1.26.0 włącznie znaleziono podatność w walidatorze DNSSEC, która umożliwia atak DoS i potencjalne zdalne wykonanie kodu przez przetwarzanie DNSKEY. Specjalnie spreparowany DNSKEY z wskaźnikiem kompresji właściciela może przepełnić bufor.

W NLnet Labs Unbound do wersji 1.26.0 włącznie, nazwa zapytania o długości 255 z dużą odpowiedzią TCP może prowadzić do przepełnienia bufora sterty podczas procedury kanonizacji RRSet. Jest to spowodowane brakiem dodania pierwszej nazwy właściciela do kontroli długości bufora. Złośliwy aktor obsługujący złośliwy serwer nazw lub modyfikujący przychodzącą odpowiedź do Unbound (kanonizacja odbywa się przed walidacją DNSSEC) może wywołać podatność.

W NLnet Labs Unbound do wersji 1.26.0 występuje podatność na degradację usługi w procedurze odczytu TCP/DoT, gdzie nie ma limitu kolejnych odczytów. Złośliwy aktor, który może przesyłać strumieniowo i utrzymywać tempo odrębnych niebuforowanych nazw przez połączenie TCP/DoT, monopolizuje całą pętlę zdarzeń pojedynczego pracownika, dopóki jego zapisy wyprzedzają opróżnianie.

NLnet Labs Unbound od wersji 1.22.0 do 1.26.1 ma podatność use-after-free, gdy jest skompilowany z obsługą DNS-over-QUIC (--with-libngtcp2). Każdy strumień DoQ posiada bufor wyjściowy z odpowiedzią DNS, a bufor retransmisji ngtcp2 przechowuje płytki wskaźnik do tego bufora. Po RESET_STREAM od klienta bufor wyjściowy jest zwalniany, ale ngtcp2 nadal trzyma wpisy retransmisji, co prowadzi do użycia zwolnionej pamięci przy następnym PTO. Atakujący bez uprawnień może to osiągnąć, wysyłając zapytania DoQ, wstrzymując ACK, wysyłając RESET_STREAM i czekając na PTO, co prowadzi do nieprawidłowego zakończenia serwera.

W NLnet Labs Unbound od wersji 1.13.2 do 1.26.1, w strefach z włączonym ZONEMD (zonemd-check: yes) znajdujących się poniżej kotwicy zaufania, istnieje okno ataku, w którym (sfałszowane) zawartości strefy są serwowane (lub zapisywane na dysk) przed zakończeniem kontroli integralności ZONEMD. Jest to spowodowane asynchroniczną rozwiązywaniem DS/DNSKEY, które musi nastąpić przed kontrolą ZONEMD. Jeśli plik strefy jest zapisany na dysk podczas nieudanej kontroli, sfałszowane dane są ponownie ładowane przy starcie i dostępne do czasu zakończenia weryfikacji ZONEMD.

W NLnetLabs Unbound w wersjach od 1.20.0 do 1.26.0 występuje podatność na ścieżce kodu 'serve-expired', która powoduje podwójne dekrementowanie licznika 'wait-limit' na adres IP klienta, co w praktyce omija jeden ze środków ochronnych wprowadzonych dla DNSBomb (CVE-2024-33655). Złośliwy atakujący może to wykorzystać, kontrolując autorytatywną strefę z krótkim TTL, aby wpisy w pamięci podręcznej szybko wygasały. Każde 'wolne' zapytanie, na które autorytatywny serwer atakującego nie odpowiada, jest następowane przez zapytanie o wygasły wpis w pamięci podręcznej, które jest natychmiast obsługiwane przez ścieżkę 'serve-expired' i dekrementuje licznik dwukrotnie. To drugie zapytanie nazwano 'pompą'. Naprzemiennie wysyłając wolne zapytania i pompy, atakujący utrzymuje licznik na poziomie lub poniżej skonfigurowanego 'wait-limit' w nieskończoność i może utrzymywać dowolną liczbę oczekujących zapytań z jednego adresu IP, aż do globalnego limitu mesh (num-queries-per-thread), ostatecznie omijając jeden ze środków ochronnych wprowadzonych dla DNSBomb (CVE-2024-33655).

Na platformach Arista EOS z włączonym gRPC Network Management Interface (gNMI), specjalnie spreparowane żądanie może pozwolić złośliwemu uwierzytelnionemu klientowi z dostępem gNMI na wykonanie dowolnego kodu z uprawnieniami roota na przełączniku.

Na platformach Arista EOS, gdy skonfigurowano wiele transportów gRPC Network Security Interface (gNSI), występuje wyścig w usłudze gNSI Authz, który może spowodować ciche niepowodzenie rotacji polityk. Uwierzytelniony użytkownik, którego dostęp został cofnięty przez nową politykę, może zachować nieautoryzowany dostęp do interfejsów gRPC. Problem nie dotyczy Bootz. Został wykryty wewnętrznie przez Arista, brak doniesień o złośliwym wykorzystaniu.

Na platformach EOS z włączoną autoryzacją gRPC opartą na AAA dla OpenConfig, żądania gRPC uwierzytelnionego użytkownika do OpenConfig mogą używać niewłaściwego poziomu uprawnień, co skutkuje autoryzacją przy użyciu niewłaściwej listy metod AAA. Nie wpływa to na żądania OpenConfig inne niż gRPC, takie jak NETCONF.

Na platformach Arista EOS z skonfigurowanym gRPC Network Security Interface (gNSI) Credentialz, specjalnie spreparowane żądanie może spowodować niezamierzone modyfikacje właściwości konta docelowego. Może to skutkować przyznaniem kontu podwyższonych uprawnień lub dostępu wykraczającego poza zamierzenia administratora.

Na platformach Arista EOS problem z gRPC Network Security Interface (gNSI) Authz Rotate RPC może spowodować, że nieprawidłowa polityka Authz przesłana w trwającym strumieniu RPC stanie się aktywna. Problem nie dotyczy Bootz. Został odkryty wewnętrznie przez Arista, a firma nie zna żadnych złośliwych wykorzystań tego problemu w sieciach klientów.

Na platformach Arista EOS z włączonym OpenConfig i serwerem gNMI, gdy skonfigurowano gNSI Pathz z polityką zawierającą zarówno regułę grupową, jak i regułę użytkownika dla tej samej ścieżki, gNMI może nieprawidłowo egzekwować reguły polityki. W pewnych warunkach uwierzytelniony użytkownik może uzyskać nieautoryzowany dostęp do odczytu lub zapisu ścieżek gNMI, które polityka Pathz miała ograniczać.

Na platformach Arista EOS z usługami związanymi z OpenConfig (gNMI, gNSI, RESTCONF, NETCONF) wrażliwe żądania i odpowiedzi mogą być przypadkowo rejestrowane w logach. Mogą być przechowywane lokalnie na urządzeniu EOS lub wysyłane do zdalnych serwerów księgujących. Przykłady wrażliwych informacji to poufne polecenia CLI (np. 'username bob secret myPass') oraz wrażliwe liście YANG OpenConfig (np. 'system/aaa/global/tacacs/config/secret-key').

W dotkniętych wersjach Octopus Server użytkownik z uprawnieniami do modyfikowania zewnętrznych źródeł danych (feedów) innych niż wbudowane może wykorzystać podatność na path traversal do nadpisania dowolnych plików na serwerze. W niektórych konfiguracjach może to prowadzić do zdalnego wykonania kodu.

W bibliotece jwcrypto funkcja JWK.import_key() waliduje członka key_ops JWK pod kątem zduplikowanych wartości przy użyciu algorytmu o złożoności czasowej O(n^2), a długość key_ops nie jest ograniczona. Zdalny, nieuwierzytelniony atakujący może dostarczyć JWK z dużą tablicą key_ops do aplikacji, która przekazuje kontrolowane przez atakującego materiały klucza do publicznego API importu klucza (osiągalnego m.in. przez uzgadnianie klucza ECDH-ES, dynamiczną rejestrację klienta OIDC, DPoP lub rejestrację klucza konta ACME), co powoduje nadmierne zużycie CPU i prowadzi do odmowy usługi.

Podatność zidentyfikowano w interfejsie webowym WTV676-HB6035 (wszystkie wersje < V3.94) oraz WTV776-HB6035 (wszystkie wersje < V4.17). Urządzenia nie walidują poprawnie danych wejściowych otrzymywanych z usług zaplecza. Może to pozwolić nieuwierzytelnionemu zdalnemu atakującemu na zmuszenie urządzenia do trybu ochronnego, co skutkuje utratą zdalnych funkcji łączności (Web Access).

Przełączniki warstwy 3 XikeStor nie wymagają uwierzytelnienia do pobierania danych konfiguracyjnych. Nieuwierzytelniony atakujący może pobrać dane konfiguracyjne zawierające konfiguracje sieciowe i hasła, aby nieprawidłowo obsługiwać urządzenie lub wykorzystać je jako skocznię (jump host).