Katalog podatności CVE

Wada typu wyścig (race condition) w Function Discovery Service (fdwsd.dll) pozwala autoryzowanemu atakującemu na lokalną eskalację uprawnień.

Nieprawidłowa neutralizacja specjalnych elementów w danych wyjściowych używanych przez komponent podrzędny (wstrzykiwanie) w Microsoft Teams dla Androida umożliwia autoryzowanemu atakującemu ujawnienie informacji przez sieć.

Podatność nieprawidłowej kontroli dostępu w funkcji Administrator Protection systemu Windows pozwala autoryzowanemu atakującemu na lokalne ominięcie zabezpieczeń.

Przepełnienie bufora w sterowniku filtru systemu plików Windows Projected File System umożliwia autoryzowanemu atakującemu lokalną eskalację uprawnień.

W OpenSSL występuje podatność na wyłuskanie wskaźnika NULL podczas weryfikacji certyfikatów z włączonym sprawdzaniem OCSP dla całego łańcucha (X509_V_FLAG_OCSP_RESP_CHECK_ALL) i weryfikacją częściowego łańcucha (X509_V_FLAG_PARTIAL_CHAIN). Gdy łańcuch nie zawiera samopodpisanego zaufanego certyfikatu głównego, następuje odwołanie do NULL i awaria procesu.

Podatność w OpenSSL QUIC serwerze. Otrzymanie początkowego pakietu QUIC z nieprawidłowym tokenem może wywołać dereferencję wskaźnika NULL, gdy walidacja adresu jest wyłączona. Powoduje to awarię procesu serwera QUIC i odmowę usługi. Domyślnie walidacja adresu jest włączona, więc domyślna konfiguracja nie jest podatna.

Biblioteka JavaScript Svelte devalue w wersjach od 5.6.3 do 5.8.0 jest podatna na nadmierne zużycie pamięci podczas deserializacji rzadkich tablic. Atakujący może wykorzystać specyfikę silników JavaScript, aby zmusić devalue.parse do alokacji znacznie więcej pamięci niż potrzebne.

Framework Svelte w wersjach od 5.51.5 do 5.55.6 zawiera podatność na atak ReDoS (Regular Expression Denial of Service) w elemencie <svelte:element this={tag}></svelte:element>. Wewnętrzne wyrażenie regularne może działać w czasie wykładniczym.

Przepełnienie bufora sterty w Microsoft Windows DNS umożliwia autoryzowanemu atakującemu lokalną eskalację uprawnień.

Podatność na cross-site scripting (XSS) w Azure Stack Edge umożliwia uwierzytelnionemu atakującemu przeprowadzenie ataku typu spoofing przez sieć.

Podatność nieprawidłowej kontroli dostępu w Microsoft Kinect pozwala autoryzowanemu atakującemu na lokalną eskalację uprawnień.

Podatność na podniesienie uprawnień w sterowniku systemu plików Windows Universal Disk Format (UDFS).

Podatność na eskalację uprawnień w sterowniku systemu plików Universal Disk Format (UDFS) systemu Windows.

Nieprawidłowa walidacja danych wejściowych w Visual Studio Code umożliwia nieautoryzowanemu atakującemu podniesienie uprawnień przez sieć.

Podatność w Microsoft Dynamics 365 (on-premises) związana z nieprawidłowym zarządzaniem uprawnieniami umożliwia autoryzowanemu atakującemu podniesienie uprawnień przez sieć.

Podatność use-after-free w sterowniku funkcji pomocniczych systemu Windows dla WinSock umożliwia autoryzowanemu atakującemu podniesienie uprawnień lokalnie.

Zdalny peer może wyczerpać pamięć sterty serwera lub klienta QUIC, zalewając go pakietami zawierającymi ramki PATH_CHALLENGE. Lokalny stos QUIC alokuje ramkę PATH_RESPONSE dla każdego PATH_CHALLENGE, która jest zwalniana dopiero po potwierdzeniu przez zdalnego peera – złośliwy peer nie potwierdza, co prowadzi do nieograniczonej alokacji pamięci i odmowy usługi. Moduły FIPS nie są dotknięte.

Przetwarzanie plików PKCS#12 w OpenSSL nie przeprowadza wystarczającej walidacji dla plików używających mechanizmu integralności PBMAC1, co umożliwia fałszerstwo certyfikatów i kluczy prywatnych. Atakujący podszywający się pod użytkownika może spowodować, że usługa odczytująca pliki PKCS#12 zaakceptuje sfałszowane certyfikaty z prawdopodobieństwem 1 na 256.

Podatność w parserze ASN.1 biblioteki OpenSSL powoduje przepełnienie bufora sterty podczas przetwarzania spreparowanych struktur DER, gdy długość elementu pierwotnego przekracza 2 GB. Problem dotyczy 64-bitowych systemów Unix i pochodnych.

Naruszenie granicy zaufania w Windows Attestation pozwala autoryzowanemu atakującemu na lokalną eskalację uprawnień.