Katalog podatności CVE

W ASTEVAL przed wersją 1.0.9 FROM_PY w asteval/astutils.py udostępnia BaseException, SystemExit, KeyboardInterrupt i GeneratorExit wyrażeniom ocenianym przez asteval.Interpreter.eval(), podczas gdy run() i eval() przechwytują tylko Exception. Gdy kontrolowane przez atakującego wyrażenie zgłosi jedną z tych klas, wyjątek omija mechanizmy bezpieczeństwa interpretera i propaguje się do aplikacji wywołującej, powodując odmowę usługi.

resdata przed wersją 6.2.9 niewystarczająco waliduje pola numeryczne, wymiary siatki, rozmiary słów kluczowych i indeksy tablic podczas parsowania niezaufanych plików GRDECL w lib/resdata/rd_kw_grdecl.cpp i lib/resdata/rd_grid.cpp. Zniekształcone dane COORD, ZCORN, CORSNUM, ACTNUM lub MAPAXES mogą prowadzić do przepełnienia bufora, odczytów poza zakresem, nieprawidłowego dostępu do tablicy, dereferencji wskaźnika NULL, uszkodzenia pamięci lub zakończenia usługi. Luka została naprawiona w wersji 6.2.9.

W Tract przed wersjami 0.21.16, 0.22.2 i 0.23.1 tract-nnef używa niesprawdzonego mnożenia usize w nnef/src/tensors.rs read_tensor dla kontrolowanych przez atakującego wymiarów tensora. Wczytanie spreparowanego archiwum NNEF może spowodować odczyt poza granicami sterty i ujawnienie sąsiednich danych lub zakończenie procesu przez błąd segmentacji.

SIPSorcery przed wersją 10.0.9 ma podatność w obsłudze pakietów RTP i atrybutów STUN, gdzie brak odpowiednich kontroli długości może prowadzić do zamknięcia kanału przez zdalnego atakującego, przerywając sesję RTP lub WebRTC.

Anyquery przed wersją 0.4.5 udostępnia moduły wirtualnych tabel SQLite (csv_reader, log_reader) przez port serwera MySQL bez uwierzytelnienia, co pozwala zdalnemu atakującemu na odczyt dowolnych plików z systemu.

Anyquery przed wersją 0.4.5 udostępnia przez nieuwierzytelniony port serwera MySQL kompatybilne z SQLite moduły tabel wirtualnych obsługujące URL-e (json_reader, log_reader) bez ograniczania docelowych adresów wychodzących. Zdalny atakujący może podać adres loopback, sieci prywatnej lub link-local (np. metadane chmury), co powoduje pobranie zasobu przez go-getter i udostępnienie odpowiedzi jako danych tabeli.

W PocketSphinx przed wersją 5.1.1 loadery modeli językowych trie w src/lm/ngram_model_trie.c nie walidują wystarczająco warunków brzegowych w nagłówkach formatów ARPA, DMP i binarnych, a loadery modeli akustycznych w src/mdef.c i src/util/bio.c używają sscanf z nieograniczonymi polami tekstowymi. Wczytanie nieprawidłowego lub złośliwego modelu może spowodować przepełnienie bufora stosu lub sterty i uszkodzenie pamięci.

W garminconnect przed wersją 0.3.5 funkcja Client.dump w client.py tworzy katalog tokenów OAuth oraz plik garmin_tokens.json bez jawnych uprawnień właściciela, przez co przy umask 022 katalog ma tryb 0755, a plik 0644. Plik garmin_tokens.json zawiera di_refresh_token, który inny nieuprzywilejowany użytkownik na współdzielonym hoście Linux/macOS może odczytać i uzyskać trwały dostęp do konta Garmin Connect ofiary.

UEFI Firmware Parser przed wersją 1.14 zawiera błąd w ReadCLen() w uefi_firmware/compression/Tiano/Decompress.c, gdzie odczyt Number z GetBits(Sd, CBIT) z CBIT = 9 może uzyskać 511 wpisów dla 510-elementowej tablicy Sd->mCLen, ponieważ pętla nie wymusza Index < NC. Ścieżka run-length CharC == 2 może dodatkowo zażądać do 531 zapisów zerowych przez Sd->mCLen[Index++] = 0. Złośliwe oprogramowanie układowe Tiano lub EFI może uszkodzić pamięć sterty, spowodować awarię procesu parsowania i potencjalnie wykonać kod. Luka została naprawiona w wersji 1.14.

UEFI Firmware Parser przed wersją 1.14 zawiera błąd w MakeTable() w uefi_firmware/compression/Tiano/Decompress.c, gdzie nie sprawdza się, czy wartości długości bitów odczytane ze spreparowanego strumienia bitowego Tiano lub EFI mieszczą się w zakresie od 0 do 16. Ścieżka parsowania CompressedSection.process() do efi_compressor.TianoDecompress() do TianoDecompress() do ReadPTLen() do MakeTable() może zapisać poza tablicą Count[17] na stosie i powiązanymi tablicami dekodującymi. Powstałe uszkodzenie stosu powoduje awarię procesu parsowania i może umożliwić wykonanie kodu. Luka została naprawiona w wersji 1.14.

W Skipper przed wersją 0.26.22 Handler w dataclients/kubernetes/admission/admission.go przekazuje ciało żądań do punktu końcowego admission Kubernetes pod :9443/admission bezpośrednio do io.ReadAll(r.Body) bez limitu rozmiaru. Atakujący z dostępem sieciowym w klastrze i ważnym certyfikatem klienta Kubernetes może wysłać bardzo duże ciało żądania, powodując nieograniczoną alokację pamięci i zakończenie procesu Skipper z powodu braku pamięci.

Skipper przed wersją 0.27.13 udostępnia dane sterujące całego klastra przez /routes, /routes/{zone}, /swarm/redis/shards i /swarm/valkey/shards bez uwierzytelniania na poziomie aplikacji. Obsługiwane procedury tylko ograniczają metody HTTP, ale nie weryfikują tożsamości wywołującego. Zaatakowany lub skompromitowany pod może ominąć ograniczenia RBAC i odczytać wrażliwe dane z różnych przestrzeni nazw.

Envoy Gateway przed wersjami 1.7.4 i 1.8.1 ma podatność w wewnętrznym module imagefetcher, który pobiera obrazy Wasm na podstawie kontrolowanych przez dzierżawcę adresów URL. Podczas wyodrębniania binarnego pliku Wasm, niezweryfikowana wartość rozmiaru w nagłówku tar może prowadzić do ogromnej alokacji pamięci, co może spowodować nieodwracalny błąd braku pamięci w Go i zapętlenie się kontrolera.

Anyquery przed wersją 0.4.5 przekazuje nieuwierzytelnione zapytania SQL z portu serwera kompatybilnego z MySQL do SQLite bez ograniczania celów systemu plików ATTACH DATABASE. Zdalny atakujący może wybrać dowolną ścieżkę zapisywalną przez proces serwera Anyquery, spowodować utworzenie tam pliku bazy danych przez SQLite i umieścić w nim kontrolowaną przez siebie treść tabeli. Umożliwia to tworzenie lub nadpisywanie dowolnych plików, powodując utratę integralności systemu plików i odmowę usługi; zdalne wykonanie kodu jest możliwe tylko wtedy, gdy inna usługa interpretuje zapisany plik lub proces ma odpowiednio uprzywilejowany cel zapisu. Luka została naprawiona w wersji 0.4.5.

W Anyquery przed wersją 0.4.5 funkcja SQL clear_plugin_cache(plugin) w namespace/other_functions.go przekazuje kontrolowany przez wywołującego parametr plugin przez path.Join do os.RemoveAll bez odrzucania segmentów przejścia katalogowego. Posiadacz tokenu bearer z niskimi uprawnieniami może wywołać tę funkcję przez endpoint /v1/query, powodując rekursywne usunięcie dowolnego katalogu zapisywalnego przez proces serwera.

W PackageKit pomijane jest sprawdzenie autoryzacji polkit dla transakcji z flagą SIMULATE (dry-run). W backendzie dnf5 handler RepoRemove ignoruje ten kontrakt i zawsze wykonuje rzeczywistą transakcję, ponieważ warunek (role == REPO_REMOVE || !SIMULATE) jest zawsze prawdziwy dla RepoRemove. Nieuprzywilejowany lokalny użytkownik może więc wykonać prawdziwe odinstalowanie pakietu, podszywając się pod symulację.

Wtyczka NetworkManager-l2tp zapisuje kontrolowane przez atakującego właściwości połączenia VPN (vpn.data i vpn.secrets) bez escapowania do generowanego pliku ipsec.conf, który pluto ładuje jako root. Lokalny nieuprzywilejowany użytkownik może utworzyć i aktywować własny profil L2TP VPN z wstrzykniętą dyrektywą leftupdown zawierającą znak nowej linii, którą pluto wykona jako root po ustanowieniu asocjacji bezpieczeństwa IKE.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu atakującemu na uzyskanie wrażliwych informacji z powodu nieprawidłowej walidacji pochodzenia WebSocket.

Concrete CMS poniżej wersji 9.5.3 nie sanityzował niestandardowych wartości stylów w oknie Block Design przed zapisaniem ich do CSS strony przez sink DOM, co umożliwia trwałe (stored) cross-site scripting. Użytkownik na poziomie edytora mógł wykonać skrypt w sesji administratora i eskalować uprawnienia.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu nieuwierzytelnionemu atakującemu na uzyskanie dostępu do wrażliwych informacji poprzez obejście powiązania IP sesji w Navigator for i.