Katalog podatności CVE

W Dvidelabs flatcc do wersji 0.6.3 stwierdzono podatność wpływającą na funkcję align_order_members w pliku src/compiler/semantics.c w komponencie Duplicate Symbol Handler. Manipulacja powoduje osiągalne asercje (reachable assertion). Atak może być inicjowany zdalnie. Exploit został publicznie ujawniony. Poprawka istnieje: 8b19ba4e992ebcad7f5970704d1afc5507fa5205.

W bibliotece Dvidelabs flatcc do wersji 0.6.3 wykryto podatność w funkcji analyze_struct w pliku src/compiler/semantics.c. Manipulacja danymi prowadzi do osiągalnego asercji (assertion). Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

Mattermost w wersjach 11.9.x do 11.9.0, 11.8.x do 11.8.4, 11.7.x do 11.7.8 oraz 10.11.x do 10.11.22 nie ogranicza głębokości zagnieżdżenia w parserze Markdown po stronie serwera. Uwierzytelniony atakujący może spowodować odmowę usługi (wyczerpanie zasobów CPU) poprzez spreparowany post z głęboko zagnieżdżonymi cytatami lub elementami listy.

Mattermost w wersjach do 11.9, 11.0.9, 11.4.8, 11.7.7 oraz 10.22.11.0 nie odzyskuje działania po panicach w handlerach. Uwierzytelniony użytkownik może doprowadzić do awarii pluginu poprzez żądanie post-action z nieoczekiwanym typem pola.

Podatność w Apache Storm pozwala na odczyt danych uwierzytelniających (np. storm.zookeeper.auth.payload, hasła do keystore/truststore) przez nieautoryzowanych użytkowników korzystających z API topologii, ponieważ konfiguracja Nimbusa jest łączona z konfiguracją topologii i zwracana bez maskowania.

Mattermost w wersjach 11.9.x do 11.9.0, 11.8.x do 11.8.4 oraz 11.7.x do 11.7.7 nie egzekwuje granic autoryzacji na punkcie końcowym aktualizacji polityki kontroli dostępu. Administrator kanału lub zespołu może odpiąć przypisaną przez system politykę nadrzędną ABAC poprzez spreparowane żądanie PUT /api/v4/access_control_policies z pustą listą imports.

Podatność w Apache Storm pozwala osobie przesyłającej topologię na usunięcie blobów należących do innych topologii poprzez podanie ich kluczy w listach `dependency_jars` i `dependency_artifacts`. Ponadto, brak walidacji może doprowadzić do sytuacji, w której Nimbus nie utrzyma przywództwa, co uniemożliwi działanie klastra.

Serwer DRPC w Apache Storm utrzymuje mapę nazw funkcji do kolejek żądań, a wpisy nigdy nie są usuwane. Atakujący może wysyłać dowolne nazwy funkcji bez uwierzytelnienia (ponieważ `drpc.authorizer` jest domyślnie wyłączony), co prowadzi do niekontrolowanego wzrostu pamięci i ostatecznie do wyczerpania sterty.

Oprogramowanie sprzętowe Yealink SIP-T33G w wersjach 124.86.x.x przed 124.87.0.0 zawiera podatność typu race condition. Uwierzytelniony atakujący może przerwać aktywne procesy diagnostyczne, jednocześnie usuwając pliki wyjściowe zapisywane w przewidywalnych ścieżkach w katalogu diagnostycznym. Można wywołać operację diagnostyczną, taką jak traceroute lub ping, i równocześnie wywołać punkt końcowy usuwania plików, aby zatrzymać działający proces, pozostawiając system w niespójnym stanie.

Podatność niepoprawnej autoryzacji w Apache Syncope dotyczy usługi Reconciliation (pull i push). Ze względu na niekompletne sprawdzenia bezpieczeństwa delegowanej administracji, wywołania od administratorów bez odpowiednich uprawnień mogą zostać zaakceptowane, co pozwala na niedozwolone działania.

Podatność niepoprawnej autoryzacji w Apache Syncope wynika z błędnej implementacji sprawdzeń opartych na hierarchii Realm. Kontrola uprawnień prowadzona jest przez dopasowanie prefiksów, co powoduje, że dwa siostrzane Realmy o nazwach zaczynających się od tego samego ciągu znaków nie mogą być poprawnie odróżnione, prowadząc do nieautoryzowanego dostępu.

W Apache Syncope występuje podatność typu Improper Encoding or Escaping of Output. Uwierzytelnieni użytkownicy mogą zapisać ładunek formuły arkusza kalkulacyjnego w jednym ze swoich zwykłych atrybutów. Gdy tacy użytkownicy zostaną uwzględnieni w eksporcie CSV, a wygenerowany plik CSV zostanie otwarty w aplikacji arkusza kalkulacyjnego, formuła może zostać wykonana. Problem dotyczy wersji od 3.0.0-M0 do 3.0.16, od 4.0.0-M0 do 4.0.7 oraz od 4.1.0-M0 do 4.1.2. Zaleca się aktualizację do wersji 4.0.8 / 4.1.3.

Podatność otwartego przekierowania (Open Redirect) w Apache Syncope dotyczy modułu SRA (Syncope REST API) podczas konfiguracji uwierzytelniania CAS. Adres URL docelowego serwera Apereo CAS jest wyznaczany bezwarunkowo na podstawie nagłówków HTTP dostarczanych przez klienta, co umożliwia atakującemu sterowanie celem przekierowania.

Dotknięte wersje MISP serwują przesłane obrazy SVG bez restrykcyjnej piaskownicy przeglądarki. Złośliwe skrypty wewnątrz SVG mogą wykonać się, gdy SVG jest otwierane bezpośrednio lub osadzone jako dokument, działając w kontekście MISP z sesją przeglądającego. Dotyczy to logo organizacji oraz obrazów SVG w raportach zdarzeń. Podatne zachowanie występuje na ścieżce serwowania, nie tylko podczas przesyłania. Wersje dotknięte: ≤2.5.45.

Dotknięte wersje interaktywnej powłoki CLI MISP nie zachowują w sposób niezawodny tożsamości personifikowanego użytkownika MISP w dziennikach audytowych. Zachowanie SysLogLogable przechowywało tożsamość w stanie instancji, który mógł zostać nadpisany, gdy inny model dołączył współdzielone zachowanie. W rezultacie późniejsze zapisy CLI mogły utracić przypisanie do użytkownika i być logowane niepoprawnie. Dodatkowo rekordy pochodzące z CLI nie miały znacznika CLI, przez co wyglądały jak zwykłe akcje webowe danego użytkownika. Wersje dotknięte: ≤2.5.45.

LangBot's plugin runtime (pakiet pip langbot_plugin) do wersji 0.4.17 uruchamia debug WebSocket server na 0.0.0.0:5401 z uwierzytelnianiem opartym na kluczu, który domyślnie jest pusty i nigdy nie jest ustawiany. Zdalny atakujący może zarejestrować dowolny 'debug plugin' bez poświadczeń, otrzymywać pełny kontekst wiadomości IM i wstrzykiwać fałszywe odpowiedzi, wysyłać wiadomości jako boty, czytać bazy wiedzy i rejestrować złośliwe narzędzia.

Froxlor w wersjach przed 2.2.5 nie waliduje znaków nowej linii w adresach URL przekierowań subdomen, co pozwala uwierzytelnionym klientom wstrzyknąć dowolne dyrektywy konfiguracji nginx lub Apache. Złośliwe adresy URL z literalnymi znakami nowej linii są zapisywane dosłownie do plików konfiguracji vhost podczas przebudowy cron, umożliwiając uszkodzenie konfiguracji serwera WWW, atak odmowy usługi lub przejęcie odpowiedzi HTTP dla hostowanych domen.

Froxlor przed wersją 2.3.7 nie ogranicza poprawnie wyszukiwania aliasów nadawców do bieżącego klienta w pliku customer_email.php. Uwierzytelnieni atakujący mogą wyliczać globalne identyfikatory aliasów nadawców i odczytywać dozwolone wartości nadawców innych klientów, podając dowolne parametry senderid w żądaniach potwierdzenia usunięcia.

Froxlor przed wersją 2.3.7 nie weryfikuje parametru mysql_server względem listy dozwolonych serwerów (allowed_mysqlserver) klienta w poleceniu API Mysqls.add. Atakujący mogą podać niedozwolony indeks serwera, aby tworzyć bazy danych i użytkowników MySQL na zabronionych serwerach, omijając kontrolę dostępu per klient.

EspoCRM przed wersją 10.0.4 zawiera podatność polegającą na obejściu zabezpieczeń na poziomie pól w punktach końcowych dotyczących uczestników spotkań i połączeń. Uwierzytelnieni użytkownicy mogą odczytywać zastrzeżone adresy e-mail, wykorzystując nieprawidłową walidację zakresu ACL, która sprawdza uprawnienia zdarzenia nadrzędnego zamiast uprawnień encji uczestnika.