Katalog podatności CVE

NLTK w wersjach przed 3.9.4 zawiera podatność polegającą na obejściu zabezpieczeń przez dowiązania symboliczne w funkcji CorpusReader.open(), co pozwala lokalnym atakującym na odczyt dowolnych plików poza katalogiem korpusu. Walidacja ścieżek jest leksykalna i nie uwzględnia rozwiązywania dowiązań symbolicznych.

To CVE zostało odrzucone lub wycofane przez jego CNA. Brak dalszych informacji.

hashcat zawiera podatność przepełnienia bufora na stercie (zapis poza zakresem) w funkcji outfile_write() w src/outfile.c. Podczas składania danych wyjściowych do bufora o stałym rozmiarze (HCBUFSIZ_LARGE, ~16 MB), funkcja sekwencyjnie dołącza nazwę użytkownika, separator, hash i tekst jawny przez memcpy bez sprawdzania, czy łączna długość mieści się w pojemności bufora.

Funkcja fgetl() w hashcat (src/filehandling.c) zapisuje terminator null jeden bajt poza buforem wywołującego, gdy linia wejściowa ma dokładnie długość bufora. Atakujący mogą wywołać ten zapis poza zakresem na stercie, dostarczając plik hash, potfile lub listę słów zawierającą linię o dokładnie HCBUFSIZ_LARGE bajtach.

Hashcat nie ogranicza opcji wiersza poleceń podczas analizowania plików przywracania, co pozwala atakującym na wstrzyknięcie opcji przekierowujących wyjście, takich jak --outfile i --potfile-path. Atakujący mogą przygotować pliki przywracania ze złośliwymi opcjami, aby dodać kontrolowaną treść do dowolnych plików, co umożliwia wykonanie kodu podczas celowania w pliki startowe powłoki.

NLTK w wersjach przed 3.9.4 zawiera nieograniczoną rekurencję w metodzie JSONTaggedDecoder.decode_obj(), która pozwala atakującym na spowodowanie odmowy usługi poprzez dostarczenie głęboko zagnieżdżonych struktur JSON. Atakujący mogą przygotować ładunki JSON przekraczające limit rekurencji, aby wywołać nieobsłużony błąd RecursionError, który powoduje awarię procesu Pythona.

NLTK w wersjach przed 3.10.0 zawiera błąd logiczny w FileSystemPathPointer.open(), gdzie walidacja piaskownicy porównuje znormalizowaną ścieżkę z samą sobą, co czyni zabezpieczenie trwale nieaktywnym. Atakujący mogą przekazać adresy URL file:// do nltk.data.load(), aby odczytać dowolne pliki dostępne dla użytkownika procesu, w tym dane uwierzytelniające i pliki konfiguracyjne.

NLTK przed wersją 3.10.0 zawiera podatność na dowolny odczyt plików lokalnych w StreamBackedCorpusView, która omija zabezpieczenie pathsec.ENFORCE poprzez bezpośrednie wywołanie builtins.open() zamiast pathsec.open(). Atakujący, którzy kontrolują argument fileid, mogą czytać dowolne pliki lokalne niezależnie od ustawienia ENFORCE, w tym wrażliwe pliki systemowe i poświadczenia aplikacji.

NLTK przed wersją 3.10.0 (dotknięte wersje <= 3.9.4) zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w funkcji validate_network_url() w nltk/pathsec.py. Pomocnicza funkcja _resolve_hostname() łapie OSError i ValueError podczas socket.getaddrinfo() i zwraca pustą listę; gdy rozwiązywanie DNS zawiedzie, pętla walidacyjna nie wykonuje żadnych kontroli IP i funkcja zawodzi w trybie otwartym, pozwalając urlopen() na działanie bez walidacji.

NLTK przed wersją 3.9.3 nie weryfikuje integralności plików po pobraniu pakietów i przed ich rozpakowaniem w module downloader. Atakujący mogą przeprowadzić ataki man-in-the-middle lub zatrucie DNS, aby wstrzyknąć złośliwą zawartość pakietów, która jest rozpakowywana bez walidacji.

NLTK w wersjach przed 3.10.0 domyślnie ustawia ENFORCE=False w pathsec.py, co powoduje, że wszystkie funkcje walidacji bezpieczeństwa emitują ostrzeżenia zamiast zgłaszać wyjątki. Atakujący mogą ominąć zabezpieczenia przed path traversal i deserializacją pickle, wykorzystując wyłączone kontrolki bezpieczeństwa, które są aktywne tylko po ręcznym włączeniu.

NLTK w wersjach przed 3.10.0 zawiera podatność na przechodzenie po ścieżkach w FramenetCorpusReader i NKJPCorpusReader, która pozwala atakującym na parsowanie plików XML poza katalogiem korpusu poprzez dostarczenie niebezpiecznych selektorów lub zatrutego stanu indeksu. Atakujący mogą wykorzystać metody frame_by_name, doc, lu i header z spreparowanymi parametrami do odczytu dowolnych plików XML dostępnych dla aplikacji.

NLTK w wersjach przed 3.10.2 zawiera podatność na ominięcie piaskownicy przez dowiązania symboliczne w FramenetCorpusReader, która pozwala atakującym na odczyt dowolnych plików XML poza katalogiem korpusu. Atakujący mogą umieścić dowiązania symboliczne z nazwami nie zawierającymi separatorów ścieżek w podkatalogu korpusu, które przechodzą walidację ścieżki i są rozwiązywane do plików poza zamierzonym katalogiem korpusu podczas dostępu przez metody frame_by_name(), _lu_file() lub doc().

NLTK przed wersją 3.10.2 zawiera podatność na arbitralny odczyt plików przez dowiązania symboliczne w metodach IPIPANCorpusReader, które całkowicie omijają walidację nltk.pathsec. Atakujący może umieścić dowiązanie symboliczne w katalogu głównym korpusu i odczytać dowolne pliki dostępne dla procesu, wywołując metody channels(), domains(), categories() lub fileids() z nazwą dowiązania.

W bibliotece Punk dla języka Perl przed wersją 0.18 występuje podatność na fałszowanie ciasteczek sesji. Gdy sesja jest deklarowana bez sekretu, domyślny klucz HMAC jest pusty, co pozwala atakującemu na tworzenie własnych ciasteczek sesji z dowolną zawartością, taką jak identyfikator użytkownika lub rola.

Punk::OAuth2::Server w wersjach do 0.03 dla Perla wydaje tokeny dostępu poza zarejestrowanymi zakresami i typami grantów, ponieważ żadna ścieżka autoryzacji ich nie odczytuje. Klient zarejestrowany tylko dla authorization_code może poprosić o client_credentials, a żądany zakres jest podpisywany do tokenu bez porównania z rejestracją. Zarejestrowany klient może uzyskać poprawnie podpisany token z dowolnym zakresem, a serwer zasobów używający Punk::OAuth2::Checker akceptuje ten token.

NLTK 3.9.4 do 3.10.2 zawiera podatność na path traversal w CrubadanCorpusReader. _load_lang_ngrams łączy korzeń korpusu z crubadan_code, wartością z kolumny 0 odczytaną z pliku mapowania corpus table.txt, i otwiera wynik za pomocą wbudowanego open() zamiast walidowanego przez pathsec otwieracza, więc os.path.join odrzuca korzeń, gdy ta wartość jest absolutna, a odczyt wychodzi poza katalog korpusu bez sprawdzenia zawartości, które nltk.pathsec stosuje, gdy ENFORCE jest ustawione. Atakujący, który kontroluje pakiet korpusu, może ujawnić zawartość plików poza korzeniem korpusu przez lang_freq, ograniczone do ścieżek kończących się na -3grams.txt, których zawartość parsuje się jako linie z liczbą tokenów.

NLTK przed wersją 3.10.3 zawiera podatność na zdalne wykonanie kodu w AllowlistUnpickler, który waliduje tylko nazwę modułu pickle, a nie nazwę globalną, co pozwala atakującym na rozwiązywanie nazw z kropkami przez atrybuty do wywoływalnych obiektów spoza dozwolonej przestrzeni nazw. Atakujący mogą stworzyć niezaufane modele parsera przejść, które wykonują dowolne polecenia, gdy TransitionParser.parse ładuje model przez allowlisted_pickle_load.

To CVE zostało odrzucone lub wycofane przez jego CVE Numbering Authority.

Wtyczka GreenShift – Animation and Page Builder Blocks dla WordPressa do wersji 12.8.9 włącznie jest podatna na nieautoryzowaną modyfikację danych. Wynika to z braku odpowiedniej kontroli uprawnień w funkcji 'gspb_update_global_wp_settings', która sprawdza tylko uprawnienie 'edit_posts' zamiast wymagać uprawnień administracyjnych. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyżej modyfikację globalnych ustawień kolorów motywu WordPressa, co prowadzi do zniekształcenia strony.