Katalog podatności CVE

Emlog do wersji 2.6.29 włącznie ma podatność w funkcji emUnZip(), która rozpakowuje archiwa ZIP bez walidacji ścieżek wpisów pod kątem sekwencji ../. Atakujący może nadpisać dowolne pliki na serwerze, w tym config.php, co prowadzi do natychmiastowego zdalnego wykonania kodu (RCE). W chwili publikacji nie są znane publiczne łatki.

Emlog przed wersją 2.6.16 ma podatność na ślepą iniekcję SQL w User_Model::getUserDataByLogin(). Parametr $account jest bezpośrednio interpolowany do zapytań SQL bez filtrowania. Podatność jest osiągalna przez ścieżkę walidacji ciasteczka auth, gdzie $username jest wyodrębniane z ciasteczka i przekazywane bez filtrowania do SQL — chronione jedynie podpisem HMAC wymagającym klucza AUTH_KEY do sfałszowania.

Note Mark przed wersją 0.19.5 nieprawidłowo waliduje wartości slug, ponieważ wzorzec OpenAPI/huma nie jest zakotwiczony, co pozwala na akceptację ścieżek zawierających segmenty ../. Komendy eksportu danych używają tych slugów do tworzenia plików poza katalogiem eksportu, co może prowadzić do zapisu plików z uprawnieniami roota.

Klient WebSocket w undici powoduje awarię całego procesu Node.js podczas uzgadniania połączenia, gdy serwer odpowiada subprotokołem, którego klient nie żądał. Dereferencja wartości null prowadzi do nieprzechwyconego wyjątku TypeError, który kończy proces.

To CVE zostało odrzucone lub wycofane przez jego CNA.

W bibliotece undici przed wersją 6.28.1, od 7.0.0 do 7.29.1 oraz od 8.0.0 do 8.10.2, interceptor ponawiania może dołączyć ciało odpowiedzi z ponowionego żądania zakresowego do już dostarczonych bajtów z wcześniejszej częściowej odpowiedzi, jednocześnie prezentując oryginalny status i nagłówki. Może to spowodować, że ciało odpowiedzi będzie dłuższe niż Content-Length obserwowane przez aplikację. Aplikacja przekazująca taką odpowiedź do klienta HTTP/1.1 bez normalizacji ramki może wysłać ciało przekraczające przekazany Content-Length, a nadmiarowe bajty mogą być interpretowane jako początek kolejnej odpowiedzi, co umożliwia rozdzielenie odpowiedzi lub desynchronizację.

W bibliotece undici w wersjach od 7.11.0 do 7.29.1 oraz od 8.0.0 do 8.10.2, mechanizm ponawiania (retry handler) może pozostawić już wystawione ciało odpowiedzi w stanie oczekiwania na zawsze. Gdy serwer zwraca odpowiedź z Content-Length, wysyła tylko część ciała i zamyka połączenie, retry handler ponawia żądanie. Jeśli ponowienie zwróci status niepodlegający ponowieniu (np. 400), handler przekazuje nową odpowiedź, ale oryginalne ciało odpowiedzi nie jest kończone ani niszczone, co powoduje, że odczyty tego ciała nigdy nie są kończone, a limit czasu nie działa.

Dron Parrot AR.Drone w wersjach 1 i 2 nie posiada odpowiedniego mechanizmu ochrony przed atakami typu denial-of-service (DoS). Atakujący może zaszkodzić dostępności urządzenia (np. przesyłaniu wideo i sterowaniu) za pomocą narzędzi przeprowadzających ataki IPv4 flood, w tym SYN flooding i UDP flooding.

Platforma Parrot AR.Drone 1 i AR.Drone 2 jest podatna na atak deautentykacji Wi-Fi, umożliwiający zdalnym, nieuwierzytelnionym atakującym rozłączenie drona z kontrolerem podczas lotu.

undici 8.10.0 pomija pochodzenie miejsca docelowego w kluczach pamięci podręcznej i deduplikacji żądań, gdy interceptor cache lub deduplicate jest komponowany bezpośrednio na Client lub Pool. Ponieważ wewnętrzny klucz pamięci podręcznej używa pustego ciągu jako pochodzenia, odpowiedź z jednego pochodzenia może być zwrócona dla żądania do innego zaufanego pochodzenia, co umożliwia ujawnienie informacji między pochodzeniami i trwałe zatrucie pamięci podręcznej. Podatność dotyczy wersji od 8.10.0 do 8.10.2; aplikacje używające Agent nie są dotknięte.

undici zawiera klienta WebSocket, którego mechanizm czyszczenia limitu rozmiaru permessage-deflate usuwa wszystkie nasłuchiwacze z wewnętrznego strumienia inflate zlib, w tym nasłuchiwacz błędów, podczas gdy strumień ten może nadal emitować zdarzenia. Gdy zdalny peer wyśle skompresowany pakiet przekraczający wbudowany limit 128 MiB zdekompresowanych danych i zawierający nieprawidłowy bajt DEFLATE, strumień inflate emituje błąd danych bez podłączonego nasłuchiwacza, co Node.js traktuje jako śmiertelny nieobsłużony błąd i kończy cały proces. Eksploatacja jest zdalna i nieuwierzytelniona, nie wymaga błędu aplikacji i jest asymetryczna, ponieważ około 130 KB na łączu może przekroczyć limit i spowodować awarię procesu.

Eksperymentalny klient WebSocketStream w undici powoduje awarię całego procesu Node.js, gdy zdalny peer zamyka połączenie TCP bez przeprowadzenia uzgadniania zamknięcia WebSocket. Przy nieczystym zamknięciu wewnętrzny handler zamykania gniazda wywołuje metodę abort na strumieniu zapisywalnym bezwarunkowo i ignoruje zwróconą obietnicę, ale zgodnie ze standardem WHATWG Streams przerwanie zablokowanego strumienia zapisywalnego zwraca obietnicę, która odrzuca z błędem TypeError. Ponieważ aplikacja trzyma zapis na tym strumieniu, co jest jedynym sposobem zapisu, odrzucenie nigdy nie jest obserwowane, a domyślne zachowanie Node dla nieobsłużonych odrzuceń kończy proces. Niezaufany serwer może więc wywołać awarię klienta pojedynczym nagłym rozłączeniem, bez uwierzytelnienia i bez błędu aplikacji. Dotyczy to wersji undici od 7.0.0 do 7.29.1 oraz od 8.0.0 do 8.10.2. Użytkownicy powinni zaktualizować undici do wersji 7.29.1 lub 8.10.2.

Interceptor pamięci podręcznej undici dokumentuje, że buforowane są tylko bezpieczne metody HTTP, ale logika pomijania buforowania jest zbudowana przez odjęcie skonfigurowanych metod od zbioru bezpiecznych metod, więc niebezpieczna metoda, taka jak POST, PUT lub DELETE, nigdy nie jest umieszczana na liście pomijania i zamiast tego przechodzi przez pełną ścieżkę odczytu pamięci podręcznej. Brama przechowywania odpowiedzi również nie sprawdzała metody, więc odpowiedź na niebezpieczne żądanie, która jest heurystycznie buforowalna lub zawiera jawne dyrektywy Cache-Control, jest przechowywana i później odtwarzana z pamięci podręcznej. Ponieważ nagłówki odpowiedzi z zdalnego pochodzenia są niezaufane, pochodzenie może raz odpowiedzieć z buforowalnym statusem, a następnie kolejne żądania zmieniające stan klienta do tej ścieżki będą obsługiwane z nieaktualnej pamięci podręcznej bez dotarcia do pochodzenia, co jest naruszeniem integralności występującym przy domyślnej konfiguracji interceptorów. Dotyczy to wersji undici od 7.0.0 do 7.29.1 oraz od 8.0.0 do 8.10.2. Użytkownicy powinni zaktualizować do undici 7.29.1 lub 8.10.2.

Konstruktor BalancedPool w undici przekazuje cały obiekt opcji przez wewnętrzne głębokie klonowanie, które serializuje i ponownie parsuje wartość jako JSON. Ponieważ JSON nie może reprezentować funkcji, wszelkie opcje TLS o wartości funkcyjnej, takie jak dostarczone przez wywołującego wywołanie zwrotne checkServerIdentity lub niestandardowy konektor w opcji connect, są po cichu odrzucane, zanim dotrą do warstwy TLS. W rezultacie peer, którego certyfikat miał być odrzucony przez niestandardowy checkServerIdentity aplikacji, ale który nadal przechodzi domyślne sprawdzenia nazwy hosta i łańcucha Node, jest akceptowany, gdy jest osiągany przez BalancedPool. Dyspozytorzy Client, Pool i Agent nie są dotknięci, ponieważ wyodrębniają opcje connect i tls przed klonowaniem. Dotyczy to wersji undici od 7.24.1 do 7.29.1 oraz od 8.0.0 do 8.10.2, i tylko wtedy, gdy aplikacja dostarcza opcję connect lub tls o wartości funkcyjnej do BalancedPool.

Interceptor dump w bibliotece undici nieprawidłowo obsługuje odpowiedzi chunked bez nagłówka Content-Length, gdy rozmiar ciała przekracza maksymalny limit. Zamiast przerwać lub wstrzymać żądanie, sygnalizuje wcześniejsze zakończenie, co prowadzi do podwójnego sygnału zakończenia i wyzwala asercję wewnętrzną, przerywając połączenie. Aplikacja widzi mylący status sukcesu z pustym lub obciętym ciałem, podczas gdy połączenie jest już zerwane.

Interceptor pamięci podręcznej w undici nie obsługuje nagłówka odpowiedzi Set-Cookie w żadnym miejscu swojej ścieżki pamięci podręcznej, więc nie odmawia przechowywania ani nie usuwa tego nagłówka. W trybie współdzielonej pamięci podręcznej, który jest domyślny, odpowiedź, która w przeciwnym razie mogłaby być buforowana i zawiera nagłówek Set-Cookie, na przykład oznaczony dyrektywami public i max-age, jest przechowywana, a następnie ponownie serwowana późniejszemu wywołującemu, który pasuje do tego samego klucza pamięci podręcznej. W rezultacie ciasteczko jednego wywołującego jest ujawniane innemu wywołującemu, a niezaufany serwer może wstrzykiwać ciasteczka do buforowanych odpowiedzi serwowanych wszystkim kolejnym wywołującym. Narusza to wymóg, że współdzielona pamięć podręczna nie może przechowywać ciasteczek. Dotyczy to wersji undici od 7.0.0 do 7.29.1 oraz od 8.0.0 do 8.10.2. Użytkownicy powinni zaktualizować undici do wersji 7.29.1 lub 8.10.2.

W jądrze Linux naprawiono podatność w sterowniku szeregowym msm, polegającą na wyłączeniu DMA dla konsoli UART. Jednoczesne zapisy z przestrzeni użytkownika i jądra mogą powodować wyścig, prowadzący do nieskończonej pętli drukowania tych samych komunikatów. Poprawka wyłącza DMA dla konsoli UART, aby zapewnić niezawodną ścieżkę wyjścia.

W jądrze Linux naprawiono problem w AFS dotyczący nieanulowanego handlera komunikatów OOB rxrpc. Poprawka anuluje przetwarzanie komunikatów OOB (zwykle w odpowiedzi na wyzwania bezpieczeństwa) oraz przenosi to przetwarzanie do kolejki afs_wq, aby było ono oczekiwane. Handler OOB zwraca teraz, jeśli przestrzeń nazw sieci nie jest już aktywna.

W jądrze Linux naprawiono problem w sterowniku NTB, polegający na przechowywaniu oryginalnego adresu DMA do przyszłego zwolnienia. API DMA wymaga, aby dma_free_attrs otrzymywało dokładnie ten sam dma_handle, który został pierwotnie zwrócony przez funkcję alokacji. Poprawka zapobiega modyfikacji tego uchwytu.

W jądrze Linux naprawiono problem w sterownikach graficznych Tegra (gr2d/gr3d), polegający na inicjalizacji mapy rejestrów adresowych przed rejestracją klienta HOST1X. Wcześniej rejestracja klienta odbywała się przed inicjalizacją, co mogło pozwolić przestrzeni użytkownika na wysyłanie zadań przed inicjalizacją. Poprawka przenosi inicjalizację rejestrów przed rejestrację klienta.