Katalog podatności CVE

Przepełnienie bufora na stosie w funkcji _RdbLoadEntity w dekoderach grafów RDB w FalkorDB przed wersją 4.18.4. Zdalny atakujący, który może wydawać polecenia replikacji Redis, może wysłać spreparowany strumień RDB z kontrolowaną liczbą właściwości encji. Liczba ta określa rozmiar dwóch tablic o zmiennej długości na stosie wątku bez górnego limitu, a dekoder wypełnia je wartościami dostarczonymi przez atakującego.

Serwery HTTP/2 mogą ulec awarii z powodu współbieżnej modyfikacji kodera HPACK bez synchronizacji. Dwie gorutyny modyfikują koder: jedna koduje ramkę HEADERS, a druga zmienia rozmiar tablicy przy obsłudze ramki SETTINGS z SETTINGS_HEADER_TABLE_SIZE. Złośliwy klient może wysyłać żądania, zmieniając rozmiar tablicy, aby doprowadzić do awarii serwera.

Wielokrotne odniesienia do zewnętrznych rozszerzeń ECH nie są dozwolone zgodnie z RFC 9849. Wcześniej klient mógł wysłać spreparowany pakiet z wieloma odniesieniami, powodując wyczerpanie pamięci serwera. Obecnie takie pakiety są odrzucane jako nieprawidłowe, co ogranicza wektor amplifikacji pamięci.

Wcześniej użytkownik pracujący w złośliwym projekcie Go, który definiuje fałszywy wpis golang.org/toolchain w go.sum i korzysta ze złośliwego GOMODPROXY, mógł obejść zamierzoną sumę kontrolną. Teraz zapewniono, że golang.org/toolchain zawsze pobiera kanoniczną sumę kontrolną z sieci.

Wcześniej użytkownik pracujący w złośliwym projekcie Go, który definiuje fałszywy golang.org/fips140 i korzysta ze złośliwego GOMODPROXY, mógł otrzymać dowolny moduł w jego miejsce. Teraz rozpakowywany jest zaufany ziphash dla dołączonego modułu golang.org/fips140 i tworzony jest jego wpis w GOMODCACHE, aby mógł być zweryfikowany przez łańcuch narzędzi.

Parsowanie formularza multipart może obejść limity pamięci i wczytać dowolnie długą linię do pamięci, gdy pozostały limit na początku części jest mniejszy niż 400 bajtów.

Gdy handler serwera HTTP wysyła odpowiedź 2xx na żądanie HTTP/1 CONNECT i zwraca bez przejęcia połączenia, serwer nieprawidłowo kontynuuje odczytywanie i obsługę żądań z tego połączenia. Ponieważ odpowiedź 2xx na CONNECT przekształca połączenie w tunel, serwer nie powinien traktować go jako nadal zawierającego HTTP.

Brak autoryzacji w Azure Event Grid pozwala uprawnionemu atakującemu na przeprowadzenie spoofingu w sieci.

Ujawnienie wrażliwych informacji nieautoryzowanemu podmiotowi w Azure API Center pozwala nieautoryzowanemu atakującemu na ujawnienie informacji przez sieć.

Złośliwy peer HTTP/2 może spowodować nadmierne zużycie CPU po stronie klienta lub serwera, otwierając dużą liczbę strumieni, a następnie wysyłając wiele małych ramek SETTINGS zawierających wartości SETTINGS_INITIAL_WINDOW_SIZE.

Podczas parsowania nagłówka Range zawierającego dużą liczbę małych zakresów, FileServer(FS), ServeContent i ServeFile(FS) mogą zużyć nadmierną ilość CPU.

Historycznie implementacja HTTP/2 była dość pobłażliwa wobec nieprawidłowych nagłówków związanych z ramkowaniem, ponieważ nie mogą one zakłócać ramkowania HTTP/2. Jednak umożliwia to przekazywanie odpowiedzi zawierających takie nagłówki do klienta HTTP/1, gdy działamy jako reverse proxy. Jeśli klient HTTP/1 również nie zachowuje się wystarczająco ściśle, może to skutkować przemytem odpowiedzi (response smuggling).

Gdy klient wysyła nagłówki "Trailer", serwer HTTP wewnętrznie używa wartości nagłówków do wypełnienia mapy Request.Trailer przekazywanej do handlera. Ponieważ Request.Trailer jest mapą, każdy wpis powoduje narzut pamięci. Dla serwerów HTTP/2 złośliwy klient może to wykorzystać, wysyłając nagłówek "Trailer" deklarujący dużą liczbę pól, powodując alokację nieproporcjonalnej ilości pamięci z pominięciem limitów Server.MaxHeaderValueCount i Server.MaxHeaderBytes.

Gdy http.Transport wysyła żądanie HTTP/1 CONNECT z niepustym Request.Body, zapisuje ciało bezpośrednio do połączenia bez ramkowania po nagłówkach żądania. Jeśli serwer odrzuci żądanie CONNECT odpowiedzią keep-alive inną niż 2xx, Transport zwraca połączenie do puli bezczynnych. Ponieważ żądania CONNECT nie mają ciała żądania, serwer może zinterpretować końcowe bajty ciała jako kolejne potokowe żądanie HTTP/1.1 na tym połączeniu, pozostawiając połączenie w puli zdesynchronizowane i powodując, że następny wywołujący, który je ponownie użyje, odczyta odpowiedź na wstrzyknięte żądanie.

SumatraPDF w wersji 3.6.1 i wcześniejszych w pliku src/SelectionTranslate.cpp osadza zaznaczony lub wklejony tekst tłumaczenia w cytowanych wierszach poleceń Windows, stosując niekompletne escapowanie cudzysłowów. Funkcje BuildGrokTranslateCmdLineTemp(), BuildClaudeTranslateCmdLineTemp() i BuildCodexTranslateCmdLineTemp() mogą pozwolić tekstowi kontrolowanemu przez atakującego na wstrzyknięcie flag modelu, katalogu roboczego, zatwierdzania lub obejścia sandboxa, gdy odpowiedni backend CLI agenta jest zainstalowany i używany.

SumatraPDF w wersji 3.5.2 i wcześniejszych podstawia nazwę pliku źródłowego SyncTeX kontrolowaną przez atakującego w miejsce symbolu zastępczego %f w wierszu poleceń zewnętrznego edytora bez bezpiecznego cytowania argumentów Windows, a wynikowy wiersz poleceń jest przekazywany do CreateProcessW(). Użytkownik z skonfigurowanym lub automatycznie wykrytym zewnętrznym edytorem, który otworzy PDF ze spreparowanym plikiem .synctex.gz i wywoła wyszukiwanie odwrotne, może wstrzyknąć flagi wiersza poleceń.

SumatraPDF w wersji 3.6.1 i wcześniejszych interpoluje niezaufane ścieżki dokumentów i cele linków PDF do tekstu powiadomień, który ParseTip() interpretuje jako zaufany znacznik podpowiedzi. Gdy użytkownik kliknie wstrzyknięty link, ExecuteTipLink() wywołuje polecenie CmdExec i może uruchomić lokalny program wybrany przez atakującego w kontekście użytkownika.

Strawberry GraphQL od wersji 0.217.0 do 0.326.1 ma podatność, w której PermissionExtension.resolve() na synchronicznym resolverze pola ocenia wynik has_permission() pod kątem prawdziwości. Gdy niestandardowe uprawnienie deklaruje has_permission() jako zwykłą funkcję, ale zwraca awaitable, supports_sync nie klasyfikuje go jako asynchronicznego, awaitable nie jest oczekiwany, a jego obiektowa wartość prawdziwa pozwala chronionemu resolverowi uruchomić się nawet gdy wynik byłby fałszywy.

TP-Link Tapo C325WB V2 generuje klucz wstępny używany przez lokalną usługę strumieniowania multimediów za pomocą generatora liczb pseudolosowych z ziarnem czasowym, co czyni klucz przewidywalnym i możliwym do odzyskania. Nieuwierzytelniony atakujący w sieci sąsiedniej może odzyskać klucz i uwierzytelnić się w usłudze strumieniowania multimediów bez ważnych poświadczeń użytkownika.

W Tapo C325WB v2 istnieje nieuwierzytelniona podatność typu denial-of-service w usłudze strumieniowania RTSP na porcie TCP 554, gdy funkcja Camera Account jest włączona. Spreparowana para żądań tunelowania RTSP-over-HTTP może spowodować uszkodzenie pamięci i awarię demona strumieniowania.