Katalog podatności CVE

Znaleziono podatność typu Server-Side Request Forgery (SSRF) w wielu backendach powiadomień AWX. Backendy webhook, Mattermost, Rocket.Chat i Grafana używają adresów URL z szablonów powiadomień jako bezpośrednich celów żądań HTTP bez walidacji adresu docelowego pod kątem prywatnych, pętli zwrotnej lub zastrzeżonych zakresów IP. Administrator powiadomień organizacji może tworzyć szablony powiadomień wskazujące na wewnętrzne adresy lub adresy pętli zwrotnej, powodując, że węzeł kontrolny AWX wysyła żądania HTTP do usług, które nie są dostępne z zewnątrz. Dodatkowo backend webhook podąża za przekierowaniami HTTP i ponownie wysyła skonfigurowane poświadczenia Basic Authentication do celów przekierowania niezależnie od zmiany hosta, co pozwala atakującemu na eksfiltrację poświadczeń powiadomień poprzez przekierowanie na kontrolowany przez atakującego host. Backend Grafana wysyła swój klucz API w nagłówku Authorization do skonfigurowanego docelowego adresu URL.

Znaleziono podatność typu path traversal w ekstrakcji archiwów projektów w AWX. Wtyczka akcji project_archive rozpakowuje elementy archiwów zip i tar, łącząc ścieżkę katalogu projektu z nazwą pliku elementu bez normalizacji ścieżki, walidacji granic lub odrzucania sekwencji traversal. Złośliwe archiwum zawierające elementy z sekwencjami traversal może zapisywać pliki w dowolnych lokalizacjach w systemie plików węzła wykonawczego poza zamierzonym katalogiem projektu. Atakujący, który kontroluje zawartość archiwum, czy to poprzez skompromitowane źródło nadrzędne, złośliwy adres URL archiwum, czy atak man-in-the-middle na zwykłym połączeniu HTTP, może osiągnąć dowolny zapis plików jako użytkownik wykonujący ekstrakcję, potencjalnie prowadząc do zdalnego wykonania kodu poprzez mechanizmy takie jak pliki cron, klucze autoryzowane SSH lub wstrzyknięcie treści playbooka.

Podatność w zakresie uszkodzonej kontroli dostępu w BookStack przed wersją 26.05.4, która pozwala uwierzytelnionym użytkownikom API z uprawnieniami do aktualizacji lub usuwania obrazów na manipulowanie awatarami innych użytkowników poprzez wykorzystanie braku ograniczeń typu zawartości w punktach końcowych API Galerii Obrazów.

HCL Hive jest dotknięty użyciem podatnych komponentów stron trzecich, co może pozwolić atakującemu na nieautoryzowany dostęp lub kompromitację systemu poprzez wykorzystanie publicznie udokumentowanych luk bezpieczeństwa.

Biblioteka UMP Stream responder w systemie Zephyr (lib/midi2/ump_stream_responder.c) zawiera lukę wycieku informacji. Funkcje make_endpoint_info() i make_function_block_info() nie inicjalizują całej struktury odpowiedzi, przez co dwa ostatnie słowa (8 bajtów) zawierają przypadkowe dane ze stosu. Podatność jest wykorzystywana przez wysłanie żądania odkrycia (Endpoint-Discovery lub Function-Block-Discovery) przez sieć (Network MIDI 2.0) lub USB MIDI 2.0, co powoduje odesłanie tych danych atakującemu.

Sterownik virtio w systemie Zephyr nie sprawdza poprawności identyfikatora łańcucha deskryptorów zapisywanego przez urządzenie virtio do pierścienia używanego. Atakujący backend virtio może podać identyfikator wykraczający poza zakres, co prowadzi do odczytu poza pamięcią i wywołania wskaźnika funkcji w kontekście przerwania gościa. Umożliwia to przejęcie kontroli nad przepływem wykonania lub spowodowanie awarii systemu.

W programie HP Easy Start dla systemu macOS w wersjach wcześniejszych niż 2.16.7.260722 zidentyfikowano potencjalne luki w zabezpieczeniach, które mogą prowadzić do eskalacji uprawnień. Firma HP udostępnia aktualizacje w celu złagodzenia tych zagrożeń.

W programie HP Easy Start dla systemu macOS w wersjach wcześniejszych niż 2.16.7.260722 zidentyfikowano potencjalne luki w zabezpieczeniach, które mogą prowadzić do eskalacji uprawnień. Firma HP udostępnia aktualizacje w celu złagodzenia tych zagrożeń.

W programie HP Easy Start dla systemu macOS w wersjach wcześniejszych niż 2.16.7.260722 zidentyfikowano potencjalne luki w zabezpieczeniach, które mogą prowadzić do eskalacji uprawnień. Firma HP udostępnia aktualizacje w celu złagodzenia tych zagrożeń.

HCL Hive jest dotknięty nieprawidłowymi domyślnymi uprawnieniami, co może pozwolić atakującemu na nieautoryzowany ruch boczny, wydostanie się z kontenera oraz przechwycenie wrażliwej komunikacji wewnętrznej.

Podatność w weryfikatorze wywołań systemowych w przestrzeni użytkownika (z_vrfy_mbox_send) w sterowniku mbox, która pozwala nieuprzywilejowanym wątkom na obejście kontroli dostępu i odczyt pamięci jądra lub wywołanie awarii systemu (denial of service) poprzez wyścig typu time-of-check/time-of-use.

Cross-site scripting w interfejsie administracyjnym Web Administration systemu Network Optix Nx Witness VMS przed wersją 6.1.3 na systemach Linux, Windows i MacOS pozwala atakującemu z sieci sąsiedniej na wykonanie dowolnego JavaScript w przeglądarce uwierzytelnionego administratora i kradzież tokena sesji, co prowadzi do przejęcia konta administratora. Atakujący kontrolujący serwer Nx w tym samym segmencie sieci może ustawić nazwę witryny na ładunek skryptu, który wykona się podczas otwierania okna dialogowego "Merge with Another Site".

RansomLook zawiera podatność na trwały atak XSS w widoku szczegółów portfela kryptowalut. Adresy kryptowalut i nazwy blockchainów pochodzące z zewnętrznych źródeł, w tym publicznego feedu ransomwhe.re, były przechowywane bez wystarczającej walidacji i osadzane bezpośrednio w atrybucie onclick JavaScript. Mimo zastosowania autoescapingu Jinja, dane niezaufane umieszczone w stringu JavaScript wewnątrz atrybutu HTML mogły zostać zdekodowane przez parser HTML i wykonane jako kod.

RansomLook zawiera słabość autoryzacji w internetowym edytorze konfiguracji dostępnym przez punkt końcowy /admin/config. Punkt końcowy wymaga uwierzytelnionej sesji, ale nie przeprowadza jawnej kontroli uprawnień administratora przed umożliwieniem dostępu do funkcji zarządzania konfiguracją. Uwierzytelniony użytkownik o niskich uprawnieniach może modyfikować plik config/generic.json, zmieniając ustawienia powiadomień, LDAP, SMTP i ogólne ustawienia aplikacji.

Niewłaściwa neutralizacja specjalnych elementów w komendach systemu operacyjnego w komponencie menedżera pakietów Black Duck blackduck-c-cpp przed wersją 3.0.7 pozwala osobie mogącej utworzyć plik w skanowanym katalogu budowania na wykonanie komend systemu operacyjnego jako konto uruchamiające skan. Ścieżki plików napotkane podczas skanowania są interpolowane do komend wykonywanych przez powłokę bez odpowiedniego cytowania lub escapowania, co pozwala na interpretację metaznaków powłoki.

Wywołanie procesu z użyciem widocznych wrażliwych informacji w Black Duck blackduck-c-cpp w wersjach od 1.0.17 do 3.0.6 pozwala osobie mogącej wykonać kod w skanowanym projekcie na uzyskanie tokena API Black Duck poprzez środowisko procesu, które jest dziedziczone przez podprocesy uruchamiane podczas przechwytywania budowania i skanowania podpisów. Dotyczy to tylko przypadków, gdy token jest dostarczany przez zmienne środowiskowe BLACKDUCK_API_TOKEN lub BD_HUB_TOKEN.

Podatność XSS w Horde IMP w przeglądarce AppleDouble MIME, która pozwala atakującemu na wykonanie skryptu w kontekście użytkownika przeglądającego wiadomość, poprzez niepoprawne escapowanie nazwy załącznika w bloku statusu HTML.

TIM Flow przed wersją 26.0.6 zawiera podatność na wstrzykiwanie CRLF, która pozwala zdalnym atakującym na wstrzykiwanie dowolnych nagłówków HTTP i treści odpowiedzi poprzez osadzenie niesanitizowanych sekwencji powrotu karetki i nowej linii w parametrze URL rt, który jest odzwierciedlany w nagłówkach odpowiedzi Set-Cookie. Atakujący mogą tworzyć złośliwe żądania, aby nakłonić uwierzytelnionych użytkowników do wykonania dowolnego JavaScript w ich przeglądarce, co umożliwia kradzież tokena sesji i modyfikację danych uwierzytelniających.

Podatność w zakresie nieprawidłowej autoryzacji w TIM Flow przed wersją 26.0.6, która pozwala każdemu uwierzytelnionemu użytkownikowi na wysyłanie dowolnych zapytań SQL do uprzywilejowanego punktu końcowego eksportu arkuszy kalkulacyjnych przeznaczonego wyłącznie do celów administracyjnych.

HCL Hive jest dotknięty brakiem limitu szybkości żądań, co może umożliwić atakującemu nieautoryzowany dostęp poprzez ataki brute-force lub credential stuffing, lub spowodować denial of service.