Katalog podatności CVE

Podatność typu Server-Side Request Forgery (SSRF) i problem w łańcuchu dostaw w proxy katalogu Helm w OpenShift Console. Dzierżawca przestrzeni nazw może umieścić ProjectHelmChartRepository z dowolnym adresem URL, który konsola pobiera po stronie serwera, omijając ograniczenia egress dzierżawcy. W połączeniu z zatruciem metadanych katalogu i instalacją wykresów za pośrednictwem administratora, umożliwia to eskalację uprawnień.

Podatność typu SSRF z uwierzytelnianiem w pomocnikach webhook Dev Console w OpenShift Console. Adresy URL dostarczone przez użytkownika są pobierane po stronie serwera bez walidacji, a neutralizacja ścieżek umożliwia kierowanie do dowolnych punktów końcowych i pełne odzwierciedlenie odpowiedzi z uprzywilejowanej pozycji sieciowej konsoli.

Przestarzały punkt końcowy w Command Center zawierał podatność typu Server-Side Request Forgery (SSRF) bez uwierzytelniania, związaną z obsługą dowolnych docelowych adresów URL. Klienci oprogramowania powinni uaktualnić do wersji z poprawką. Zaktualizuj Command Center.

Podatne wersje cti-transmute zawierają podatność SSRF w punktach końcowych /fetch_misp_event i /misp_search_events. Procedura walidacji URL sprawdzała, czy podana nazwa hosta jest adresem IP i odrzucała prywatne, pętlowe, link-local lub zarezerwowane adresy IP. Jednak zwykłe nazwy domen były akceptowane bez wcześniejszego ich rozwiązywania. Atakujący mógł więc użyć nazwy hosta, której rekord DNS wskazywał na wewnętrzny adres, i spowodować, że serwer cti-transmute wysyłał żądania do swojej sieci wewnętrznej. Poprawka rozwiązuje nazwy hostów za pomocą socket.getaddrinfo(), sprawdza, czy każdy rozwiązany adres jest globalnie routowalny, oraz dodaje @login_required do obu dotkniętych tras.

W MRTG stwierdzono wadę polegającą na podatności na podążanie za dowiązaniami symbolicznymi (symlink following). Gdy demon MRTG jest uruchamiany jako root, a następnie obniża uprawnienia, lokalny atakujący z niskimi uprawnieniami może wykorzystać tę podatność, umieszczając dowiązanie symboliczne w ścieżce pliku PID. Może to doprowadzić do zmiany właściciela dowolnego istniejącego pliku na użytkownika demona, co umożliwia lokalną eskalację uprawnień i nieautoryzowany dostęp do wrażliwych plików.

Polecenie `openvt -u` ma identyfikować właściciela bieżącego VT, a następnie wykonać `login` jako ten użytkownik z uprzywilejowanego kontekstu. W udokumentowanym użyciu `kbrequest`/init test własności w `authenticate_user()` opiera się na `stat("/proc/<pid>/fd/0")`. `stat()` na `/proc/<pid>/fd/0` podąża za dowiązaniem symbolicznym do bazowego urządzenia TTY. W rezultacie `buf.st_uid` odzwierciedla właściciela węzła TTY, a nie właściciela procesu trzymającego deskryptor pliku. Jeśli właściciel TTY powróci do roota lub właściciela getty po wylogowaniu, podczas gdy nieuprzywilejowany proces nadal ma fd 0 podłączone do tego TTY, kontrola może błędnie uznać ten proces za należący do uprzywilejowanego właściciela konsoli. Po pomyślnym sprawdzeniu ścieżka `-u` wykonuje logowanie bez hasła jako wybrany użytkownik. W udokumentowanym wdrożeniu `kbrequest`/init z użyciem `openvt -us` może to skutkować logowaniem bez hasła `login -f root` na nowym VT. Ten raport ustala tę ścieżkę eskalacji uprawnień dla tego udokumentowanego wdrożenia; nie twierdzi, że jest osiągalna w innych wdrożeniach.

W iperf3 stwierdzono wadę polegającą na braku właściwej walidacji danych wejściowych. Zdalny atakujący może wykorzystać tę podatność, wysyłając spreparowany JSON na kanale kontrolnym z nadmiernie dużymi parametrami numerycznymi, takimi jak `parallel` i `len`, które nie są poprawnie walidowane przez serwer. Może to prowadzić do nadmiernego tworzenia strumieni i wątków oraz dużych alokacji buforów, powodując wyczerpanie zasobów i w efekcie odmowę usługi (DoS) na serwerze iperf3.

W Wildfly stwierdzono wadę polegającą na możliwości wywołania błędu OutOfMemoryError przez zdalnego, nieuwierzytelnionego atakującego. Dzieje się tak, ponieważ dekoder tokena GSS w CSIv2Util odczytuje pole długości kontrolowane przez atakującego bez sprawdzania granic i próbuje przydzielić tablicę bajtów o tym rozmiarze.

W Undertow stwierdzono wadę polegającą na możliwości wywołania błędu Out of Memory przez zdalnego atakującego na punktach końcowych WebSocket bez uwierzytelnienia. Dotyczy to każdej klasy @ServerEndpoint, która ma metodę @OnMessage. Atakujący może przeprowadzić atak DoS bez uwierzytelnienia, używając tylko standardowego uzgadniania WebSocket.

W EAP IIOP usługa NameService akceptuje operacje bind bez uwierzytelnienia, co pozwala atakującemu przejąć zapytania JNDI i powiązać je ze złośliwym ORB, osiągając atak typu man-in-the-middle lub DoS na kolejne wywołania.

W EAP jboss-remoting zdalny nieuwierzytelniony atakujący, który może dotrzeć do portów 8080, 9990 lub 4447 i ukończyć uzgadnianie 'Upgrade: jboss-remoting', może spowodować błędy OOM, które obniżają wydajność żądań w całym serwerze, prowadząc do odmowy usługi.

W EAP undertow dekoder transferu chunked HTTP/1.1 nie ma limitów rozmiaru i liczby, co pozwala atakującemu na nieuwierzytelnionym połączeniu doprowadzić JVM do błędu OutOfMemory, zatrzymując wszystkie wdrożenia na listenerze i osiągając odmowę usługi.

Gdy EAP działa z opcją -secmgr, JDKBridge w openjdk-orb honoruje dostarczone przez atakującego adresy URL CDR codebase podczas rozpakowywania obiektów na porcie 3528, co pozwala nieuwierzytelnionemu atakującemu załadować i utworzyć instancje dowolnych klas z zdalnego URL w JVM serwera przed uruchomieniem interceptorów bezpieczeństwa EJB.

W Picketlink walidacja podpisu SP ma wadę; odpowiedź SAML zawierająca zero elementów assertion pasujących do sprawdzenia podpisu może pozwolić atakującemu na sfałszowanie odpowiedzi SAML i uwierzytelnienie się jako dowolny podmiot z dowolnymi rolami w chronionej aplikacji.

W JBoss marshalling ścieżka replikacji sesji Infinispan deserializuje zreplikowane dane sesji za pomocą unmarshaller'a JBoss Marshalling River bez filtrowania klas, co umożliwia zdalne wykonanie kodu (RCE) poprzez łańcuchy gadżetów deserializacji na każdym węźle klastra.

Listener AJP w Undertow honoruje sfałszowane atrybuty ssl_cert i is_ssl bez wymagania uwierzytelniania wspólnym sekretem. Umożliwia to nieuwierzytelnionemu atakującemu z bezpośrednim dostępem TCP do portu 8009 ominięcie uwierzytelniania CLIENT-CERT poprzez wstrzyknięcie sfałszowanego certyfikatu X.509 przez protokół AJP.

Wzmocnienie referrer wprowadzone w TYPO3-CORE-SA-2020-006 (CVE-2020-11069) stało się nieskuteczne w TYPO3 v13.0, gdzie TYPO3 CMS zaczął serwować aplikacje backend i Install Tool z głównego skryptu wejściowego strony zamiast z dedykowanego katalogu typo3/. Określanie, czy żądanie pochodzi z backendu lub Install Tool, odbywało się przez porównanie referrera z katalogiem skryptu wejściowego, którym od tego czasu jest katalog główny strony. W rezultacie żądania pochodzące z dowolnego skryptu działającego na jednej z własnych domen instancji TYPO3, takich jak strona frontendowa, były akceptowane przez trasy backendu i punkty końcowe Install Tool. Atakujący zdolni do wykonania JavaScript na jednej z tych domen, na przykład poprzez wykorzystanie podatności na cross-site scripting, mogli wywoływać te punkty końcowe przez Fetch/XHR z uprawnieniami uwierzytelnionej sesji ofiary. Problem dotyczy TYPO3 CMS w wersjach 13.0.0-13.4.33 i 14.0.0-14.3.5.

Zohocorp ManageEngine M365 Manager Plus i M365 Security Plus w wersjach poniżej 4820 są podatne na uwierzytelnioną podatność Path Traversal w module kopii zapasowej Exchange Online.

Parametr API VAPIX miał nieprawidłową walidację wejścia, co mogło umożliwić wykonanie kodu i potencjalnie prowadzić do eskalacji uprawnień. Ta wada może być wykorzystana tylko po uwierzytelnieniu kontem usługi z uprawnieniami administratora.

ASUS GPU Tweak III, GPU Tweak II, AI Suite 3 i VGAdll mają podatność na niezaufane wyłuskanie wskaźnika. Podatność IOCTL pozwala lokalnemu atakującemu na zapisanie określonej wartości pod dowolny adres pamięci, co może prowadzić do podniesienia uprawnień.