Katalog podatności CVE

Coturn w wersji 4.15.0 ma podatność, która pozwala uwierzytelnionemu użytkownikowi TURN na wielokrotne wznawianie alokacji z nowych 5-krotek UDP bez zakończenia przekazania, gdy włączona jest opcja --mobility. Prowadzi to do nieograniczonej liczby sesji po stronie serwera i wyczerpania pamięci procesu, nawet przy skonfigurowanym --user-quota=1.

Coturn to darmowa implementacja serwera TURN i STUN. Przed wersją 4.15.0 atakujący w ścieżce sieciowej może dodać atrybuty po MESSAGE-INTEGRITY do uwierzytelnionego żądania STUN przez zwykły UDP lub TCP, dostosować długość nagłówka STUN i przeliczyć niekluczowany FINGERPRINT, podczas gdy oryginalny HMAC pozostaje ważny, ponieważ obejmuje tylko prefiks wiadomości. Parsowanie po stronie serwera w src/server/ns_turn_server.c kontynuuje po MESSAGE-INTEGRITY przez handle_turn_allocate(), handle_turn_create_permission(), handle_turn_refresh() i handle_turn_command(), co pozwala na nadpisanie czasu życia alokacji, wstrzyknięcie uprawnienia lub ominięcie kontroli pochodzenia przez atrybuty LIFETIME, XOR-PEER-ADDRESS lub ORIGIN. Wdrożenia TLS i DTLS zapobiegają tej modyfikacji w tranzycie. Problem naprawiono w wersji 4.15.0.

W Coturn przed wersją 4.13.0 uwierzytelniony użytkownik TURN może umieścić specyfikatory formatu printf w atrybutach STUN USERNAME lub REALM, które przechodzą walidację is_secure_string() i są osadzane w kluczach Redis. Funkcja send_message_to_redis() przekazuje kontrolowany klucz jako argument formatu do redisAsyncCommand(), co może prowadzić do odczytu poza va_list. Eksploitacja może spowodować awarię procesu coturn lub ujawnienie pamięci stosu do Redis.

Coturn przed wersją 4.15.0 ma podatność, w której nieuwierzytelniony klient może wysłać wiadomość STUN przez TCP/TLS z polem długości treści od 65520 do 65532, powodując zawinięcie zmiennej len w stun_get_message_len_str(). Prowadzi to do desynchronizacji parsera strumienia i zerwania połączenia atakującego klienta, ale nie wpływa na innych klientów ani proces serwera.

W usłudze Windows Telephony Service występuje wyścig (race condition) podczas współbieżnego wykonywania z użyciem współdzielonego zasobu. Uwierzytelniony atakujący może wykorzystać tę podatność do lokalnej eskalacji uprawnień.

W LiquidJS od wersji 10.26.0 do 10.27.1 filtr strip_html w src/filters/html.ts może wejść w nieskończoną pętlę, gdy wejściowy ciąg zawiera '<', ma co najmniej jeden poprzedzający znak i nie ma późniejszego '>'. Powoduje to zablokowanie renderowania szablonu i może prowadzić do odmowy usługi przy bardzo krótkim wejściu, np. 'a<'.

Lemmy-ui przed wersją 0.19.19-beta.1 renderuje Markdown bez sanityzacji, co pozwala na wstrzyknięcie HTML i wykonanie JavaScript w kontekście origin lemmy-ui. Zatwierdzony członek lub zdalna sfederowana instancja może przechowywać złośliwą treść, a osoba ją wyświetlająca może wykonać skrypt, co może ujawnić sesję i uwierzytelnione działania.

Lemmy przed wersjami 0.19.19 i 1.0.0-alpha.18 nie sprawdza listy blokad przy edycji prywatnych wiadomości. Zablokowany nadawca może nadal edytować stare wiadomości, które odbiorca może zobaczyć, co umożliwia nękanie po zablokowaniu.

Lemmy przed wersjami 0.19.19 i 1.0.0-alpha.18 pozwala moderatorowi o niższej randze na usunięcie moderatora o wyższej randze poprzez wysłanie podpisanej aktywności ActivityPub Remove. Weryfikacja nie sprawdza rangi moderatora, co umożliwia junior moderatorowi usunięcie senior moderatora z listy moderatorów społeczności.

Lemmy przed wersjami 0.19.19 i 1.0.0-beta.1 zwraca różne błędy przy logowaniu w zależności od tego, czy nazwa użytkownika lub adres e-mail istnieje w systemie. Nieistniejące konto powoduje błąd 404, a istniejące z błędnym hasłem zwraca błąd 400. Ta różnica pozwala nieuwierzytelnionemu atakującemu potwierdzić zarejestrowane nazwy użytkowników lub adresy e-mail.

Lemmy przed wersjami 0.19.19 i 1.0.0-beta.1 używa pierwszej wartości nagłówka X-Forwarded-For jako adresu klienta do ograniczania szybkości. Konfiguracja nginx dołącza prawdziwy adres klienta do wartości dostarczonej przez klienta, co pozwala atakującemu na spoofing adresu i ominięcie limitów na wiele endpointów API.

Koel przed wersją 9.7.1 błędnie traktuje adresy NAT64 i 6to4 jako publiczne, co pozwala uwierzytelnionemu użytkownikowi na umieszczenie takiego adresu w podcaście RSS i wywołanie żądań do wewnętrznych usług lub metadanych chmury. Odpowiedź serwera jest zwracana użytkownikowi.

W Koel przed wersją 9.7.0 trasy Subsonic-compatible createInternetRadioStation.view i updateInternetRadioStation.view akceptują streamUrl od uwierzytelnionego użytkownika bez sprawdzeń SafeUrl i HasAudioContentType. Przechowywany URL jest przekazywany do RadioStreamProxy::openStream(), który wywołuje fopen($url, 'r', false, $context). Pozwala to na dostęp do wewnętrznych usług HTTP, takich jak loopback, RFC1918, Docker bridge czy metadata.

Koel przed wersją 9.7.0 w routingu Subsonic createPodcastChannel.view nie stosuje walidacji SafeUrl, co pozwala uwierzytelnionemu użytkownikowi podać prywatny adres URL. Powoduje to natychmiastowe żądania serwerowe do adresów loopback, Docker bridge lub RFC1918.

W Koel przed wersją 9.7.1 ścieżki pobierania podcastów i radia wykonują jednorazowe sprawdzenie isPublicHost() lub isSafeUrl() bez przypięcia zweryfikowanego adresu, a większość ścieżek nie waliduje przekierowań. Pozwala to na podążanie za przekierowaniem do wewnętrznego adresu lub połączenie po zmianie DNS (DNS rebinding). Ścieżki są dostępne przez API podcastów i radia, co umożliwia uwierzytelnionemu użytkownikowi dostęp do wewnętrznych usług lub metadanych chmury.

W Termix przed wersją 2.3.2 endpoint POST /host/db/proxy/test akceptuje pola singleProxy, proxyChain i testTarget bez walidacji adresów docelowych. Ścieżka testProxyConnectivity używa surowych połączeń TCP i SOCKS do wybranych przez atakującego hostów i portów, co pozwala uwierzytelnionemu użytkownikowi na skanowanie localhost, sieci prywatnych, usług link-local metadata i innej infrastruktury. Błędy połączenia ujawniają informacje o dostępności hostów, a dostęp do metadanych może ujawnić poświadczenia chmury.

Termix przed wersją 2.6.1 zawiera podatność w punkcie końcowym GET /host/db/host/:id/password, która nie weryfikuje własności hosta podczas pobierania poświadczeń. Uwierzytelniony użytkownik może wyliczać identyfikatory hostów i uzyskać poświadczenia SSH lub sudo innych użytkowników.

W Termix przed wersją 2.3.2 endpoint POST /database/export tworzy eksport użytkownika, który zawiera globalną tabelę ustawień, mimo że reszta eksportu jest ograniczona do użytkownika. Tabela ustawień zawiera artefakty resetowania hasła (reset_code_ i temp_reset_token_), co pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach odzyskać kod resetowania innego konta i ukończyć proces resetowania hasła. Skuteczna eksploitacja prowadzi do przejęcia konta lokalnego użytkownika, a w przypadku administratora do przejęcia administracyjnego.

Termix przed wersją 2.3.2 zawiera podatność w terminalu WebSocket, która pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na wykorzystanie poświadczeń innego użytkownika do połączenia z kontrolowanym przez atakującego serwerem SSH. Może to prowadzić do ujawnienia hasła SSH lub klucza prywatnego.

Termix przed wersją 2.3.2 zawiera podatność w ścieżce usuwania tunelu SSH, która interpoluje dane użytkownika do wzorca polecenia pkill. Uwierzytelniony użytkownik może wstrzyknąć polecenie powłoki, które zostanie wykonane podczas rozłączania tunelu.