Katalog podatności CVE

Podczas budowania tablicy iovec dla odebranego rekordu TLS 1.2 CBC, funkcja ktls_ocf_tls_cbc_decrypt() zwiększała indeks iovec dla każdego mbuf w łańcuchu, w tym dla mbufów pominiętych, ponieważ zawierały tylko bajty nagłówka TLS. Pozostawiło to niezainicjalizowane wpisy w tablicy iovec, która została przydzielona bez zerowania. Zdalny peer TLS może spowodować, że jądro odczyta niezainicjalizowane wpisy iovec podczas obliczania HMAC, co prowadzi do paniki jądra. Peer musi kontrolować segmentację TCP tak, aby pierwszy mbuf rekordu CBC zawierał tylko 5-bajtowy nagłówek rekordu TLS.

Wtyczka WP Statistics dla WordPressa do wersji 14.16.8 włącznie jest podatna na przechowywane Cross-Site Scripting (XSS) poprzez parametr 'utm_campaign'. Brak odpowiedniej sanityzacji wejścia i escapingu wyjścia umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony. Atak można przeprowadzić bez uwierzytelnienia przez publiczny endpoint REST /wp-statistics/v2/hit.

Wtyczka EWWW Image Optimizer dla WordPressa do wersji 8.7.3 włącznie jest podatna na przechowywane Cross-Site Scripting (XSS) poprzez atrybut 'data-script' w treści posta. Brak odpowiedniej sanityzacji wejścia i escapingu wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.

Na platformach ARM znaleziono podatność w architekturze HDD Password, która może pozwolić atakującemu na odzyskanie hasła dysku twardego z zmiennych UEFI.

Ioctl ZFS_IOC_SET_PROP, używany przez zfs-set(8), nieprawidłowo weryfikował wywołującego użytkownika, co pozwala nieuprzywilejowanemu użytkownikowi ustawić metadane na zestawie danych wskazujące, że zestaw danych otrzymał właściwości ze strumienia zfs-recv(8). Każdy lokalny użytkownik może ustawić wewnętrzny znacznik metadanych ZFS "$hasrecvd" na zestawach danych za pomocą ZFS_IOC_SET_PROP.

Ioctl ZFS_IOC_RECV_NEW, w ścieżce uzdrawiania (heal receive), podobnie obcinał 64-bitowy rozmiar ładunku do 32-bitowej liczby całkowitej dla alokacji, a następnie używał oryginalnego 64-bitowego rozmiaru jako długości dla operacji byteswap. Lokalny użytkownik z delegowanym uprawnieniem ZFS "receive" może wywołać uszkodzenie pamięci jądra przez ZFS_IOC_RECV_NEW, wysyłając spreparowany strumień odbioru w trybie heal.

Ioctl ZFS_IOC_USERSPACE_MANY, używany przez zfs-userspace(8), obcinał 64-bitowy rozmiar bufora wyjściowego do 32-bitowej liczby całkowitej dla alokacji w jądrze, ale używał oryginalnego 64-bitowego rozmiaru jako limitu bufora podczas zapisywania rekordów. Lokalny użytkownik z delegowanym uprawnieniem ZFS "userused" może wywołać przepełnienie sterty jądra przez ioctl ZFS_IOC_USERSPACE_MANY, potencjalnie eskalując uprawnienia.

Niektóre wywołania systemowe, takie jak open(2) z flagą O_TRUNC oraz fspacectl(2), mogły nieprawidłowo zwalniać pamięć w obiektach largepage. Operacje te nie są dozwolone na obiektach largepage, ale implementacja tego nie weryfikowała. Nieuprzywilejowany lokalny użytkownik może wykorzystać ten błąd, aby uzyskać dostęp do zwolnionej pamięci jądra, co może prowadzić do eskalacji uprawnień.

Strony należące do obiektów pamięci współdzielonej largepage nie były jawnie przypięte (wired). Gdy sendfile(2) przesyłał taki obiekt z flagą SF_NOCACHE, zwalniał bazowe strony po transmisji, mimo że istniejące mapowania nadal się do nich odnosiły. Nieuprzywilejowany lokalny użytkownik może wykorzystać ten błąd, aby uzyskać dostęp do zwolnionej pamięci jądra, co może prowadzić do eskalacji uprawnień.

Podczas audytowania wywołania systemowego wykonanego przez ptrace(PT_SC_REMOTE), jądro przekazywało wartość zwracaną przez wewnętrzną funkcję konfigurującą do AUDIT_SYSCALL_EXIT() zamiast rzeczywistego wyniku wykonanego wywołania systemowego. W rezultacie zatwierdzone rekordy audytu dla wywołań systemowych, które zwróciły błąd, nie odzwierciedlają prawdziwego wyniku operacji - wskazują, że operacja się powiodła, podczas gdy w rzeczywistości nie powiodła się. Rekordy audytu dla wywołań systemowych wykonanych przez ptrace(PT_SC_REMOTE) mogą pokazywać nieprawidłowy status błędu. Atakujący z możliwością debugowania procesu może to wykorzystać do tworzenia mylących śladów audytu, potencjalnie podważając systemy wykrywania intruzów oparte na audycie (IDS).

Handler setsockopt(2) dla RACK zwalnia blokadę połączenia, aby skopiować dane opcji z przestrzeni użytkownika, a następnie ponownie ją przejmuje. Po ponownym przejęciu weryfikuje, czy stos TCP nie został przełączony, ale nie przeładowuje swojego wskaźnika do bloku sterowania połączeniem stosu. Jeśli przestrzeń użytkownika przełączy stosy dwukrotnie w tym oknie, kontrola zakończy się sukcesem, ale zapisany wskaźnik będzie odnosił się do zwolnionej pamięci. Ten błąd może być wykorzystany przez nieuprzywilejowanego lokalnego użytkownika do eskalacji uprawnień.

Funkcja jądra implementująca unlinkat(2) i funlinkat(2) walidowała flagę AT_RESOLVE_BENEATH, ale nie przekazywała jej do podstawowego wyszukiwania ścieżki. Flaga była po cichu ignorowana, więc ograniczenie rozwiązywania ścieżki nie było faktycznie stosowane. Proces używający AT_RESOLVE_BENEATH z unlinkat(2) lub funlinkat(2) w celu ograniczenia rozwiązywania ścieżki może faktycznie rozwiązywać ścieżki powyżej katalogu początkowego. Osoba wywołująca polegająca na tej fladze do ograniczania ścieżek może usunąć pliki poza zamierzonym drzewem katalogów.

Handler RTSP w bibliotece libalias przepisuje wychodzące pakiety do bufora o stałej długości na stosie bez sprawdzania, czy przepisane dane mieszczą się w buforze, ani czy wynik mieści się z powrotem w oryginalnym pakiecie. Host wysyłający spreparowany ruch RTSP z wewnątrz bramy NAT używającej libalias może przepełnić bufor stosu, potencjalnie uzyskując zdalne wykonanie kodu w jądrze (przy użyciu NAT ipfw(4)) lub w procesie natd(8) (który zwykle działa jako root).

Wtyczka SAML Single Sign On dla WordPressa przed wersją 5.4.7 nie weryfikuje podpisu odpowiedzi SAML przed zapisaniem przenoszonego certyfikatu i oferuje administratorowi jednoklikową kontrolę, która promuje ten zapisany certyfikat do zaufanego certyfikatu podpisującego witryny. Pozwala to nieuwierzytelnionym atakującym na zdobycie zaufania dla własnego certyfikatu, a następnie uwierzytelnienie się jako dowolny użytkownik, w tym administrator.

Wtyczka WPS Bidouille dla WordPressa przed wersją 1.33.5 nie ma odpowiednich kontroli autoryzacji w akcji AJAX, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, na pobranie adresów e-mail wszystkich zarejestrowanych użytkowników.

Wtyczka Membership For WooCommerce dla WordPressa przed wersją 3.1.2 nie sprawdza, czy sekret klienta API został faktycznie wygenerowany, zanim porówna go z tym dostarczonym w żądaniu. Pozwala to nieuwierzytelnionym atakującym na dotarcie do tras REST i ujawnienie szczegółów planów członkowskich dowolnego użytkownika na stronach, gdzie API jest włączone, ale nie wygenerowano żadnych kluczy.

Wtyczka KiviCare dla WordPressa przed wersją 4.5.4 nie weryfikuje, czy żądający użytkownik ma prawo do serwowanego pliku multimedialnego, co pozwala uwierzytelnionym użytkownikom na poziomie pacjenta pobierać dowolne pliki z biblioteki multimediów, w tym raporty medyczne innych pacjentów.

Wtyczka KiviCare dla WordPressa przed wersją 4.5.4 nie weryfikuje, czy żądający użytkownik jest właścicielem modyfikowanej wizyty, co pozwala uwierzytelnionym użytkownikom na poziomie pacjenta anulować i przeplanowywać wizyty innych pacjentów.

Wtyczka Easy Appointments dla WordPressa przed wersją 4.0.1 nie ogranicza jednego z punktów końcowych REST do rekordów należących do żądającego użytkownika, co pozwala użytkownikom z dostępem na poziomie współautora odczytać wszystkie rezerwacje na stronie, w tym nazwiska klientów, harmonogramy i statusy.

Wtyczka ProSolution WP Client dla WordPressa przed wersją 2.0.11 nie sanityzuje i nie escapuje parametru przed odzwierciedleniem go w atrybucie HTML na jednej ze stron administracyjnych, co prowadzi do odzwierciedlonego Cross-Site Scripting (XSS) działającego w sesji administratora, który zostanie nakłoniony do wysłania spreparowanego żądania.