Katalog podatności CVE

W jądrze Linux przed wersją 5.12 znaleziono błąd w API KVM. Wartość internal.ndata jest mapowana na indeks tablicy i może być aktualizowana przez proces użytkownika w dowolnym momencie, co może prowadzić do zapisu poza granicami. Największe zagrożenie dotyczy integralności danych i dostępności systemu.

Podatność w Windscribe VPN dla systemów Mac i Windows (wersje do 2.02.10) umożliwia lokalną eskalację uprawnień poprzez komponent WindscribeService. Niskouprzywilejowany użytkownik może wykorzystać opcje OpenVPN do wykonania kodu jako root/SYSTEM.

CODESYS Gateway w wersjach przed 3.5.16.70 zawiera błąd dereferencji wskaźnika NULL, który może prowadzić do awarii usługi (DoS).

Wiele podatności w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na wywołanie warunku odmowy usługi (DoS). Wynikają z braku odpowiedniej walidacji wejściowej żądań HTTPS. Atak polega na wysłaniu spreparowanego żądania HTTPS do urządzenia. Podatność dotyczy tylko określonych konfiguracji AnyConnect i WebVPN.

Podatność w silniku inspekcji SIP w Cisco ASA i FTD pozwala nieuwierzytelnionemu zdalnemu atakującemu spowodować awarię i przeładowanie urządzenia, co prowadzi do DoS. Problem wynika z awarii podczas wyszukiwania haszowego dla połączenia SIP pinhole. Atakujący może wysłać spreparowany ruch SIP przez urządzenie, co powoduje awarię i przeładowanie.

Podatność w interfejsie usług webowych oprogramowania Cisco Adaptive Security Appliance (ASA) i Cisco Firepower Threat Defense (FTD) pozwala uwierzytelnionemu, zdalnemu atakującemu wywołać przepełnienie bufora na urządzeniu. Wynika to z niewystarczających kontroli granicznych dla danych przekazywanych do interfejsu. Atakujący może wykorzystać tę podatność, wysyłając złośliwe żądanie HTTP, co może doprowadzić do ujawnienia fragmentów danych lub przeładowania urządzenia i DoS.

Podatność w interfejsie CLI oprogramowania Cisco Firepower Threat Defense (FTD) może pozwolić uwierzytelnionemu, lokalnemu atakującemu na wykonanie dowolnych poleceń z uprawnieniami roota na systemie operacyjnym urządzenia działającego w trybie wielu instancji. Problem wynika z niewystarczającej walidacji argumentów poleceń dostarczanych przez użytkownika. Atakujący może wykorzystać tę podatność, wysyłając spreparowane dane do odpowiedniego polecenia, co pozwala na wykonanie poleceń z uprawnieniami roota.

Wiele podatności w oprogramowaniu Cisco Adaptive Security Appliance (ASA) i Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na wywołanie warunku odmowy usługi (DoS). Wynikają z braku odpowiedniej walidacji wejściowej żądań HTTPS. Atak polega na wysłaniu spreparowanego żądania HTTPS do urządzenia. Podatność dotyczy tylko określonych konfiguracji AnyConnect i WebVPN.

Podatność w handlerze wiadomości SSL/TLS w Cisco Firepower Threat Defense (FTD) pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wywołanie przeładowania urządzenia, powodując odmowę usługi (DoS). Problem wynika z niewystarczającej walidacji wiadomości SSL/TLS podczas odszyfrowywania. Atak polega na wysłaniu spreparowanej wiadomości SSL/TLS przez urządzenie.

W MISP 2.4.141 w pliku app/Model/MispObject.php występuje błąd związany z nieprawidłowym powiązaniem grupy udostępniania, co może prowadzić do ujawnienia informacji podczas edytowania zdarzenia. Zamiast używać obiektu grupy udostępniania, ponownie wykorzystuje się przekazany lokalny identyfikator.

W produkcie Oracle HRMS (Francja) z pakietu Oracle E-Business Suite (komponent: French HR) w wersjach 12.1.1-12.1.3 istnieje łatwo wykorzystywalna podatność, pozwalająca atakującemu z niskimi uprawnieniami i dostępem sieciowym przez HTTP na nieautoryzowane tworzenie, usuwanie lub modyfikację krytycznych danych oraz uzyskanie pełnego dostępu do wszystkich danych systemu.

Oprogramowanie AdTran Personal Phone Manager 10.8.1 zawiera podatność umożliwiającą eksfiltrację danych przez DNS. Atakujący może wykorzystać odsłonięte serwery WWW jako przekierowywacze DNS do tunelowania dowolnych danych.

W module f2fs jądra Linux (plik fs/f2fs/node.c) przed wersją 5.12.0-rc4 występuje błąd dostępu do pamięci poza zakresem (OOB) z powodu nieprawidłowego sprawdzania granic. Lokalny atakujący może uzyskać dostęp do pamięci poza zakresem, co prowadzi do awarii systemu lub wycieku wewnętrznych informacji jądra.

GStreamer przed wersją 1.18.4 może powodować uszkodzenie sterty podczas analizowania niektórych źle sformatowanych plików Matroska.

GStreamer przed wersją 1.18.4 może uzyskiwać dostęp do już zwolnionej pamięci w ścieżkach kodu błędów podczas demuksowania niepoprawnie sformatowanych plików Matroska.