Katalog podatności CVE

kin-openapi to projekt Go do obsługi plików OpenAPI. Przed wersją 0.144.0, ValidationHandler.Load() w openapi3filter/validation_handler.go po cichu zastępuje nil AuthenticationFunc funkcją NoopAuthenticationFunc, która zwraca nil bez sprawdzania poświadczeń. To podstawienie powoduje, że każde wymaganie bezpieczeństwa OpenAPI jest spełnione dla nieuwierzytelnionych żądań, gdy aplikacja polega na ValidationHandler jako middleware egzekwującym. No-op callback uniemożliwia osiągnięcie ścieżki fail-closed ErrAuthenticationServiceMissing i przekazuje żądanie do chronionych handlerów, które mogą wymagać klucza API, tokena OAuth lub innego schematu bezpieczeństwa. Problem naprawiono w wersji 0.144.0.

etcd to rozproszony magazyn klucz-wartość dla danych systemów rozproszonych. Przed wersjami 3.5.33, 3.6.14 i 3.7.1, atakujący sieciowo, który może dotrzeć do nasłuchującego TLS, może otworzyć wiele połączeń TCP i nigdy nie wysłać ClientHello. W client/pkg/transport/listener_tls.go, każde połączenie obsługiwane przez tlsListener.acceptLoop tworzy gorutynę, która blokuje się w nieskończoność wewnątrz tls.Conn.Handshake() i pozostaje śledzona w mapie oczekujących. Nieograniczony wzrost gorutyn i mapy może wyczerpać pamięć procesu etcd, powodując utratę dostępności klastra, a gdy etcd obsługuje Kubernetes, również płaszczyzny sterowania. Problem naprawiono w wersjach 3.5.33, 3.6.14 i 3.7.1.

etcd to rozproszony magazyn klucz-wartość dla danych systemów rozproszonych. Przed wersjami 3.5.33, 3.6.14 i 3.7.1, użytkownik z uprawnieniami READ do pojedynczego klucza może użyć interfejsu Watch gRPC z clientv3.WithFromKey(), aby otrzymywać zdarzenia watch dla każdego klucza leksykograficznie większego lub równego dozwolonemu kluczowi. W server/etcdserver/api/v3rpc/watch.go, otwarty znacznik RangeEnd jest przepisywany przed sprawdzeniem uprawnień RBAC w funkcji isRangeOpPermitted w server/auth/range_perm_cache.go, co powoduje, że żądanie jest traktowane jako watch dokładnego klucza. Żądania Range/Get i DeleteRange nie są dotknięte, a problem dotyczy tylko klastrów z włączonym uwierzytelnianiem. Problem naprawiono w wersjach 3.5.33, 3.6.14 i 3.7.1.

MCP Atlassian to serwer Model Context Protocol (MCP) dla produktów Atlassian (Confluence i Jira). Przed wersją 0.22.0, confluence_upload_attachment przekazuje dostarczoną przez klienta ścieżkę file_path bezpośrednio do open(file_path, "rb") w src/mcp_atlassian/confluence/attachments.py przez _upload_attachment_direct() bez wywołania validate_safe_path. Uwierzytelniony klient MCP może odczytać dowolny plik dostępny dla procesu serwera i wyeksfiltrować go do Confluence jako załącznik. Jeśli agent AI może zostać nakłoniony do wywołania narzędzia przez niezaufaną treść, ta sama wada może ujawnić zmienne środowiskowe serwera, takie jak CONFLUENCE_API_TOKEN i inne poświadczenia. Problem naprawiono w wersji 0.22.0.

blaze-server przed wersjami 0.23.18 i 1.0.0-M42 może scalać pola nagłówków trailerów z chunked body HTTP/1.1 do `Request.headers`. Ponieważ pola trailerów są kontrolowane przez atakującego, niezautentykowany zdalny klient może wstrzyknąć dowolne nazwy i wartości nagłówków, w tym X-Forwarded-For i wewnętrzne nagłówki autoryzacyjne, które proxy frontowe usunęło z sekcji nagłówków żądania, omijając decyzje oparte na zaufaniu do nagłówków.

Http4s (http4s-blaze-server) to minimalny, idiomatyczny interfejs Scala dla usług HTTP. Przed wersjami 0.23.18 i 1.0.0-M42, http4s-blaze-server agreguje fragmenty przychodzącej wiadomości WebSocket bez limitu całkowitego rozmiaru lub liczby fragmentów. Klient, który ukończy uzgadnianie WebSocket, może wysłać niezakończoną pofragmentowaną wiadomość i spowodować nieograniczony wzrost sterty w JVM serwera, co prowadzi do odmowy usługi przez OutOfMemoryError. Dotyczy to każdej aplikacji http4s obsługującej trasy WebSocket przez BlazeServerBuilder, nie jest wymagana żadna niestandardowa konfiguracja, a maxWebSocketBufferSize nie ogranicza agregatu, ponieważ ogranicza tylko pojedyncze ramki. Pojedyncze połączenie wysyłające ramki kontynuacji, które nigdy nie ustawiają FIN, zmusza serwer do buforowania każdego fragmentu aż do wyczerpania sterty, kończąc JVM z OutOfMemoryError na wątku selektora blaze. Małe fragmenty zwiększają koszt przez narzut na obiekt, więc niewielka ilość bajtów w sieci jest wystarczająca. Problem naprawiono w wersjach 0.23.18 i 1.0.0-M42.

Loofah w wersjach od 2.25.0 do 2.25.2 nie odrzuca URI javascript: lub vbscript:, których schemat jest podzielony przez odwołania numeryczne znaków bez średnika, takie jak &#58, &#9, &#10 lub &#13. Funkcja CGI.unescapeHTML pozostawia te odwołania zakodowane, więc allowed_uri? uznaje URL za bezpieczny, mimo że przeglądarka dekoduje dwukropek lub usuwa białe znaki i wykonuje wynikowy schemat URI. Problem dotyczy tylko wywołań z bezpośrednio przekazanymi zakodowanymi stringami do allowed_uri?; domyślna ścieżka sanitize() nie jest dotknięta. Problem naprawiono w wersji 2.25.2.

W komponencie insights-client znaleziono błąd: ServiceAccount jest powiązany z ClusterRole przyznającym uprawnienia do pobierania, listowania i obserwowania wszystkich sekretów w klastrze, podczas gdy kod wymaga dostępu tylko do jednego konkretnego sekretu. To nadmierne uprawnienie oznacza, że kompromitacja poda lub tokena ServiceAccount może dać atakującemu dostęp do wszystkich sekretów w klastrze hub, w tym kubeconfigów klastrów zarządzanych i innych wrażliwych poświadczeń.

Znaleziono usterkę w komponencie `search-v2-operator`. Użytkownik z określonymi uprawnieniami administracyjnymi na klastrze zarządzanym może wykorzystać podatność, która pozwala mu wstrzykiwać dowolne dane konfiguracyjne. Ta manipulacja może nadpisać krytyczne ustawienia, prowadząc do zastąpienia obrazów kontenerów. To ostatecznie skutkuje wstrzyknięciem obrazów kontenerów na klastrze zarządzanym, potencjalnie naruszając jego integralność.

Wykryto usterkę w acm-search-v2-rhel9. Atakujący z uprawnieniami administracyjnymi w klastrze hub, mający dostęp do łatania (patch) do Custom Resource (CR) Search, może wykorzystać podatność w polu `Collector.ImageOverride`. Pozwala to atakującemu wdrożyć dowolny obraz kontenera we wszystkich klastrach zarządzanych. Konsekwencją jest zdalne wykonanie kodu (RCE), umożliwiające atakującemu wykonywanie poleceń i potencjalny dostęp do wrażliwych informacji w całej flocie klastrów zarządzanych.

Znaleziono usterkę w search-v2-api. Nieuwierzytelniony atakujący może wykorzystać tę podatność, wysyłając żądania z unikalnymi losowymi tokenami bearer. Każdy unikalny token tworzy trwały wpis w nieograniczonej pamięci podręcznej tokenReviews, która nie jest odpowiednio czyszczona. Może to prowadzić do wyczerpania pamięci poda search-api, co skutkuje odmową usługi (DoS).

Definicja źródła danych z nadmiernie długą ścieżką pliku może spowodować, że okno konfiguracji sterownika ODBC MongoDB BI Connector zapisze dane poza przydzielonym buforem. Problem wynika z nieprawidłowego obliczenia pojemności bufora w obsłudze wyboru plików i folderów i występuje tylko po otwarciu okna konfiguracji i zainicjowaniu wyboru. W zależności od konfiguracji może to prowadzić do awarii procesu lub, w pewnych warunkach, do wykonania niepożądanego kodu.

W pliku vinny/views.py funkcja ModifyEmailNotifications ma podatność IDOR: pobiera VinceCommEmail na podstawie surowego klucza głównego z URL i przełącza email_function/name bez sprawdzenia, czy kontakt należy do grupy administratora żądającego. Pozwala to administratorowi dostawcy na zmianę routingu powiadomień (lub odczytanie adresu e-mail/nazwy) dla kontaktu innego dostawcy.

Gałąź type=track autoryzuje tylko na podstawie _is_my_case(t_attach.case) i nigdy nie sprawdza VinceTrackAttachment.shared. Artefakt sprawy przesłany przez koordynatora, który nie został oznaczony jako współdzielony, jest nadal dostępny dla każdego członka sprawy, który ma (lub otrzyma) jego uuid — co ujawnia niewydane materiały koordynatora dostawcom w sprawie.

Każdy uwierzytelniony uczestnik sprawy może pobrać CaseStatement innego dostawcy oraz per-vul CaseMemberStatus, podając identyfikator tego członka — funkcja test_func sprawdza tylko _is_my_case, a nie własność kwargs['member']. Omija share_status i ujawnia objęte embargiem informacje o statusie dostawcy (dotknięty/nie dotknięty) oraz treść oświadczeń między dzierżawcami.

W komponencie iscsiuio projektu open-iscsi znaleziono podatność polegającą na niedomiarze liczby całkowitej i odczycie poza zakresem podczas parsowania pakietów DHCPv6. Specjalnie spreparowany ruch DHCPv6 Advertise z krótkim polem długości UDP może spowodować niedomiar długości ładunku DHCPv6. Nieuwierzytelniony atakujący w sąsiednim segmencie sieci może to wykorzystać, wysyłając specjalnie spreparowany ruch IPv6 UDP podczas aktywnej wymiany DHCPv6, co prowadzi do odmowy usługi przez awarię procesu lub zakłócenie działania.

W open-iscsi znaleziono podatność umożliwiającą zdalnemu atakującemu w tej samej sieci lokalnej wywołanie odmowy usługi (DoS) w demonie iscsiuio. Wysyłając specjalnie spreparowany komunikat ICMPv6 Router Advertisement z opcją o zerowej długości, atakujący może wywołać nieskończoną pętlę. Prowadzi to do ciągłego zużycia procesora, czyniąc demona niezdolnym do odpowiedzi i wpływając na dostępność systemu. Istnieje również ryzyko odczytów poza zakresem przy krótkim ładunku IPv6, choć nie potwierdzono uszkodzenia pamięci ani wycieku danych.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu atakującemu na spowodowanie odmowy usługi i uzyskanie wrażliwych informacji z powodu niedomiaru liczby całkowitej.

IBM Db2 w wersjach 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 jest podatny na przepełnienie bufora w parserze IXF IMPORT.

IBM DOORS Next 7.0.3 do 7.0.3 Interim Fix 018 może pozwolić uwierzytelnionemu użytkownikowi na ominięcie logiki bezpieczeństwa w celu wykonania nieautoryzowanych działań.