Katalog podatności CVE

Podatność w Mongoose przed wersją 7.22 pozwala zdalnemu nieuwierzytelnionemu atakującemu na wysłanie żądania HTTP zawierającego zarówno Content-Length, jak i Transfer-Encoding: chunked. Kontrolery cl_count i te_count akceptują oba nagłówki i priorytetyzują kodowanie chunked, co prowadzi do desynchronizacji CL.TE i umożliwia wstrzyknięcie żądań w kontekście innego użytkownika.

Podatność w Mongoose przed wersją 7.22 umożliwia zdalnemu nieuwierzytelnionemu atakującemu wykorzystanie wdrożenia z odwrotnym proxy HTTP/1.0 poprzez wysłanie żądania z Transfer-Encoding: chunked i sprzecznym framingiem. Funkcja http_cb() testuje hm.proto.len z niemożliwym warunkiem większym niż osiem, co powoduje, że is_http_1_0 nigdy nie jest ustawiane, a Mongoose przetwarza chunked encoding, które proxy HTTP/1.0 może zignorować.

Mongoose to wbudowany serwer WWW i biblioteka sieciowa. Przed wersją 7.22 atakujący, który może kontrolować plik z włączonym SSI, może umieścić sekwencje traversal katalogów w dyrektywie #include file lub #include virtual. Funkcja mg_ssi() w src/ssi.c łączy argument dyrektywy ze ścieżką systemu plików bez wywołania mg_path_is_sane(), co pozwala wdrożeniu z MG_ENABLE_SSI i skonfigurowanym ssi_pattern na ujawnienie plików czytelnych dla procesu Mongoose. Problem naprawiono w wersji 7.22.

Mongoose to wbudowany serwer WWW i biblioteka sieciowa. Przed wersją 7.22 atakujący, który może utworzyć plik z ładunkiem HTML w nazwie, może wywołać trwały cross-site scripting, gdy użytkownik przegląda katalog serwowany z MG_ENABLE_DIRLIST. Funkcja printdirentry() wywoływana przez listdir() w src/http.c koduje URL w href, ale wstawia surową nazwę pliku do tekstu linku HTML. Przeglądarka wykonuje wstrzyknięty kod w kontekście Mongoose, co może ujawnić dane sesji lub umożliwić działania jako ofiara. Problem naprawiono w wersji 7.22.

Podatność w Mongoose przed wersją 7.22 pozwala atakującemu sieciowemu z certyfikatem wildcard dla domeny nadrzędnej na podszywanie się pod głębsze subdomeny wobec klienta używającego wbudowanego stosu TLS. Funkcje mg_tls_verify_cert_san() i mg_tls_verify_cert_cn() wywołują mg_match(), którego wildcard może przekraczać granice etykiet DNS, więc wzorzec taki jak *.example.com może pasować do foo.bar.example.com.

Podatność w Mongoose przed wersją 7.23 pozwala atakującemu sieciowemu na podszywanie się pod serwer TLS wobec klienta Mongoose skonfigurowanego z pakietem wielu certyfikatów CA. Funkcja mg_tls_init() przechowuje pakiet w tls->ca_bundle_der, podczas gdy tls->ca_der.len pozostaje zerowe, a mg_tls_recv_cert() używa tls_bundle_find() do akceptacji dopasowania Common Name bez weryfikacji podpisu certyfikatu.

broot renderuje każdą nazwę pliku i katalogu w interaktywnym widoku drzewa dokładnie tak, jak odczytano z systemu plików. Nazwy są konwertowane za pomocą zwykłego wywołania to_string_lossy() w src/tree_build/builder.rs oraz w TreeLine::unprune w src/tree/tree_line.rs, a w kodzie nie ma żadnego filtrowania znaków kontrolnych, mimo że komentarz dokumentacyjny w polu nazwy TreeLine stwierdza, że niektóre znaki mogły zostać usunięte. Każdy lokalny użytkownik, który może utworzyć plik, może umieścić sekwencję escape w jego nazwie i mieć ją zapisaną bez modyfikacji na terminalu każdego, kto przegląda ten katalog, pomiędzy własnymi kodami stylizacji broot. Zgłoszony dowód koncepcji użył sekwencji OSC 52 do zapisu do schowka i przechwycił surowe bajty, które broot zapisał do swojego pty, potwierdzając, że sekwencja dociera do terminala bez usunięcia. To, co może zrobić wstrzyknięta sekwencja OSC lub CSI, zależy od używanego emulatora terminala. Przeglądanie katalogu jest główną funkcją broot i nie ma oczekiwania, że zawartość jest zaufana.

Jądro Lean 4 nie weryfikuje, czy struktura nazwana w wyrażeniu projekcji odpowiada typowi wartości, oraz nie sprawdza typów zagnieżdżonych aplikacji indukcyjnych zastępowanych przez typy pomocnicze. Metaprogram może zarejestrować źle typowany typ indukcyjny, prowadząc do pomieszania typów i uzyskania dowodu fałszu bez aksjomatów.

Libevent to biblioteka do powiadamiania o zdarzeniach. Od wersji 2.2.0-alpha-dev do 2.2.2-alpha serwer WebSocket w pliku ws.c gromadzi pofragmentowane ramki w evws->incomplete_frames bez egzekwowania limitu całkowitego rozmiaru wiadomości. Nieuwierzytelniony zdalny klient może wielokrotnie wysyłać pofragmentowane ramki WebSocket poniżej WS_MAX_RECV_FRAME_SZ z FIN=0, powodując nieograniczony wzrost evbuffer aż do wyczerpania pamięci procesu lub hosta. Problem został naprawiony w wersji 2.2.2-alpha.

Libevent przed wersjami 2.1.13 i 2.2.2-alpha ma podatność zapisu poza zakresem na stercie w bufferevent_sock.c, gdy bufferevent_socket_set_conn_address_ kopiuje adres peer AF_UNIX dostarczony przez jądro do bufferevent_private.conn_address. Wersje wydaniowe skompilowane z NDEBUG wyłączają zabezpieczenie EVUTIL_ASSERT, a ścieżka akceptacji evhttp może przekazać 110-bajtowy sockaddr z accept() do 28-bajtowego pola. Nieuwierzytelniony lokalny peer, który może połączyć się z nasłuchem AF_UNIX, może nadpisać sąsiedni wskaźnik dns_request i dane na stercie, powodując uszkodzenie pamięci z wpływem na poufność, integralność i dostępność. Problem został naprawiony w wersjach 2.1.13 i 2.2.2-alpha.

Libevent przed wersjami 2.1.13 i 2.2.2-alpha ma przepełnienie bufora na stosie off-by-one w evdns.c, gdy dnsname_to_labels formatuje rekord DNS z nazwą na końcu 64 KB bufora stosu przydzielonego przez evdns_server_request_format_response. Ostatnia kontrola etykiety pozwala, aby j plus label_len plus jeden równało się buf_len, po czym bajt null jest zapisywany do buf[buf_len]. Spreparowana odpowiedź serwera DNS zawierająca dane PTR, CNAME, MX, NS lub SOA może wywołać zapis o jeden bajt poza zakresem i spowodować awarię lub uszkodzenie procesu. Problem został naprawiony w wersjach 2.1.13 i 2.2.2-alpha.

Podatność w Libevent przed wersjami 2.1.13 i 2.2.2-alpha obejmuje dwie słabości w parsowaniu HTTP w pliku http.c. Funkcja evhttp_decode_uri_internal dekoduje procentowo zakodowane bajty %00 na dosłowne znaki NUL, co może powodować obcinanie ścieżki i ominięcie walidacji. Funkcja evhttp_header_is_valid_value akceptuje przestarzałe składanie linii w wartościach nagłówków zawierających CR lub LF, co umożliwia interpretację nagłówków w różny sposób przez proxy i Libevent.

Libevent przed wersjami 2.1.13 i 2.2.2-alpha ma nieprawidłową konwersję liczb całkowitych w event_tagging.c, gdy evtag_unmarshal_header używa evtag_decode_int do zdekodowania długości ładunku uint32 kontrolowanej przez atakującego i zwraca ją jako signed int. Wartości powyżej INT_MAX stają się ujemne lub obcięte, a evtag_unmarshal_string może użyć przekonwertowanej wartości do rozmiaru alokacji, powodując zawinięte duże żądanie alokacji i odmowę usługi. Problem został naprawiony w wersjach 2.1.13 i 2.2.2-alpha.

Libevent przed wersjami 2.1.13 i 2.2.2-alpha może czytać poza ciągłym regionem evbuffer w event_tagging.c, gdy decode_tag_internal żąda maksymalnie pięciu bajtów z evbuffer_pullup, ale iteruje używając pełnej logicznej długości bufora. Pofragmentowany evbuffer zawierający sześciobajtowy uszkodzony tag może więc przesunąć się poza okno pullup i wywołać odczyt poza zakresem, co może spowodować awarię procesu dekodującego kontrolowane przez atakującego tagowane dane RPC. Problem został naprawiony w wersjach 2.1.13 i 2.2.2-alpha.

Libevent przed wersjami 2.1.13 i 2.2.2-alpha nieprawidłowo obsługuje zduplikowane nagłówki Transfer-Encoding, wartości rozdzielane przecinkami oraz gołe znaki nowej linii w ramkach chunked. Może to prowadzić do desynchronizacji żądań i przemycania drugiego żądania przez niezautentyfikowanego zdalnego atakującego, gdy Libevent jest wdrożony za proxy.

Libevent to biblioteka powiadomień o zdarzeniach. Przed wersjami 2.1.13 i 2.2.2-alpha libevent ma use-after-free w buffer.c, gdy evbuffer_add_buffer_reference przetwarza bufor wyjściowy, którego out_total_len wynosi zero. evbuffer_free_all_chains zwalnia początkowy pusty łańcuch bez resetowania outbuf->first, outbuf->last lub outbuf->last_with_datap, a APPEND_CHAIN_MULTICAST następnie dereferencjonuje wiszący wskaźnik łańcucha. Osoba wywołująca, która może sterować tym stanem bufora, może spowodować uszkodzenie pamięci lub awarię procesu. Problem naprawiono w wersjach 2.1.13 i 2.2.2-alpha.

Libevent przed wersją 2.2.2-alpha może wyłuskać nieprawidłowe wskaźniki listy w pliku ws.c, gdy funkcja evws_new_session wejdzie w ścieżkę błędu po udanym evhttp_start_ws_ i nieudanym bufferevent_enable_locking_. Może to spowodować awarię procesu.

Libevent przed wersjami 2.1.13 i 2.2.2-alpha przetwarza chunked HTTP trailery w pliku http.c i scala je z nagłówkami żądania. Zdalny atakujący może umieścić wrażliwe pola w trailerach, co prowadzi do różnic w interpretacji nagłówków między proxy a aplikacją.

django CMS przed wersjami 5.0.8 i 5.1.0 ignoruje nagłówki żądań zadeklarowane przez wtyczki w funkcji get_vary_cache_on() podczas generowania klucza pamięci podręcznej. Powoduje to, że różni użytkownicy mogą otrzymać treść przeznaczoną dla innych.

django CMS to łatwy w użyciu i przyjazny dla programistów system zarządzania treścią dla przedsiębiorstw oparty na Django. Przed wersją 5.0.8 punkt końcowy move_plugin w cms/admin/placeholderadmin.py akceptuje kontrolowaną przez atakującego wartość plugin_parent bez odrzucania identyfikatora własnego pluginu lub identyfikatora potomka. Użytkownik personelu z uprawnieniami do zmiany pluginu w ramach CMS_PERMISSION może utworzyć cykl parent_id w drzewie pluginów. Zapytania _get_descendants_cte i _get_ancestors_cte w cms/models/pluginmodel.py nie mają zabezpieczenia przed cyklem, więc get_descendants() i późniejsze operacje renderowania, kopiowania lub usuwania mogą rekurencyjnie działać w nieskończoność lub osiągnąć limit rekurencji bazy danych, uszkadzając drzewo i zużywając wątki robocze. Problem został naprawiony w wersji 5.0.8.