Katalog podatności CVE

Mercurial przed wersją 4.3 jest podatny na brak sprawdzenia symlinków, co pozwala złośliwym repozytoriom na modyfikację plików poza repozytorium.

Podatność w jądrze Linuxa związana z korupcją pamięci, która występuje podczas przełączania ścieżki z UFO na non-UFO. Problem pojawia się, gdy długości pakietów UFO przekraczają MTU, co prowadzi do negatywnych wartości w obliczeniach i pisania poza przydzieloną pamięcią.

W jądrze Linuxa występuje podatność na przekroczenie granicy stosu w gniazdach AF_PACKET. Problem ten jest analogiczny do wcześniej ujawnionej podatności CVE-2016-8655, gdzie opcja gniazda zmieniająca stan gniazda może kolidować z kontrolami bezpieczeństwa.

Wtyczka Input Step w Pipeline domyślnie pozwalała użytkownikom z dostępem Item/Read do interakcji z krokiem w celu dostarczenia danych wejściowych. Zmieniono to, wymagając teraz posiadania uprawnienia Item/Build.

Plugin Script Security nie zastosował ograniczeń piaskownicy do wywołań konstruktorów za pomocą listy argumentów pozycyjnych, wywołań superkonstruktorów, referencji do metod oraz wyrażeń rzutowania typów. Może to prowadzić do wywoływania dowolnych konstruktorów i metod, omijając ochronę piaskownicy.

Blue Ocean umożliwia tworzenie folderów organizacji GitHub, które skanują organizację w poszukiwaniu repozytoriów i gałęzi zawierających Jenkinsfile, a następnie tworzą odpowiadające potoki w Jenkins. API REST SCM content nie sprawdzało uwierzytelnienia lub poświadczeń bieżącego użytkownika, co prowadziło do nieautoryzowanego dostępu.

Metoda Request.ParseMultipartForm pakietu net/http zaczyna zapisywać do plików tymczasowych, gdy rozmiar ciała żądania przekracza określony limit 'maxMemory'. Atakujący mógł stworzyć żądanie multipart w taki sposób, że serwer wyczerpałby dostępne deskryptory plików.

Na systemie Darwin preferencje zaufania użytkownika dla certyfikatów głównych nie były respektowane. Jeśli użytkownik miał w swoim Keychain certyfikat główny, który był wyraźnie oznaczony jako nieufny, program Go nadal weryfikowałby połączenie przy użyciu tego certyfikatu.

W wyniku niekompletnej ochrony sandboxa, w skryptach Pipeline możliwe jest wykonanie dowolnego kodu. Konstruktorzy, inicjalizatory zmiennych instancji oraz inicjalizatory instancji nie były objęte ochroną sandboxa, co umożliwiało wykonanie arbitralnego kodu przez użytkowników Jenkins z odpowiednimi uprawnieniami.

Wtyczka Poll SCM nie wymagała, aby żądania do jej API były wysyłane za pomocą metody POST, co otworzyło ją na ataki typu Cross-Site Request Forgery. Umożliwiło to atakującym inicjowanie pollingu projektów o znanej nazwie.

Wtyczka Git łączy się z repozytorium Git określonym przez użytkownika w ramach walidacji formularza. Atakujący, który nie ma bezpośredniego dostępu do Jenkins, ale potrafi odgadnąć identyfikator poświadczeń użytkownika/hasła, może nakłonić dewelopera z uprawnieniami do konfiguracji zadań do kliknięcia w link z złośliwie skonstruowanym adresem URL Jenkins, co skutkuje wysłaniem nazwy użytkownika i hasła do serwera kontrolowanego przez atakującego.

Plugin strategii autoryzacji opartej na rolach nie wymagał, aby żądania do jego API były wysyłane za pomocą metody POST, co otworzyło go na ataki typu Cross-Site Request Forgery. Umożliwiło to atakującym dodanie roli administratora do dowolnego użytkownika lub usunięcie konfiguracji autoryzacji, co uniemożliwiało legalny dostęp do Jenkins.

Wtyczka Periodic Backup nie przeprowadzała żadnych kontroli uprawnień, co pozwalało każdemu użytkownikowi z dostępem Overall/Read na zmianę ustawień, uruchamianie kopii zapasowych, przywracanie kopii zapasowych, pobieranie kopii zapasowych oraz usuwanie wszystkich poprzednich kopii zapasowych poprzez rotację logów. Dodatkowo, wtyczka nie wymagała, aby żądania do jej API były wysyłane metodą POST, co otwierało ją na ataki Cross-Site Request Forgery.

W wersjach capi-release Cloud Foundry od 1.33.0 do 1.41.0 oraz cf-release od 268 do 273 występuje regresja API, która pozwala deweloperowi przestrzeni na wykonanie dowolnego kodu na maszynie wirtualnej Cloud Controller poprzez wdrożenie specjalnie przygotowanej aplikacji.

W AIX 5.3, 6.1, 7.1 i 7.2 występuje błąd w pakietach installp i updatep JRE/SDK, który uniemożliwia poprawną aktualizację plików java.security, java.policy oraz javaws.policy.

W qtsingleapp w Qt 5.x, używanym w qBittorrent i SugarSync, skonfigurowane są potoki nazwane do zdalnego dostępu, co pozwala zdalnym atakującym na spowodowanie awarii aplikacji poprzez nieokreślony ciąg.

W module tough-cookie przed wersją 2.3.3 dla Node.js znaleziono lukę ReDoS (odmowa usługi z powodu wyrażenia regularnego). Atakujący, który może wysłać żądanie HTTP z odpowiednio skonstruowanym ciasteczkiem, może spowodować nadmierne zużycie CPU przez aplikację.

W produktach Gemalto HASP SRM, Sentinel HASP i Sentinel LDK przed wersją 7.55 RTE występuje podatność umożliwiająca odczyt dowolnej pamięci z kontrolowanego wskaźnika pamięci, co prowadzi do zdalnego odmowy usługi.

Przepełnienie stosu w niestandardowym parserze XML w produktach Gemalto HASP SRM, Sentinel HASP i Sentinel LDK przed wersją 7.55 RTE prowadzi do zdalnego odmowy usługi.