Katalog podatności CVE

IBM Guardium Data Protection 12.2 jest podatny na wstrzykiwanie poleceń w funkcji powiadomień alertów SNMP. Uwierzytelniony atakujący, który może wpływać na tekst alertów polityk, może spowodować wykonanie danych sterowanych przez atakującego jako poleceń systemu operacyjnego przez usługę SNMP alerter, która działa z uprawnieniami root.

IBM Guardium Data Protection 12.2 jest podatny na wstrzykiwanie poleceń w funkcji CLI dotyczącej usuwania odbiorców certyfikatów SMIME. Uwierzytelniony uprzywilejowany użytkownik CLI może wykonać dowolne polecenia z uprawnieniami root.

IBM DataStage on Cloud Pak for Data 5.4.0.0 zawiera podatność, która pozwala zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu nieprawidłowej walidacji ścieżek podczas ekstrakcji archiwum.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 zawiera podatność, która pozwala lokalnemu uwierzytelnionemu atakującemu na zmianę właściciela dowolnych plików z powodu nieprawidłowej walidacji ścieżki pliku kontrolowanej przez atakującego.

Marmite do wersji 0.4.2 zawiera brak uwierzytelnienia w punktach końcowych serwera deweloperskiego /__marmite__/content, /__marmite__/config i /__marmite__/file/, co pozwala nieuwierzytelnionym atakującym na tworzenie, modyfikowanie i nadpisywanie treści oraz konfiguracji witryny. Atakujący mogą wykorzystać nieoczyszczone parametry ścieżki w handle_create_content i handle_clone_content do zapisu plików poza katalogiem projektu poprzez directory traversal.

Marmite do wersji 0.4.2 zawiera podatność typu path traversal w serwerze deweloperskim uruchamianym przez --serve, która pozwala nieuwierzytelnionym atakującym na odczyt dowolnych plików. Funkcja handle_request w src/server.rs nie odrzuca segmentów .. po dekodowaniu procentowym i połączeniu ścieżki żądania z folderem wyjściowym, co umożliwia atakującym żądanie zakodowanych sekwencji traversal w celu uzyskania dostępu do plików czytelnych przez proces marmite.

Klient MQTT NetX Duo wycieka pakiet przenoszący uszkodzoną wiadomość PUBLISH. Każda uszkodzona wiadomość PUBLISH kosztuje jeden pakiet lub łańcuch pakietów z puli odbiorczej sterownika sieciowego i nic go nie zwraca. Osoba atakująca, która może dostarczyć kilkadziesiąt takich wiadomości, wyczerpuje pulę i zatrzymuje cały ruch sieciowy przychodzący na urządzenie aż do jego ponownego uruchomienia.

Gdy NetX Secure jest zbudowany z opcją `NX_SECURE_KEY_CLEAR`, każdy rekord TLS wysyłany w aktywnej sesji jest wymazywany po przekazaniu do TCP. W tym momencie warstwa TCP jest właścicielem łańcucha pakietów i mogła już zwolnić go do puli pakietów. Wymazywanie zapisuje zera w pakietach, które są wolne lub używane przez inny wątek, a gdy wskaźniki ponownie użytego pakietu nie opisują już starych danych, długość wymazywania powoduje niedomiar i wykracza poza koniec puli pakietów.

W funkcji `_nx_secure_x509_asn1_tlv_block_parse()` w NetX Secure występuje odczyt poza granicami bufora. Funkcja odczytuje bajt tagu ASN.1 przed sprawdzeniem, czy bufor zawiera co najmniej jeden bajt, co przy zerowej długości prowadzi do odczytu o jeden bajt poza końcem bufora. Podatność dotyczy parsowania certyfikatów X.509 dostarczanych przez zdalnego klienta podczas uzgadniania TLS.

Nieuprzywilejowany moduł ThreadX chroniony pamięcią może spowodować, że jądro odczyta i zapisze pamięć pod wybranymi przez siebie adresami w trybie uprzywilejowanym, a następnie użyć tego do wyczyszczenia bitu włączenia MPU i usunięcia własnej izolacji. Menedżer modułów decydował, czy uprzywilejowana usługa może wyłuskać adres obiektu, pytając tylko, czy adres ten znajduje się poza modułem. Pula obiektów menedżera znajduje się poza każdym modułem, więc test był spełniony przez adres przesunięty do wnętrza jednej z własnych uprzywilejowanych alokacji modułu, co nie oznacza żadnego obiektu. Bajty, które taki adres przedstawia jako blok kontrolny, to bajty, które moduł umieścił tam za pomocą zwykłych usług tworzenia i ustawiania, więc identyfikator bloku kontrolnego na ich początku mógł być odczytany jako dowolny typ wybrany przez moduł, a test identyfikatora warstwy `_txe_` się zgadzał. Zgłoszony łańcuch używa tego do osiągnięcia uprzywilejowanego `memset` w zakresie wybranym przez atakującego.

Zamontowanie obrazu pamięci NAND kontrolowanego przez atakującego (`lx_nand_flash_open()`) wyzwala nieograniczony zapis poza zakresem na stercie w parserze metadanych warstwy translacji NAND w LevelX, który nadpisuje wskaźnik funkcji sterownika w bloku kontrolnym, co daje demonstrowane przejęcie przepływu sterowania — RIP ustawiony na pełną 8-bajtową wartość wybraną przez atakującego (zweryfikowaną rejestrem). Dodatkowo dwa odczyty poza zakresem. Wszystko odtworzone wiernie pod ASan na HEAD `9f1cfdc`. (Nagłówek dotkniętego parsera metadanych stwierdza: "Niektóre fragmenty wygenerowane przez Copilot (Sonnet 4.6)" — parser wygenerowany przez AI z niesprawdzaną liczbą na flashu.)

Dwa parsery uzgadniania TLS/DTLS po stronie klienta w NetX Secure odczytują pola z komunikatu dostarczonego przez serwer przed sprawdzeniem, czy komunikat jest wystarczająco długi, aby je zawierać. Oba są ograniczonymi odczytami poza zakresem na zdalnie osiągalnej ścieżce, osiągalnymi z klienta TLS lub DTLS łączącego się ze złośliwym lub nieprawidłowym serwerem.

Funkcja `_nx_snmp_utility_object_id_get` w dodatku SNMP NetX Duo nie weryfikuje deklarowanej długości danych OID względem rzeczywistego rozmiaru bufora, gdy OID używa wielobajtowego kodowania długości BER, więc zdalny atakujący może wysłać spreparowany pakiet SNMP z wielobajtową długością OID większą niż dostępny bufor, powodując odczyt poza granicami bufora pakietu do sąsiedniej pamięci sterty. Bajty poza zakresem są dekodowane jako wartości składników OID i zapisywane do wewnętrznego bufora ciągu OID agenta, uszkadzając stan agenta. W systemach z ochroną pamięci odczyt poza zakresem stwarza ryzyko awarii wątku agenta SNMP, powodując denial of service. W systemach wbudowanych bez ochrony pamięci odczyt cicho kończy się sukcesem i uszkadza stan wewnętrzny agenta danymi ze sterty.

Nieuwierzytelniony klient może wyczerpać pulę pakietów serwera RTSP, wysyłając kilkadziesiąt żądań z nagłówkiem Session, którego parser nie potrafi skonwertować. Błąd w gałęzi Session zwraca surowy kod błędu NetX zamiast kodu statusu RTSP, co prowadzi do wycieku pakietów odpowiedzi. Po 26 żądaniach pula pakietów spada do zera, a serwer przestaje obsługiwać wszystkich klientów.

Podatność przepełnienia bufora sterty (heap-buffer-overflow) w module mDNS systemu NX. Dowolny host w sieci LAN może wysłać dwa rekordy mDNS, powodując zapis poza końcem pakietu transmisyjnego. Błąd wynika z porównywania rozmiaru slotu (zaokrąglonego do wielokrotności czterech) zamiast rzeczywistej długości łańcucha przy wyszukiwaniu nazw.

Funkcja `_nx_icmpv6_validate_options()` w stosie sieciowym Eclipse ThreadX (NetX Duo) skanuje obszar opcji ICMPv6 pętlą `while (length > 2)`, przez co końcówka o rozmiarze 1-2 bajtów pozostaje niezbadana, a funkcja zwraca `NX_SUCCESS`. Konsumenci ponownie przetwarzają ten sam obszar, odczytując dwubajtowy nagłówek opcji i odejmując `nx_icmpv6_option_length << 3` bez sprawdzenia zera i bez sprawdzenia pozostałej długości. Prowadzi to do trzech scenariuszy: nieskończonej pętli (bajt zerowej długości), niedomiaru liczników i odczytu poza buforem pakietu (niezerowy bajt długości na krótkiej końcówce) oraz nadczytu jednego bajtu (końcówka jednobajtowa).

Serwer TFTP nie sprawdza górnego limitu rozmiaru datagramu DATA, akceptując pakiety większe niż dozwolone przez protokół. Prowadzi to do przepełnienia bufora sterty (heap-buffer-overflow) podczas kopiowania danych do FileX, co umożliwia ujawnienie zawartości pamięci, a także do zawieszenia wątku serwera poprzez wyczerpanie puli pakietów. Obie podatności są osiągalne bez uwierzytelnienia, ponieważ TFTP go nie posiada.

Podczas pierwszego ClientHello w DTLS parser kopiuje długość session_id zgłoszoną przez urządzenie i sprawdza długość listy ciphersuite względem całkowitej długości rekordu zamiast pozostałych bajtów. Nieuwierzytelniony peer może spowodować odczyt poza zakresem do 255 bajtów, a te bajty są wysyłane z powrotem w ServerHello, ujawniając sąsiednią pamięć procesu przez sieć. Wariant awarii występuje przy pierwszym pakiecie.

Nieprawidłowa walidacja wskaźników non-secure (NS) w wielu funkcjach NSC TrustZone-M pozwala atakującemu działającemu w świecie non-secure na dostarczenie wskaźników do pamięci secure. Secure firmware następnie dereferencjonuje te wskaźniki bez weryfikacji, czy odnoszą się do pamięci non-secure, co prowadzi do niezamierzonego ujawnienia zawartości pamięci secure. Narusza to gwarancje izolacji TrustZone-M i może być wykorzystane do ujawnienia lub uszkodzenia pamięci, w tym odzyskania wrażliwego materiału kryptograficznego.

Electron to framework do tworzenia aplikacji desktopowych. W wersjach od 42.3.3 do 42.10.0, 43.5.0 i 44.0.0-beta.6, sandboxowany preload code cache nie weryfikował, czy wpis w cache odpowiada preloadowi, dla którego był serwowany. Złamany renderer mógł zapisać dane cache kontrolowane przez atakującego i spowodować, że Electron użyje ich przy późniejszym ładowaniu, wykonując kod renderera w bardziej uprzywilejowanym kontekście preload. Problem dotyczy aplikacji ładujących niezaufane treści. Poprawiono w wersjach 42.10.0, 43.5.0 i 44.0.0-beta.6.