Katalog podatności CVE

ZITADEL, open-source platforma zarządzania tożsamością, w wersjach od 3.0.0 do 3.4.13 oraz 4.16.1 zawiera podatność w Actions V1, która umożliwia korzystanie z rejestru require() kompatybilnego z Node.js (goja) bez ograniczenia ładowania plików z systemu plików. Autor akcji organizacji z uprawnieniami ORG_OWNER, org.action.write i org.flow.write może uruchamiać JavaScript w punktach wyzwalania OIDC, SAML i przepływu logowania oraz ładować pliki czytelne dla procesu serwera ZITADEL. Może to ujawnić zamontowaną konfigurację i sekrety, w tym poświadczenia przechowywane przez ZITADEL_FIRSTINSTANCE_LOGINCLIENTPATPATH lub ZITADEL_FIRSTINSTANCE_MACHINEKEYPATH, a odzyskane poświadczenia bootstrap mogą umożliwić eskalację z administratora organizacji do administratora instancji. Problem naprawiono w wersjach 3.4.13 i 4.16.1.

ZITADEL, open-source platforma zarządzania tożsamością, w wersjach od 4.0.0 do 4.16.1 zawiera podatność w Login V2, która tworzy sesję przeglądarki po weryfikacji hasła i może użyć tej sesji do późniejszego żądania uwierzytelnienia bez weryfikacji zarejestrowanego drugiego składnika TOTP, OTP lub U2F. Gdy krok MFA zostanie porzucony, a logowanie rozpocznie się ponownie, kontrole ważności sesji wymagają MFA tylko wtedy, gdy organizacja włączy Force MFA lub Force MFA tylko dla użytkowników lokalnych, więc dobrowolnie zarejestrowany czynnik może zostać pominięty podczas kończenia callbacku OIDC lub SAML dla aplikacji klienta. Login V1, ZITADEL Console, Management i Admin APIs oraz samoobsługa użytkownika nie są dotknięte. Problem naprawiono w wersji 4.16.1.

Wazuh, open-source platforma bezpieczeństwa XDR i SIEM, w wersjach od 3.9.0 do 4.14.7 zawiera podatność w wazuh-clusterd w pliku framework/wazuh/core/cluster/common.py, gdzie bufor ładunku jest alokowany na podstawie rozmiaru zadeklarowanego w 20-bajtowym nagłówku protokołu klastra przed walidacją przez deszyfrowanie Fernet. Nieuwierzytelniony peer sieciowy może zadeklarować ładunek do 256 MiB, przerwać wysyłanie po nagłówku i utrzymać alokację do zamknięcia połączenia TCP. Nasłuch klastra nie ma limitu połączeń na źródło, co pozwala równoległym gniazdom zwielokrotnić zużycie pamięci i potencjalnie zakończyć proces klastra, zakłócając synchronizację i przekazywanie API. Problem naprawiono w wersji 4.14.7.

OpenObserve przed wersją 0.90.3 udostępnia endpoint /config/runtime bez uwierzytelnienia, co pozwala nieuwierzytelnionemu klientowi sieciowemu na odczyt pełnej konfiguracji serwera. Filtr hide_sensitive_fields nie rozpoznaje pól dsn ani creds, przez co mogą zostać ujawnione dane dostępowe do baz danych, adres e-mail administratora oraz inne szczegóły wdrożenia. Problem został naprawiony w wersji 0.90.3.

Biblioteka zbateson/mail-mime-parser w wersjach od 2.0.0 do 3.0.5 oraz od 4.0.0 do 4.0.1 zawiera podatność na niekontrolowane zużycie zasobów (CWE-400). Trzy niezależne ścieżki parsowania mają koszt super-liniowy, więc nawet wiadomość poniżej 2 MB może zużyć sekundy CPU lub setki megabajtów do kilku gigabajtów pamięci, powodując odmowę usługi. Koszt jest ponoszony przy pierwszym wywołaniu getAllParts() lub odczycie treści.

Biblioteka zbateson/mail-mime-parser przed wersjami 3.0.6 i 4.0.2 jest podatna na wstrzykiwanie nagłówków CRLF (CWE-93) podczas konstruowania wiadomości MIME z nazwami plików załączników kontrolowanymi przez atakującego. Nazwy plików zawierające CR/LF mogą zostać zserializowane jako dodatkowe nagłówki, np. sfałszowane Bcc, co umożliwia wyciek wiadomości. Problem dotyczy również wersji 1.x i 2.x, które nie otrzymają poprawek.

DBHub przed wersją 0.22.6 nie egzekwuje trybu tylko do odczytu (readonly) dla narzędzia execute_sql, mimo ustawienia readonly = true. Kod odpowiedzialny za ustawienie read-only nie jest wykonywany, a jedyną ochroną jest prosty klasyfikator sprawdzający pierwsze słowo zapytania. Umożliwia to manipulację sekwencjami, zapis plików na serwerze, odczyt plików hosta oraz zdalne wykonanie kodu. Transport HTTP jest nieuwierzytelniony i domyślnie nasłuchuje na 0.0.0.0.

Rsdoctor przed wersją 1.5.16 uruchamia domyślny serwer raportów HTTP, który nasłuchuje na wszystkich interfejsach sieciowych (0.0.0.0) i udostępnia endpoint POST /api/data/key bez uwierzytelnienia oraz z wildcard CORS. Pozwala to zdalnemu atakującemu na pobranie pełnego kodu źródłowego modułów JavaScript, konfiguracji builda i innych wrażliwych danych. Serwer jest domyślnie włączony w środowiskach nie-CI.

Python Social Auth przed wersją 5.0.0 w backendzie vk-app akceptuje dane zwrotne z aplikacji VK bez weryfikacji podpisu, gdy parametr auth_key jest pominięty. Atakujący może wysłać niepodpisane dane kontrolowane przez siebie i zostać uwierzytelnionym jako dowolny użytkownik VK. Problem dotyczy tylko aplikacji używających backendu vk-app. Poprawka w wersji 5.0.0 wymaga obecności i poprawności auth_key.

W jądrze Linux naprawiono podatność w gfs2: przeniesiono inkrementację iteratora qc w pętli gfs2_quota_init() z ciała pętli do wyrażenia inkrementacji pętli for. To sprawia, że postęp iteratora jest jawny i unika mieszania przesuwania wskaźnika z obsługą duplikatów w ciele pętli.

W sterowniku chips-media wave5 występuje ryzyko użycia po zwolnieniu (use-after-free) w momencie usuwania instancji z listy. Wątek IRQ może uzyskać blokadę między zwolnieniem m2m_ctx a jego usunięciem, co prowadzi do dereferencji pustego wskaźnika.

W sterowniku Thunderbolt brakuje utrzymywania referencji do XDomain przez czas życia usługi. Ponieważ identyfikator usługi jest zwalniany w tb_service_release(), a tablica identyfikatorów należy do rodzica XDomain, istnieje ryzyko użycia po zwolnieniu. Poprawka utrzymuje referencję.

W sterowniku Thunderbolt po zatrzymaniu domeny nie ustawia się wskaźnika root_switch na NULL. Poprawka ustawia go na NULL, co powoduje, że tb_xdp_handle_request() zwraca błąd do zdalnego hosta. Jednocześnie należy utrzymać uuid, aby odpowiadać do momentu zwolnienia domeny.

W jądrze Linux w sterowniku drm/amdkfd funkcja allocate_sdma_queue nie sprawdza granic dla parametru restore_sdma_id, co może prowadzić do nieprawidłowego dostępu do pamięci.

W jądrze Linux w funkcji get_wave_state() sterownika drm/amdkfd wartości cp_hqd_cntl_stack_size i cp_hqd_cntl_stack_offset są odczytywane bezpośrednio z MQD i nie są weryfikowane. Na ścieżce przywracania CRIU (AMDKFD_IOC_RESTORE_PROCESS) atakujący może kontrolować te wartości, co prowadzi do nieograniczonego copy_to_user() i wycieku sąsiedniej pamięci GTT/jądra (nawet ~4 GiB przy niedomiarze lub 1 MiB przy zaniżonej alokacji).

W jądrze Linux wykryto podatność w module virt: acrn, prowadzącą do użycia po zwolnieniu (use-after-free) podczas zamykania eventfd. Wyścig między funkcjami acrn_irqfd_deassign() a wybudzeniem EPOLLHUP może spowodować podwójne zwolnienie struktury hsm_irqfd, co umożliwia atakującemu wykorzystanie zwisającego wskaźnika. Problem rozwiązano, zmieniając model zarządzania cyklem życia irqfd na wzór KVM.

W jądrze Linux w sterowniku iwlwifi (tryb MLD) występuje podatność prowadząca do paniki jądra podczas nieudanej rekonfiguracji po błędzie karty sieciowej. Problem wynika z przetwarzania asynchronicznych powiadomień z martwego firmware, które odwołują się do już zwolnionej pamięci (dangling pointer). Poprawka polega na natychmiastowym czyszczeniu powiadomień po zgłoszeniu błędu NIC.

W jądrze Linux w komponencie ACPICA naprawiono błąd use-after-free w funkcji acpi_ds_terminate_control_method() poprzez wyczyszczenie odwołań do lokalnych zmiennych i argumentów metody. Błąd mógł prowadzić do użycia zwolnionej pamięci.

W jądrze Linux w komponencie ACPICA dodano sprawdzanie granic w funkcji acpi_ps_get_next_field(), aby zapobiec dostępowi poza granice bufora. Błąd mógł prowadzić do odczytu lub zapisu poza dozwolonym obszarem pamięci.

W jądrze Linux w komponencie ACPICA uniemożliwiono dodawanie nieprawidłowych odwołań dla obiektów lokalnych, argumentów i obiektów debugowania w funkcji acpi_ut_copy_simple_object(). Błąd mógł prowadzić do nieprawidłowego stanu wewnętrznego interpretera ACPI.