Katalog podatności CVE

Wtyczka W4 Post List (autorstwa Shazzad Hossain Khan) w wersjach do 3.0.6 zawiera lukę SQL Injection wynikającą z nieprawidłowej neutralizacji znaków specjalnych w poleceniach SQL. Umożliwia to przeprowadzenie ataku Blind SQL Injection.

Arc Search dla Androida w wersji przed 1.12.10 nie wyświetla pełnoekranowego powiadomienia, gdy strona przechodzi w tryb pełnoekranowy, podczas gdy aplikacja działa w tle. Zdalny atakujący może to wykorzystać za pomocą specjalnie spreparowanej strony internetowej, aby wyświetlić fałszywe elementy interfejsu, takie jak podrobiony pasek adresu, wprowadzając użytkownika w błąd co do pochodzenia wyświetlanej treści.

Klever-Go przed wersją 1.7.20 udostępnia domyślnie otwarty endpoint GET /subscribe, który akceptuje nieuwierzytelnionych klientów WebSocket, nie ogranicza rozmiaru wiadomości ani liczby połączeń. Pojedynczy klient może rozrastać mapy subskrypcji, a wielu klientów może zatrzymywać goroutines, bufory i deskryptory, co prowadzi do wyczerpania pamięci lub zasobów i awarii węzła.

Klever-Go przed wersją 1.7.20 udostępnia domyślnie otwartą trasę WebSocket GET /log, która nie wymaga uwierzytelnienia. Pierwsza wiadomość klienta jest przetwarzana jako profil loggera i stosowana globalnie, co pozwala zdalnemu klientowi zmieniać globalne poziomy logowania i formatowanie oraz odbierać logi procesu.

W Ansible Automation Platform automation controller konfiguracja logowania zewnętrznego (rsyslog) jest generowana przez interpolację ustawień kontrolowanych przez użytkownika do pliku konfiguracyjnego RainerScript bez neutralizacji składni. Uprzywilejowany użytkownik może wstrzyknąć dyrektywy rsyslog, w tym akcję omprog, powodując wykonanie dowolnych poleceń w komponencie rsyslog płaszczyzny kontrolnej.

W automation-controller funkcja sanitize_jinja() używa wyrażeń regularnych, które zatrzymują się na pierwszym wewnętrznym znaku '}' lub '%', więc wyrażenie Jinja zawierające wewnętrzny nawias (np. pusty słownik) jest akceptowane, pozostając prawidłowym Jinja. Ponieważ sanitize_jinja() jest jedynym zabezpieczeniem kilku pól w czasie uruchamiania, użytkownik o niskich uprawnieniach może wstrzyknąć Jinja, którą ansible-core wykonuje w środowisku wykonawczym.

W Ansible Automation Platform automation-controller wstrzykiwacz zmiennych środowiskowych niestandardowego typu poświadczeń sprawdza nazwy zmiennych względem listy blokad, która pomija zmienne przechwytujące proces, takie jak BASH_ENV, ENV, LD_PRELOAD, LD_LIBRARY_PATH, PYTHONSTARTUP i GIT_SSH_COMMAND. W połączeniu z wstrzykiwaczem plików poświadczeń uprzywilejowany użytkownik może zapisać kontrolowany przez atakującego skrypt w środowisku wykonawczym i wskazać na niego BASH_ENV.

W Red Hat Ansible Automation Platform automation-controller ustawienie formatujące komunikat logu dla błędów API 4XX jest szablonem formatu Pythona kontrolowanym przez administratora, renderowanym z obiektem użytkownika jako argumentem. Administrator może utworzyć szablon, który przechodzi od obiektu użytkownika do ustawień aplikacji i odczytuje klucz tajny Django oraz hasło do bazy danych, a sformatowana wiadomość jest zapisywana do loggera, który można przekazać do zewnętrznego agregatora logów.

W Red Hat Ansible Automation Platform automation-controller widok HTML standardowego wyjścia zadań, poleceń ad hoc, aktualizacji projektu i aktualizacji inwentarza escapuje metaznaki HTML, ale nie usuwa sekwencji ucieczki ANSI przed konwersją do HTML. Sekwencja hiperłącza ANSI OSC 8 w wyjściu jest rozwijana do kotwicy HTML, której href nie jest filtrowany pod kątem schematu ani escapowany, więc użytkownik o niskich uprawnieniach może osadzić link javascript: renderowany w odpowiedzi text/html bez Content-Security-Policy.

Klever-Go przed wersją 1.7.20 w indexer/common.go umieszcza kontrolowaną przez atakującego wartość acc.Name w żądaniu _bulk JSON i NDJSON do Elasticsearch bez escapowania. Transakcja SetAccountName akceptuje prawidłowe nazwy kont UTF-8 zawierające cudzysłowy, ukośniki odwrotne i znaki nowej linii, które mogą uszkodzić ciąg JSON, odrzucić partię lub wstrzyknąć dodatkowe akcje bulk.

Klever-Go przed wersją 1.7.20 w core/kapp/validators/validators.go Register oraz ścieżka aktualizacji walidatora w czasie działania akceptują przesłany BLSPublicKey bez walidacji krzywej, podgrupy pierwszego rzędu lub niezerowości. Gdy walidator z nieprawidłowym kluczem zostanie wybrany do grupy konsensusu, MultiSigner.Reset i ścieżka weryfikacji podpisu nie mogą zdeserializować klucza grupy i anulują slot.

W bibliotece Klever-Go przed wersją 1.7.20 funkcja Buy w module marketplace nie sprawdza flagi IsClaimed przed przyjęciem oferty. Sprzedawca może rozliczyć aukcję z ofertą oczekującą, pozostawiając zamówienie z przyszłym EndTime oraz nieaktualnymi wartościami CurrentBid i CurrentBidder. Kolejny licytujący może złożyć wyższą ofertę, zostać obciążony, a poprzedni licytujący otrzymuje zwrot, mimo że NFT zostało już dostarczone.

W Klever-Go przed wersją 1.7.20 wbudowana funkcja KleverUpdateAccountPermission autoryzuje zmianę uprawnień konta docelowego, sprawdzając kontrolowane przez atakującego vmInput.RecipientAddr zamiast uwierzytelnionego vmInput.CallerAddr. Kontrakt atakującego może wybrać konto ofiary z skonfigurowanymi uprawnieniami jako RecipientAddr, a contractHasValidPermission może zaakceptować domyślnego self-signera ofiary jako autoryzację. UpdatePermission może następnie zastąpić cały zestaw uprawnień ofiary uprawnieniami Owner dostarczonymi przez atakującego, umożliwiając kradzież zasobów lub trwałe zablokowanie konta bez klucza lub podpisu ofiary.

Podatność typu untrusted search path w Plesk od wersji 18.0.34 przed 18.0.80.8 oraz od 18.0.81 przed 18.0.81.1 pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu jako root poprzez rozszerzenie "Plesk RESTful API" od wersji 2.4.2 przed 2.4.7.

Nieprawidłowe przypisanie uprawnień pozwala lokalnym użytkownikom na uzyskanie poufnych informacji CalDAV/CardDAV należących do innych kont.

W RabbitMQ przed wersjami 4.2.7 i 4.3.1 funkcja rabbit_pid_codec:decompose_from_binary/1 przetwarza dostarczone przez klienta dane binarne zakodowane w ETF i wywołuje binary_to_atom(Node, utf8) na polu nazwy węzła. Jest to osiągalne z rabbit_volatile_queue:pid_from_name/2, które jest wywoływane dla każdej nazwy kolejki lub klucza routingu zaczynającego się od amq.rabbitmq.reply-to.. Sprawdzenie członkostwa w CandidateNodes następuje po utworzeniu atomu, a otaczający try/catch nie może odzyskać atomów (nigdy nie są usuwane przez GC). Każdy uwierzytelniony klient AMQP może zawiesić całą maszynę wirtualną Erlang (wszystkie vhosty, wszystkie połączenia) za pomocą około 1 miliona tanich żądań.

W RabbitMQ przed wersjami 3.13.15, 4.0.20, 4.1.11 i 4.2.6 funkcja parse_array_primitive/2 dla konstruktora 0x45 (list0) zwraca element o szerokości bajtowej B = 0. Otaczający parser array32 odczytuje 4-bajtowe Count z sieci i wykonuje pętlę Count razy, zużywając B bajtów za każdym razem; gdy B = 0, żadne dane wejściowe nie są konsumowane, a pętla buduje listę Count pustych elementów ograniczoną tylko 32-bitowym polem. Ramka SASL-mechanisms / SASL-init jest parsowana przez amqp10_framing:decode_bin/1 z rabbit_amqp_reader.erl:412 przed zakończeniem uwierzytelniania. Pre-auth incoming_max_frame_size (domyślnie 8192 bajty) ogranicza ramkę, a nie pole Count, więc 19-bajtowy ładunek z Count = 0xFFFFFFFF jest akceptowany. Nie ustawiono max_heap_size dla procesu czytnika. Nieuwierzytelniony atakujący sieciowy może zawiesić dowolny węzeł RabbitMQ z włączonym listenerem AMQP 1.0 (domyślny port 5672), wysyłając pojedynczą ~19-bajtową ramkę.

W RabbitMQ przed wersjami 3.13.17, 4.0.22, 4.1.13 i 4.2.6 funkcja match_origin/1 zwracała odbity Origin i zezwalała na poświadczenia nawet gdy skonfigurowano wildcard "*", więc odpowiedź odbijała origin atakującego wraz z Access-Control-Allow-Credentials. Dotyczy to kodu rabbit_mgmt_cors.erl. Gdy wtyczka zarządzania jest skonfigurowana z wildcard CORS origin (cors_allow_origins = "*"), handler odbija Origin żądania w Access-Control-Allow-Origin i wysyła Access-Control-Allow-Credentials: true. Złośliwa strona internetowa, którą odwiedza zalogowany administrator, może następnie użyć jego buforowanych poświadczeń HTTP Basic do wysyłania uwierzytelnionych żądań zmieniających stan do API zarządzania.

W gnome-remote-desktop występuje luka typu denial-of-service. Nieuwierzytelniony zdalny atakujący może otwierać połączenia RDP bez kończenia handshake i utrzymywać sloty ograniczania połączeń przez czas nieokreślony, ponieważ nie jest egzekwowany termin handshake przed uwierzytelnieniem. Wyczerpując globalny limit połączeń, atakujący może uniemożliwić nowym klientom RDP połączenie się, dopóki gniazdo nie zostanie zamknięte.

W wtyczce Loops & Logic w wersjach <= 4.2.4 występuje nieuwierzytelniona luka typu Broken Access Control.