Katalog podatności CVE

W systemie Rsyslog od wersji 8.2110.0 do 8.2604.0 opcjonalny moduł imhttp w funkcji parse_auth_header przydziela zerobajtowy bufor sterty przez calloc(0, len), gdy wartość HTTP Basic Authorization przekracza stały bufor roboczy, a następnie przekazuje ten wskaźnik do apr_base64_decode. Nieuwierzytelniony zdalny atakujący może wysłać zbyt duże zakodowane poświadczenie do punktu końcowego imhttp skonfigurowanego dla Basic Authentication, powodując nadpisanie sąsiedniej pamięci sterty przed walidacją poświadczeń. Podatność jest naprawiona w wersji 8.2604.0.

W pakiecie virtio-win od wersji mm210 do mm320 sterownik Viosock pozwala procesowi lokalnemu o niskich uprawnieniach wysłać żądanie IOCTL_SELECT z kontrolowanymi przez atakującego wartościami VIRTIO_VSOCK_SELECT.Fdss[*].fd_count, które przepełniają 32-bitową sumę używaną przez VIOSockSelect do sprawdzania granic. Zawinięta suma może przejść kontrolę FD_SETSIZE, mimo że pojedynczy licznik deskryptorów jest znacznie większy niż oczekiwany limit. VIOSockSelectCopyFds iteruje następnie używając niesprawdzonego licznika i zapisuje poza przydzieloną tablicą pPkt->Fds w stercie jądra NonPagedPool. Podatność jest naprawiona w wersji mm320.

Biblioteka uri-js do wersji 4.4.1 zawiera podatność typu denial of service w funkcji removeDotSegments, która zapętla się w nieskończoność, gdy segment ścieżki zaczyna się od unicode'owych separatorów wiersza lub akapitu. Atakujący może to wywołać bezpośrednio przez removeDotSegments lub przez funkcje normalize/resolve z włączoną obsługą IRI, blokując pętlę zdarzeń Node.js do wyczerpania sterty.

SGLang w wersji do 0.5.19, w trybie rozdzielenia prefill/decode z backendem transferu KV Mooncake, nie waliduje wartości bootstrap_room, co pozwala na nieograniczoną alokację stanu transferu. Nieuwierzytelniony atakujący może wywołać endpoint POST /generate silnika decode i przesłać dowolne wartości bootstrap_room, wyczerpując pamięć procesu prefill aż do zakończenia z powodu braku pamięci.

Biblioteka braces w wersji do 3.0.3 zawiera podatność przepełnienia stosu w rekurencyjnych funkcjach przechodzenia AST, które nie mają ograniczeń głębokości. Atakujący może dostarczyć głęboko zagnieżdżone wzorce nawiasów mieszczące się w limicie znaków, aby wyczerpać stos wywołań i zakończyć proces Node.js nieobsłużonym błędem RangeError.

Kamery IP CareCam CM2507 nie wymagają uwierzytelnienia przy dostępie do usługi strumieniowania wideo przez sieć. Nieuwierzytelniony atakujący z dostępem sieciowym do urządzenia może uzyskać obraz wideo z kamery na żywo.

Bransys ELD jest dostarczany z zakodowanymi na stałe poświadczeniami MQTT, które przyznają dostęp do odczytu danych w czasie rzeczywistym dla każdego aktywnego urządzenia u podzbioru przewoźników podłączonych do dotkniętego brokera MQTT.

libheif to dekoder i koder formatów HEIF i AVIF. W wersji 1.23.1 i wcześniejszych spreparowane grafy referencji grid, iovl i iden mogą wielokrotnie dekodować ten sam obraz bazowy, ponieważ processed_ids jest kopiowane dla każdej gałęzi, a ImageItem::decode_image() nie ma wspólnego budżetu operacji. Podatność naprawiono w wersji 1.23.2.

libheif to dekoder i koder formatów HEIF i AVIF. Przed wersją 1.23.2 spreparowane dane czasowania sekwencji HEIF i listy edycji mogą sprawić, że Track::init_sample_timing_table() obliczy logiczną wartość m_num_output_samples przekraczającą liczniki uint32_t używane przez Track_Visual::decode_next_image_sample() i Track::get_next_sample_raw_data(). Powstałe porównanie nigdy nie osiąga zbyt dużej liczby wyjściowej, powodując nieskończone pętle dekodowania lub próbkowania surowego i omijając max_sequence_frames. Ta sama ścieżka sekwencji wielokrotnie wywołuje Box_stts::get_sample_duration() i alokuje Chunk::m_sample_ranges oraz Track::m_presentation_timeline poza rozliczaniem MemoryHandle, co pozwala na poważne wyczerpanie CPU i pamięci z małego pliku. Problem naprawiono w wersji 1.23.2.

libheif to dekoder i koder formatów HEIF i AVIF. Przed wersją 1.23.2, gdy włączony jest WITH_UNCOMPRESSED_CODEC, heif_context_add_image_tile() akceptuje niezależnie skonstruowany kafelek, którego wymiary płaszczyzny komponentów nie pasują do geometrii kafelka ustalonej przez obraz prototypowy. ImageItem_uncompressed::add_image_tile() przekazuje ten kafelek bezpośrednio do unc_encoder::encode_tile(), który nie miał bramki check_component_sizes() i ustala rozmiar wyjścia na podstawie skonfigurowanej geometrii kafelka, kopiując rzeczywiste wymiary płaszczyzny komponentów kafelka. Zbyt duża płaszczyzna komponentów może zatem sprawić, że unc_encoder_component_interleave::encode_tile() skopiuje dane kontrolowane przez atakującego poza bufor wyjściowy na stercie. Problem naprawiono w wersji 1.23.2.

Kamery IP CM2507 akceptują puste hasło dla uprzywilejowanego konta udostępnianego przez usługę zarządzania ONVIF. Atakujący z dostępem sieciowym do urządzenia może uzyskać dostęp do uprzywilejowanych funkcji zarządzania i pozyskać informacje o urządzeniu, użytkownikach, profilach multimedialnych i konfiguracji strumieni.

libheif to dekoder i koder formatów HEIF i AVIF. Od wersji 1.19.0 do 1.23.2 spreparowane metadane MIME HEIF lub AVIF oraz dane obrazu unci mogą powodować, że decompress_brotli() i do_inflate() zwiększają skumulowane wyjście bez skutecznego limitu rozmiaru lub rozliczania MemoryHandle. Ścieżka brotli nie ma ograniczenia wyjścia, a ścieżka zlib sprawdza tylko mały bufor tymczasowy w gałęzi, do której prawidłowe strumienie nie docierają, a nakładające się jednostki icef mogą wielokrotnie dekompresować ten sam ładunek. HeifContext::interpret_heif_file_images() przetwarza wiele skompresowanych elementów metadanych podczas otwierania pliku, co pozwala małemu plikowi zużyć nieograniczoną pamięć i zatrzymać proces. Problem naprawiono w wersji 1.23.2.

Przemysłowy przełącznik zarządzalny PLANET IGS-5225-8P2T4S w wersjach firmware V1 i V2 przed 1.2412b260707 i 2.2412b260519 zawiera przepełnienie bufora na stosie w serwerze WWW. Niewystarczające sprawdzanie granic danych kopiowanych do bufora stosu pozwala zdalnemu uwierzytelnionemu atakującemu wywołać odmowę usługi lub potencjalnie wykonać dowolny kod w systemie operacyjnym.

Przełącznik przemysłowy PLANET IGS-5225-8P2T4S (wersje firmware V1 i V2 przed 1.2412b260707 i 2.2412b260519) zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego w serwerze WWW. Dane wprowadzane przez użytkownika są przekazywane do funkcji system() bez wystarczającego filtrowania, co pozwala zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń w systemie operacyjnym i podniesienie uprawnień do roota.

Sublime Text dla Windows (do Build 4192 dla wersji 4 i Build 3207 dla wersji 3) zawiera lokalną podatność na podniesienie uprawnień, która pozwala nieuprzywilejowanym lokalnym atakującym na wykonanie dowolnego kodu z podwyższonymi uprawnieniami poprzez nadużycie mechanizmu aktualizacji. Atakujący może umieścić złośliwą bibliotekę DLL w katalogu tymczasowym pod %LOCALAPPDATA%, oznaczyć ją jako tylko do odczytu, aby uniknąć usunięcia, a następnie instalator z podwyższonymi uprawnieniami skopiuje ją do chronionego katalogu instalacyjnego, co spowoduje wykonanie DLL w kontekście użytkownika z wyższymi uprawnieniami.

OpenImageIO to zestaw narzędzi do odczytu, zapisu i manipulacji plikami graficznymi. Przed wersją 3.1.16.0, specjalnie spreparowany 1-bitowy ciągły obraz TIFF w trybie CMYK jest udostępniany przez natywny specyfikator obrazu uint1, więc wywołujący alokuje bufor bitowy. Funkcja tiffinput::read_native_scanline_locked() wywołuje jednak tiffinput::bit_convert() z 8-bitowym wyjściem i zapisuje jeden rozwinięty bajt na wartość do mniejszego bufora, co powoduje zapis poza stertą i uszkodzenie pamięci. Problem naprawiono w wersji 3.1.16.0.

OpenImageIO to zestaw narzędzi do odczytu, zapisu i manipulacji plikami graficznymi. Przed wersjami 3.0.21.0, 3.1.16.0 i 3.2.0.3-beta1, specjalnie spreparowany obraz Cineon może deklarować nieobsługiwaną głębię bitową 26. Funkcja cineoninput::open() mapuje ją na 32-bitowy specyfikator obrazu, ale libcineon mapuje nieobsługiwaną głębię na 8-bajtową wartość, więc cineoninput::read_native_scanline() powoduje zapis danych kontrolowanych przez atakującego poza bufor wywołującego (4 bajty na piksel), co prowadzi do zapisu poza stertą i uszkodzenia pamięci. Problem naprawiono w wersjach 3.0.21.0, 3.1.16.0 i 3.2.0.3-beta1.

OpenImageIO to zestaw narzędzi do odczytu, zapisu i manipulacji plikami graficznymi. Przed wersjami 3.0.21.0, 3.1.16.0 i 3.2.0.3-beta1, prawidłowy kafelkowy obraz OpenEXR, którego szerokość nie jest wielokrotnością szerokości kafelka, może wywołać przepełnienie przy odczycie częściowego prostokąta krawędziowego. Funkcja openexrinput::read_native_tiles() kopiuje każdy wiersz do bufora wywołującego, używając dopełnionego całego kafelka scanline_stride zamiast user_scanline_bytes dla żądanego prostokąta, co prowadzi do zapisu poza stertą i uszkodzenia pamięci. Problem naprawiono w wersjach 3.0.21.0, 3.1.16.0 i 3.2.0.3-beta1.

OpenImageIO to zestaw narzędzi do odczytu, zapisu i manipulacji plikami graficznymi. Przed wersjami 3.0.21.0, 3.1.16.0 i 3.2.0.3-beta1, kafelkowy obraz IFF tylko z buforem Z jest udostępniany z 16-bitowym publicznym specyfikatorem obrazu, podczas gdy dekoder zachowuje 32-bitowy wewnętrzny rozmiar piksela. Funkcja iffinput::read_native_tile() kopiuje zgodnie z m_header.pixel_bytes() zamiast imagespec::tile_bytes(true), a nieudany odczyt może pozostawić m_buf niepusty, więc późniejsze wywołanie kopiuje częściowo zainicjowane dane do zbyt małego bufora, co prowadzi do zapisu poza stertą i uszkodzenia pamięci. Problem naprawiono w wersjach 3.0.21.0, 3.1.16.0 i 3.2.0.3-beta1.

http4k to funkcjonalny zestaw narzędzi dla aplikacji HTTP w języku Kotlin. Przed wersjami 4.51.0.0, 5.42.0.0 i 6.50.0.0, funkcja DigestAuthProvider.verify w http4k-security-digest nie porównuje parametru uri w odpowiedzi Authorization: Digest z rzeczywistym adresem URL żądania. Atakujący, który przechwyci prawidłową odpowiedź uwierzytelniania Digest, może ją powtórzyć wobec innego adresu URL obsługiwanego przez tę samą domenę (realm), omijając powiązanie z URI żądania i potencjalnie uzyskując nieautoryzowany dostęp do odczytu lub zapisu. Problem naprawiono w wersjach 4.51.0.0, 5.42.0.0 i 6.50.0.0.