Katalog podatności CVE

W jądrze Linux makro ACOMP_REQUEST_ON_STACK() rezerwuje miejsce tylko na synchroniczny fallback. Gdy wybrana jest implementacja asynchroniczna, acomp_request_clone() kopiuje jedynie obiekt rozmiaru stosu, przez co klon nie ma miejsca na kontekst żądania dostawcy asynchronicznego. Dostawcy tacy jak QAT zapisują poza alokację przez acomp_request_ctx(), co KASAN zgłasza jako zapis poza zakresem (slab OOB write).

W jądrze Linux w module libceph (protokół Ceph messenger v2) nie walidowano pola payload_len w prefiksie banera. Klient mógł wysłać baner z payload_len równym 0, co powodowało odczyt z gniazda o długości 0 i naruszenie niezmiennika maszyny stanów, wywołując ostrzeżenie w populate_in_iter(). Zgodnie ze specyfikacją msgr2 payload_len musi wynosić co najmniej 16 bajtów.

W jądrze Linux w netfilter nf_tables krok sprzętowego offloadu jest wykonywany przed zbudowaniem bloba łańcucha. Alokacja bloba łańcucha przed offloadem rulesetu zmniejsza ryzyko wejścia w niespójny stan, w którym offloadowany ruleset w karcie sieciowej różni się od rulesetu programowego.

W jądrze Linux w sterowniku stmmac (karta sieciowa) ścieżka odbioru RX została przekonwertowana na tryb zero-copy, ale nie przeniesiono wyrównania NET_IP_ALIGN do stmmac_rx_offset(). W efekcie nagłówek IP trafia pod nieprawidłowo wyrównany adres, co na architekturach takich jak ARM32 powoduje błąd wyrównania i panikę jądra przy odbiorze np. pakietu ICMP echo request.

W jądrze Linuxa w sterowniku slip istnieje podatność use-after-free w funkcji slip_receive_buf() podczas wyścigu z zawieszeniem linii TTY. Funkcja slip_hangup() jedynie wywołuje slip_close(), co prowadzi do równoległego dostępu do zwolnionej pamięci.

W jądrze Linuxa w protokole TCP brakuje wymuszenia trybu zerokopiowego dla devmem TX. Gdy funkcja NETIF_F_SG nie jest ustawiona, możliwa jest próba kopiowania danych z nieprawidłowym iovec, co może prowadzić do błędów lub naruszenia niezmienników.

Menedżer pakietów MidnightBSD (mport) przed wersją 2.7.8 nie odrzucał konsekwentnie nazw plików pakietów zawierających puste wartości, kropkę, podwójną kropkę lub ukośniki. Złośliwe dane indeksu pakietów mogły spowodować zapis pobranych danych poza zamierzoną lokalizacją pamięci podręcznej lub pod niebezpieczną nazwą.

Funkcja mport_fetch_bootstrap_index() w libmport/fetch.c przed wersją 2.7.8 mogła zwrócić sukces, gdy weryfikacja hasha indeksu bootstrap napotkała brakujący lub nieprawidłowy hash, ponieważ ścieżka błędu nie zachowywała wyniku krytycznego. Atakujący w sieci lub przejęte lustro mogło w ten sposób doprowadzić do użycia niezweryfikowanego lub zmodyfikowanego indeksu pakietów bootstrap.

W wersjach mport przed 2.7.8 funkcja mport_decompress_zstd() w libmport/util.c nie traktowała każdego obciętego, uszkodzonego lub nieudanego strumienia zstd jako krytycznego, a libmport/fetch.c nie propagowało konsekwentnie tych błędów do wywołujących. Złośliwe lub wadliwe lustro mogło dostarczyć skompresowane dane indeksu pakietów powodujące częściowy wynik i utratę integralności indeksu lub odmowę usługi.

SolarWinds Access Rights Manager został zgłoszony jako podatny na nieuwierzytelnione zdalne wykonanie kodu. Problem wynika z użycia wbudowanego, statycznego klucza.

RosarioSIS w wersjach przed 12.9 nie waliduje parametru żądania filename w modułach Users i Students, co pozwala uwierzytelnionym użytkownikom usuwać pliki z listy dozwolonych poprzez path traversal. Atakujący mogą użyć sekwencji katalogu nadrzędnego, aby wyjść poza katalogi przesyłania i usunąć zasoby CSS, XML, JSON oraz dokumenty innych użytkowników w całej instalacji.

Appwrite przed wersją 2.0.0 zawiera podatność na wstrzyknięcie argumentów, która pozwala uwierzytelnionym użytkownikom z uprawnieniami functions.write lub sites.write na wykonanie dowolnych poleceń poprzez wstrzyknięcie znaków TAB do parametru providerRootDirectory używanego do budowania poleceń GNU tar. Aplikacja używa escapeshellcmd zamiast escapeshellarg i nie cytuje parametru, co pozwala znakom TAB przetrwać sanityzację i zostać zinterpretowanym jako separatory argumentów, umożliwiając wstrzyknięcie dowolnych argumentów GNU tar, takich jak --checkpoint-action=exec, w celu zdalnego wykonania kodu jako użytkownik procesu roboczego builds.

W narzędziu Backup w pgAdmin 4 nazwa bazy danych pochodząca z żądania była przekazywana do pg_dump jako pozycyjny argument bez walidacji. Ponieważ pg_dump używa getopt_long z permutacją argumentów, wartość zaczynająca się od myślnika (np. --file=/ścieżka) była interpretowana jako opcja, co pozwalało nadpisać wcześniej ustawiony parametr --file i zapisywać pliki poza katalogiem File Manager. To samo pole umożliwiało również wstrzyknięcie ciągu połączenia, przekierowując pg_dump na serwer atakującego wraz z hasłem bazy z zmiennej PGPASSWORD.

libp2p to implementacja stosu sieciowego libp2p w JavaScript. Przed wersją 11.0.26 @libp2p/floodsub akceptuje nieuwierzytelnione ramki RPC na /floodsub/1.0.0 przez PeerStreams.attachInboundStream bez limitów elementów protobuf, a następnie synchronicznie przetwarza tablicę subskrypcji bez limitu na ramkę. Pojedyncza ramka o ograniczonym rozmiarze może zdekodować się do milionów pustych wpisów subskrypcji blokujących pętlę zdarzeń, a setki tysięcy unikalnych tematów SUBSCRIBE alokują obiekty PeerSet w this.topics, które nie są usuwane po usunięciu lub zatrzymaniu peera. Puste wpisy powodują wyczerpanie CPU, ale nie zwiększają this.topics; trwały wzrost pamięci wymaga unikalnych tematów. Ścieżka subskrypcji omija walidację podpisu wiadomości i kolejkę przetwarzania tylko wiadomości, pozwalając zdalnemu peerowi na trwałą odmowę usługi CPU, wyczerpanie pamięci, zakończenie z powodu braku pamięci i niedostępność węzła. Problem został naprawiony w wersji 11.0.26.

libp2p to implementacja stosu sieciowego libp2p w JavaScript. Od wersji 8.0.0 do 12.0.24 @libp2p/peer-store w packages/peer-store/src/index.ts używa consumePeerRecord do weryfikacji podpisu RecordEnvelope, ale nie wymaga, aby PeerRecord.peerId w podpisanym ładunku był równy identyfikatorowi peera podpisującego uzyskanemu przez RecordEnvelope.openAndCertify. Opcja expectedPeer sprawdza tylko podpisującego kopertę, a ścieżka gossipsub Peer Exchange może podać identyfikator peera atakującego jako expectedPeer. Atakujący może zatem podpisać rekord swoim kluczem, umieścić identyfikator peera ofiary i kontrolowane przez atakującego multiadresy w ładunku, a certyfikowane adresy zostaną zapisane dla ofiary. Zatrute adresy mogą powodować uszkodzenie książki adresowej, przekierowanie lub niepowodzenie połączeń, manipulację routingiem i zakłócenie osiągalności, chociaż aktualizacja połączenia nadal weryfikuje tożsamość zdalnego peera i zapobiega całkowitemu przejęciu tożsamości. Problem został naprawiony w wersji 12.0.24.

libp2p to implementacja stosu sieciowego libp2p w JavaScript. Od wersji 15.0.0 do 16.0.5 @libp2p/gossipsub używa domyślnej polityki StrictSign w packages/gossipsub/src/utils/buildRawMessage.ts, gdzie validateToRawMessage weryfikuje podpis za pomocą kontrolowanego przez atakującego msg.key, ale pomija powiązanie tego klucza z msg.from, gdy deklarowanym autorem jest identyfikator peera RSA, który nie zawiera wbudowanego klucza publicznego. Nieuwierzytelniony atakujący może umieścić identyfikator peera ofiary RSA w msg.from, podpisać wiadomość swoim kluczem prywatnym i dostarczyć swój klucz publiczny w msg.key, powodując akceptację i propagację wiadomości jako autorstwa ofiary. Aplikacje, które ufają msg.from w walidatorach, autoryzacji, rozliczeniach, moderacji, reputacji lub logowaniu audytowym, mogą przetwarzać dane kontrolowane przez atakującego pod fałszywą atrybucją pochodzenia. Problem został naprawiony w wersji 16.0.5.

Biblioteka AsyncHttpClient (AHC) w wersjach od 2.0.0 do 2.16.1 oraz 3.0.12 instaluje dekompresor odpowiedzi HTTP/1.1 bez limitu całkowitego rozmiaru zdekompresowanych danych. Złośliwy lub przejęty serwer może wysłać małą odpowiedź gzip, deflate lub snappy, która po dekompresji rozrasta się do ogromnych rozmiarów i wyczerpuje stertę klienta, powodując OutOfMemoryError. Problem dotyczy również brotli i zstd, a w wersjach 3.0.8–3.0.10 także dekompresora HTTP/2.

Biblioteka AsyncHttpClient (AHC) w wersjach od 2.1.0 do 2.16.1 oraz 3.0.12 może ujawnić poświadczenia uwierzytelnionego proxy SOCKS serwerowi docelowemu. Nagłówek Proxy-Authorization jest dołączany bez potwierdzenia, że żądanie jest wysyłane do proxy HTTP, co przy preemptive authentication ujawnia dane logowania w jawnym tekście, a przy domyślnym przepływie złośliwy origin może wymusić przesłanie poświadczeń NTLM, Kerberos lub SPNEGO przez tunel SOCKS.

Biblioteka ExifReader przed wersją 4.41.1 podczas parsowania plików HEIC lub AVIF ISO-BMFF ufa wartościom itemCount i extentCount z pola iloc, alokując obiekt extent w każdej iteracji zagnieżdżonej pętli. Gdy offsetSize, lengthSize, baseOffsetSize i indexSize wynoszą zero, pola nie zużywają bajtów wejściowych, a parser może zaalokować itemCount pomnożone przez extentCount obiektów bez limitu, powodując wyczerpanie pamięci i zatrzymanie procesu Node.js.

Steeltoe w wersjach od 4.0.0 do 4.3.0 w ConsulDiscoveryClient tworzy obiekty ConsulServiceInstance, parsując metadane secure z rejestracji przy użyciu ścisłej konwersji logicznej. Podmiot mogący zarejestrować usługę w Consul może podać wartość inną niż true lub false, co powoduje wyjątek przerywający budowanie całej listy instancji i czyni docelową usługę niewykrywalną, a przy GetAllInstancesAsync może przerwać wyliczanie wszystkich usług.