Katalog podatności CVE

W getkirby Kirby do wersji 4.9.5/5.5.3 zidentyfikowano podatność w funkcji OptionsQuery::resolve w pliku src/Option/OptionsQuery.php komponentu Dynamic Option Generation. Manipulacja prowadzi do obejścia autoryzacji. Atak jest możliwy zdalnie. Aktualizacja do wersji 4.9.6 i 5.6.0 rozwiązuje ten problem.

W 1024-lab smart-admin do wersji 3.30.0 wykryto podatność w nieznanej funkcjonalności pliku /support/config/queryByKey komponentu Support Config Query. Manipulacja argumentem configKey może prowadzić do niewłaściwej kontroli dostępu. Atak może być wykonany zdalnie, a exploit został publicznie ujawniony i może być wykorzystany. Projekt został poinformowany o problemie, ale nie odpowiedział.

W bibliotece Privasys Remote Attestation TLS Clients przed wersją 0.11.0 dowody atestacji TEE są akceptowane bez wymagania jawnie autoryzowanej tożsamości platformy. Atakujący w sieci może sfałszować dowody lub wydobyć sekrety atestacji z przejętej, nieunieważnionej platformy, a weryfikator zaakceptuje pomiary z innej platformy TEE jako pochodzące od zamierzonego Atestera. Umożliwia to podszycie się pod atestowany punkt końcowy TLS.

Biblioteka Privasys Remote Attestation TLS Clients przed wersją 0.9.1 przeprowadza atestację tylko raz, w momencie nawiązania połączenia TLS. Atakujący z dostępem lokalnym może w dowolnym momencie po ustanowieniu połączenia zmodyfikować kod, dane i konfigurację workloadu, a weryfikujący peer nadal uznaje stan za zgodny z pierwotnym Evidence.

OWASP Coraza WAF to biblioteka firewalla aplikacji webowych kompatybilna z modsecurity dla Go. Od wersji 3.0.0 do 3.8.0 transformacja t:jsDecode w internal/transformations/js_decode.go:64-70 zawiera backslash w buforze ósemkowym, powodując błąd ParseInt i zwrócenie bajtu null. Błąd jest wyzwalany, gdy reguła polega na t:jsDecode, a żądanie zawiera sekwencje ósemkowe JavaScript. Nieuwierzytelniony atakujący może zakodować składnię ataku za pomocą ósemkowych sekwencji JavaScript, aby backend zdekodował zamierzone bajty, podczas gdy reguły Coraza używające t:jsDecode analizują uszkodzone dane wyjściowe z bajtem null. Ta niezgodność może obejść reguły WAF i narazić chronioną aplikację na ataki, takie jak cross-site scripting lub SQL injection. Problem został naprawiony w wersji 3.8.0.

IBM Db2 w wersjach 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 może pozwolić lokalnemu atakującemu na spowodowanie odmowy usługi z powodu nieprawidłowej walidacji danych wejściowych.

IBM Db2 w wersjach 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 jest podatny na atak typu odmowa usługi (DoS) podczas wykonywania specjalnie spreparowanego zapytania z użyciem tabeli zmaterializowanej (Materialized Query Table).

IBM DB2 Recovery Expert dla Linux, UNIX i Windows w wersji 5.5 IF 2 używa odnośnika internetowego z niezaufanymi referencjami do zewnętrznej witryny. Zdalny atakujący może wykorzystać tę podatność do ujawnienia wrażliwych informacji lub wykonania nieautoryzowanych działań w przeglądarce ofiary.

IBM Db2 Recovery Expert dla Linux, UNIX i Windows w wersji 5.5 IF 2 jest podatny na cross-site scripting (XSS). Nieuwierzytelniony atakujący może osadzić dowolny kod JavaScript w interfejsie webowym, zmieniając zamierzoną funkcjonalność i potencjalnie prowadząc do ujawnienia danych uwierzytelniających w zaufanej sesji.

IBM Db2 Recovery Expert dla Linux, UNIX i Windows w wersji 5.5 IF 2 jest podatny na cross-site scripting (XSS). Nieuwierzytelniony atakujący może osadzić dowolny kod JavaScript w interfejsie webowym, zmieniając zamierzoną funkcjonalność i potencjalnie prowadząc do ujawnienia danych uwierzytelniających w zaufanej sesji.

IBM DB2 Recovery Expert dla Linux, UNIX i Windows w wersji 5.5 IF 2 jest podatny na cross-site scripting (XSS). Nieuwierzytelniony atakujący może osadzić dowolny kod JavaScript w interfejsie webowym, zmieniając zamierzoną funkcjonalność i potencjalnie prowadząc do ujawnienia danych uwierzytelniających w zaufanej sesji.

Ten numer CVE został odrzucony lub wycofany przez jego CVE Numbering Authority.

Temporal Server nie wiąże wewnętrznych wywołań zwrotnych z przestrzenią nazw, która je dołączyła, co pozwala uwierzytelnionemu wywołującemu z uprawnieniami zapisu w jednej przestrzeni nazw na zmianę stanu harmonogramu Scheduler V2 w innej przestrzeni nazw. Adres wywołania zwrotnego temporal://internal jest zarezerwowany dla wywołań, które Scheduler V2 dołącza do uruchamianych przez siebie Workflows. W dotkniętych wersjach każdy uwierzytelniony wywołujący mógł dołączyć wywołanie zwrotne z tym adresem do żądania uruchomienia Workflow, adres był wyłączony z listy dozwolonych component.callbacks.allowedAddresses, a usługa History dostarczała wywołanie do komponentu wskazanego przez token, w dowolnej przestrzeni nazw, bez autoryzacji oryginalnego wywołującego. Gdy sfałszowane zakończenie pasuje do działania uruchomionego przez docelowy harmonogram, harmonogram rejestruje działanie jako ukończone, podczas gdy jego Workflow nadal działa, co może ominąć politykę nakładania się, taką jak SKIP, i przekazuje dane kontrolowane przez wywołującego do następnego zaplanowanego Workflow jako wynik ostatniego zakończenia. Sfałszowana awaria może również wstrzymać harmonogram skonfigurowany do wstrzymywania przy awarii. Sfałszowanie wymaga identyfikatora docelowej przestrzeni nazw, identyfikatora harmonogramu oraz tożsamości i czasu trwania uruchomionego działania. Nie zidentyfikowano ujawnienia ładunków Workflow ani historii. Tylko przestrzenie nazw zawierające harmonogramy Scheduler V2 mogą być celem; Scheduler V2 jest domyślnie wyłączony, a istniejące harmonogramy Scheduler V2 pozostają celami po wyłączeniu ustawień, które je tworzą.

W Quarkus REST Data Panache wykryto lukę, która pozwala nieuwierzytelnionym atakującym ominąć mechanizmy kontroli bezpieczeństwa na generowanych endpointach. Gdy deweloper dostosowuje konkretną operację za pomocą @MethodProperties bez ponownego zadeklarowania ról bezpieczeństwa, generator kodu po cichu usuwa wymagania bezpieczeństwa zdefiniowane na poziomie klasy. W efekcie endpoint domyślnie staje się dostępny bez uwierzytelnienia.

W Quay znaleziono błąd: uwierzytelniony administrator repozytorium może ominąć czarną listę nazw hostów w powiadomieniach webhook, co prowadzi do podatności na Server-Side Request Forgery (SSRF). Pozwala to nakłonić aplikację Quay do wysyłania żądań do wewnętrznych zasobów sieciowych, takich jak usługi metadanych chmury lub inne usługi w klastrze, co może prowadzić do ujawnienia wrażliwych informacji z tych wewnętrznych usług.

W openstack-network-exporter znaleziono błąd: serwer HTTP w komponencie jest skonfigurowany bez niezbędnych ustawień limitu czasu, takich jak ReadHeaderTimeout. Ta podatność pozwala nieuwierzytelnionemu, zdalnemu atakującemu na inicjowanie wielu wolnych połączeń HTTP z nagłówkami. Poprzez powolne wysyłanie bajtów nagłówka atakujący może wyczerpać zasoby serwera, w szczególności deskryptory plików, prowadząc do odmowy usługi (DoS), która uniemożliwia legalne skrobanie metryk Prometheus i alertowanie.

W openstack-network-exporter wykryto błąd fail-open: gdy operator skonfiguruje uwierzytelnianie użytkownika, ale pominie lub błędnie skonfiguruje TLS, mechanizm basic authentication jest po cichu pomijany. Atakujący z sąsiedniej sieci może wtedy bez poświadczeń uzyskać dostęp do metryk dataplane OVS i OVN.

IBM Db2 w wersjach 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 jest podatny na lokalną eskalację uprawnień za pomocą narzędzia db2pd.

W PHPCSUtils od wersji 1.0.0-alpha1 do 1.2.3 metoda AbstractArrayDeclarationSniff::getActualArrayKey() ocenia kontrolowane przez atakującego wyrażenia kluczy tablicy za pomocą eval(). Umożliwia to wykonanie dowolnych poleceń na hoście skanującym, gdy skanowany jest niezaufany kod PHP zawierający klucze w formie callback.

W ConvertX przed wersją 0.18.0 endpoint /delete/{id} używa metody HTTP GET do trwałego usuwania bez ochrony CSRF. Jeśli uwierzytelniony użytkownik odwiedzi treści kontrolowane przez atakującego, przeglądarka wyśle cookie sesji i usunie wskazane zadanie.