Katalog podatności CVE

W module serwera WWW Secomea GateManager występuje podatność typu Session Fixation, która pozwala na przejęcie sesji użytkownika. Problem dotyczy wersji 11.5;0 oraz 11.4.625515072:0. Został naprawiony w wersji 11.6 lub 11.4.626194074 i nowszych.

W OpenAM domyślna konfiguracja inicjalizuje ciasteczko SSO iPlanetDirectoryPro z wyłączonym HttpOnly i bez ochronnego domyślnego SameSite, a przepływy zgody OAuth i OpenID Connect używają tego ciasteczka przez CsrfProtection jako tokenu CSRF. W połączeniu z XSS w tej samej domenie i kliknięciem przez użytkownika linku kontrolowanego przez atakującego ciasteczko może zostać odczytane i użyte do kradzieży sesji SSO oraz realizacji zgód zainicjowanych przez atakującego. Problem naprawiono w wersji 16.1.1.

W OpenAM ścieżka uwierzytelniania klienta private_key_jwt używa ClientJwksResolverCache bez niezawodnego powiązania buforowanego resolvera jwks_uri i zweryfikowanego asercji z oczekiwanym clientID w ClientCredentialsReader. Atakujący kontrolujący dowolnego zarejestrowanego klienta z opublikowanymi kluczami, w tym uzyskanego przez otwartą rejestrację dynamiczną, może uwierzytelnić się jako inny klient, którego klucze są udostępnione przez jwks_uri, i wystawiać tokeny w jego imieniu w różnych realmach w tym samym procesie OpenAM. Problem naprawiono w wersji 16.1.1.

W OpenAM GroovySandboxValueFilter pozwala uwierzytelnionemu autorowi skryptów po stronie serwera na ucieczkę z sandboxa pomimo domyślnych list dozwolonych i zabronionych klas. Użytkownik taki jak RealmAdmin podrealm, który może tworzyć lub edytować skrypty w kontekście wykonywanym, może wywoływać polecenia systemu operacyjnego jako konto serwera aplikacji OpenAM, przekraczając granicę administracji realmem i kompromitując JVM oraz wszystkie obsługiwane realmy. Problem naprawiono w wersji 16.1.1.

W OpenAM moduł uwierzytelniania OAuth2 aktualizuje istniejące konto lokalne atrybutami profilu, które mogą zawierać userPassword i inetUserStatus, przepisując hasło na nazwę użytkownika i reaktywując wyłączone konta. Brak filtrowania OAuth.removeRestrictedAccountUpdateAttributes pozwala tym polom poświadczeń i statusu dotrzeć do aktualizacji konta. Przy włączonym tworzeniu kont powtarzane logowanie OAuth powoduje, że domyślny łańcuch ldapService akceptuje nazwę użytkownika jako identyfikator i hasło, co pozwala nieuwierzytelnionemu atakującemu przejąć konto lokalne bez interakcji z dostawcą tożsamości. Problem naprawiono w wersji 16.1.1.

W OpenAM OAuthTokenStore odczytuje identyfikatory tokenów dostarczone przez wywołującego ze wspólnego Core Token Store (CTS) bez przestrzeni nazw przeznaczonej tylko dla OAuth, a OAuthAdapter akceptuje wiersz, którego BLOB rzekomo zawiera token OAuth, bez powiązania zaufanego typu CTS i weryfikacji integralności. Atakujący, który może umieścić kontrolowany JSON w CTS pod znanym identyfikatorem tokenu, na przykład przez Push Registration, a następnie anonimowe wywołanie zwrotne SNS w włączonym realmie, może wygenerować tokeny bearer OAuth i tokeny ID OpenID Connect z wybranym podmiotem, klientem, realmem i zakresem. Problem naprawiono w wersji 16.1.1.

W OpenAM anonimowe wywołanie zwrotne SNS Push Notification obsługiwane przez SnsMessageResource po wygaśnięciu messageId z dyspozytora w pamięci sięga do predykatu blob CTS, traktuje klucze najwyższego poziomu blob jako nazwy klas Java dla Class.forName i deserializuje kontrolowany przez atakującego JSON przez Jackson. Użytkownik o niskich uprawnieniach, który rozpocznie Push Registration i uzyska messageId, wspólny sekret i wyzwanie, może poczekać na wygaśnięcie, zastąpić trwały blob przez anonimowe wywołania zwrotne i wywołać ładowanie i konstrukcję klas w JVM OpenAM. Problem naprawiono w wersji 16.1.1.

W OpenAM SessionRequestHandler w punkcie końcowym zarządzania sesjami nie wymusza kontroli własności ani uprawnień, gdy użytkownik o niskich uprawnieniach odpytuje informacje o sesji w środowiskach z stanowym przechowywaniem sesji. Wnioskujący znający identyfikator tożsamości celu może pobrać aktywne poświadczenia sesji innego użytkownika, w tym konta o wyższych uprawnieniach, i użyć ich do przejęcia tej sesji. Problem naprawiono w wersji 16.1.1.

W OpenAM w wersjach przed 16.1.1 niektóre punkty końcowe federacji w niedomyślnej konfiguracji klastrowej niekonsekwentnie kodują parametry dostarczane przez użytkownika, renderowane do HTML w ścieżce przekierowania cookie-hash SAML2. Nieuwierzytelniony atakujący może nakłonić użytkownika do otwarcia spreparowanego żądania i wykonania skryptu w domenie OpenAM. Problem naprawiono w wersji 16.1.1.

W OpenAM w wersjach przed 16.1.1 punkt końcowy autoryzacji OAuth 2.0 i OpenID Connect nie koduje wystarczająco parametrów dostarczanych przez użytkownika, zanim szablony FormPostResponse.ftl i checkSession.ftl wyrenderują je do HTML w trybie odpowiedzi form_post. Nieuwierzytelniony atakujący może nakłonić użytkownika do otwarcia spreparowanego żądania autoryzacji i wykonania skryptu w domenie OpenAM. Problem naprawiono w wersji 16.1.1.

W OpenAM w wersjach przed 16.1.1 metoda IdentityResourceV1.queryCollection() przekazuje parametr _queryId z /json/{realm}/users do CrestQuery z wyłączonym escapeQueryId, omijając ochronę dodaną dla CVE-2021-29156. Nieescapowana wartość trafia do DJLDAPv3Repo.getFilter(), gdzie jest łączona z filtrem LDAP, co pozwala uwierzytelnionemu atakującemu wstrzykiwać metaznaki LDAP w celu enumeracji użytkowników i ślepej injekcji LDAP. Problem naprawiono w wersji 16.1.1.

Rozszerzenie WSO2 Integrator MI do VS Code nie sanityzuje ani nie waliduje poprawnie danych wejściowych użytkownika podczas przetwarzania projektów Micro Integrator otwieranych z niezaufanych źródeł. Spreparowany projekt może wstrzyknąć i wykonać dowolne polecenia systemu operacyjnego poprzez przepływ wykonywania testów jednostkowych. Wykorzystanie wymaga udzielenia zaufania do workspace i uruchomienia testów jednostkowych.

W podatnych wersjach MISP element kolekcji może zostać utworzony z samego UUID bez konsekwentnego sprawdzania, czy działający użytkownik ma prawo dostępu do obiektu, na który wskazuje UUID. Ścieżka add() mogła zapisać UUID zdarzenia lub Galaxy Cluster, którego wywołujący normalnie nie może odczytać, co czyniło kolekcje sposobem na odwoływanie się do prywatnych danych innej organizacji. Poprawka centralizuje autoryzację w __assertCanUseElements(). Wersje podatne: ≤2.5.45.

W podatnych wersjach MISP nie następuje autoryzacja przesłanego sharing group w określonej ścieżce edycji zdarzenia. Logika sprawdzała uprawnienia do sharing_group_id tylko wtedy, gdy żądanie jawnie podawało distribution = 4; pominięcie distribution przy jednoczesnym podaniu innego sharing_group_id omijało tę kontrolę, a logika odzyskiwania pól przywracała istniejącą dystrybucję zdarzenia. Poprawka dodaje sprawdzenia autoryzacji w kontrolerze i Event::_edit(). Wersje podatne: ≤2.5.45.

W produktach FF-RFI079I4 i FF-RFI078I4 istnieje problem ukrytej funkcjonalności, który może pozwolić użytkownikowi mogącemu zalogować się przez SSH i uzyskać dostęp do trybu enable na wykonanie dowolnych poleceń systemu operacyjnego. Wymaga to zalogowania przez SSH i dostępu do trybu enable.

W produktach FF-RFI079I4 i FF-RFI078I4 istnieje problem nieprawidłowej neutralizacji specjalnych elementów używanych w poleceniach systemu operacyjnego (wstrzykiwanie poleceń OS). Użytkownik mogący zalogować się do M-Plane (NETCONF) produktu może wykonać dowolne polecenia systemu operacyjnego.

W Duplicati dla Windows w wersjach przed v2.4.0.0 występuje nieprawidłowe przypisanie uprawnień do krytycznego zasobu w loaderze konfiguracji. Lokalny atakujący z niskimi uprawnieniami może podnieść uprawnienia do NT AUTHORITY\SYSTEM poprzez plik preload.json kontrolowany przez atakującego.

W aktorze scan_mysql pakietu leapp-upgrade-el9toel10 (dostarczanego przez leapp-repository) występuje luka pozwalająca na podniesienie uprawnień. Podczas aktualizacji RHEL 9 do RHEL 10 aktor uruchamia mysqld --validate-config --log-error-verbosity=2 bezpośrednio jako root, omijając jednostkę systemd MySQL, która normalnie uruchamia demona jako User=mysql. Proces przejęty jako tożsamość mysql może zapisać trwałą konfigurację (mysqld-auto.cnf) i złośliwą bibliotekę współdzieloną w /var/lib/mysql, ustawiając plugin_dir i early_plugin_load, aby MySQL załadował kontrolowany obiekt podczas walidacji konfiguracji. Gdy administrator uruchomi przepływ preupgrade lub upgrade Leapp, kod atakującego może wykonać się jako UID 0 z pełnym zestawem uprawnień w domenie SELinux unconfined_t.

W dotkniętych wersjach Octopus Server użytkownicy z określonymi zestawami uprawnień mogli wykonywać dowolne skrypty na workerze, w tym na wbudowanym workerze Octopus Server. Nieprawidłowa walidacja uprawnień podczas wykonywania skryptu pozwalała na jego uruchomienie bez wymaganej autoryzacji.

W GPAC do wersji f1219cde wykryto błąd w funkcji gf_mo_get_od_id w pliku compositor/media_object.c komponentu Compositor. Manipulacja może prowadzić do użycia po zwolnieniu (use-after-free). Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Aktualizacja do wersji abi-16.24 rozwiązuje problem.