Katalog podatności CVE

GitLab naprawił problem w GitLab CE/EE dotyczący wszystkich wersji od 19.1 przed 19.2.7, 19.3 przed 19.3.3 i 19.4 przed 19.4.1. W pewnych warunkach uwierzytelniony użytkownik mógł sfałszować autorstwo merge requestów i przypisać treść do dowolnych istniejących użytkowników z powodu nieprawidłowego polegania na efemerycznym stanie cache podczas importów Direct Transfer.

GitLab EE zawiera błąd w kontroli autoryzacji, który w określonych warunkach pozwala uwierzytelnionemu użytkownikowi z rolą developer na obejście kontroli zarządzania narzędziami AI skonfigurowanymi przez administratora dla przepływów pracy w przestrzeniach nazw, którymi nie zarządza. Problem dotyczy wersji od 19.1 przed 19.2.7, 19.3 przed 19.3.3 oraz 19.4 przed 19.4.1.

W rozszerzeniu ByteDance Coze Scraper do wersji 2.0.2 wykryto podatność w funkcji chrome.runtime.onMessageExternal.addListener w pliku static/background/index.js (komponent External Message Handler). Manipulacja argumentami body.url/paginationConfig/xPathConfig/body.urls/xPaths prowadzi do braku autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W projekcie weiqingwen spring-boot-forum do commita 538eecc3c6b85fdf0768ab4e8354b48c0c17d94f wykryto podatność w funkcji validate pliku src/main/java/com/qingwenwei/util/NewUserFormValidator.java (komponent Avatar Upload). Manipulacja argumentem Username prowadzi do path traversal. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W urządzeniu Fast FAC1900R w wersji 20190827_2.0.2 zidentyfikowano podatność w funkcji get_alias_name komponentu uhttpd. Manipulacja prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W urządzeniu LB-Link BL-CPE600EU w wersji 5.8.13 wykryto lukę w nieznanym kodzie pliku Mifi_config.bin (komponent Configuration Backup Handler). Manipulacja prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Biblioteka hpack (implementacja kodowania nagłówków HTTP/2 w Pythonie) przed wersją 4.2.0 nie ogranicza rozmiaru dekodowanych liczb całkowitych o zmiennej długości. Złośliwe dane wejściowe mogą wywołać lawinowe obliczenia o złożoności O(n^2), blokując dalsze przetwarzanie. Poprawka w wersji 4.2.0 ogranicza dekodowanie do uint32.

IBM Concert w wersjach od 1.0.0 do 3.0.0 pozwala zdalnemu atakującemu na przejście po katalogach (path traversal) poprzez wysłanie spreparowanego żądania URL zawierającego sekwencje "..". Umożliwia to odczyt dowolnych plików w systemie.

IBM Concert w wersjach od 1.0.0 do 3.0.0 jest podatny na niewłaściwą kontrolę dostępu, co pozwala nieautoryzowanym użytkownikom na modyfikację plików aplikacji.

RabbitMQ przed wersjami 4.2.7 i 4.3.1 nie nakłada jawnego limitu dopasowań podczas kompilacji wzorców LIKE do wyrażeń regularnych, co pozwala uwierzytelnionemu konsumentowi AMQP 1.0 z uprawnieniami odczytu i zapisu na kolejce strumieniowej wywołać znaczne zużycie CPU poprzez spreparowany filtr LIKE. Każda dostarczona wiadomość może powodować około 100-200 ms obciążenia CPU, co przy tysiącach wiadomości i równoległych sesjach daje amplifikację. Problem został naprawiony w wersjach 4.2.7 i 4.3.1.

RabbitMQ przed wersjami 4.3.0, 4.2.6, 4.1.11, 4.0.20 i 3.13.15 przechowuje wartość BodySize z nagłówka content-header bez walidacji względem max_message_size. Klient może zadeklarować body_size = 2^63-1 i strumieniować fragmenty, przez co kontrola rozmiaru nigdy się nie uruchamia, a proces czytający gromadzi nieograniczoną ilość pamięci. Prowadzi to do wyczerpania pamięci węzła lub alarmu pamięciowego i degradacji wszystkich wydawców w klastrze.

RabbitMQ przed wersjami 3.13.15, 4.0.20, 4.1.11, 4.2.6 i 4.3.0 wywołuje rabbit_data_coercion:atomize_keys/1 (niebezpieczny wariant używający binary_to_atom) na mapie metadanych vhosta. Administrator importujący spreparowany plik definicji może wyczerpać tablicę atomów i zawiesić węzeł w jednym żądaniu.

RabbitMQ przed wersjami 4.2.7 i 4.3.1 w ścieżce wyszukiwania parametrów runtime konwertuje segment :component z URL na atom za pomocą rabbit_data_coercion:to_atom/1, tworząc nowy atom dla każdej nieznanej wartości. Uprawniony policymaker może wysłać około miliona żądań z różnymi wartościami component, wyczerpując tablicę atomów i zawieszając węzeł.

W RabbitMQ przed wersjami 3.13.15, 4.0.20, 4.1.11, 4.2.6 i 4.3.1 konsument trace tworzy ścieżkę wyjściową bez sprawdzenia bezpieczeństwa ścieżki względnej, mimo że strona odczytu takie sprawdzenie wykonuje. Administrator może poprzez parametr name zapisać plik z rozszerzeniem .log w dowolnej lokalizacji zapisywalnej przez użytkownika rabbitmq, np. /etc/cron.d/x.log.

RabbitMQ przed wersjami 3.13.15, 4.0.20, 4.1.11, 4.2.6 i 4.3.0: shovel AMQP 0-9-1 usuwa poświadczenia przed zapisaniem URI połączenia, ale shovel AMQP 1.0 przechowuje surowy URI zawierający hasło. Zapisany URI jest widoczny przez GET /api/shovels oraz rabbitmqctl shovel_status.

RabbitMQ przed wersjami 3.13.15, 4.0.20, 4.1.11, 4.2.6 i 4.3.0: przy tworzeniu bindingu na wymianie x-jms-topic funkcja add_binding/3 odczytuje argument rjms_erlang_selector i przetwarza go przez erl_scan:string/1 oraz erl_parse:parse_term/1. erl_scan:string/1 internuje każdy atom, a validate_binding/2 jest no-op bez limitu długości. Uwierzytelniony użytkownik AMQP o niskich uprawnieniach może zawiesić cały węzeł brokera w mniej niż 100 wywołaniach bind.

RabbitMQ przed wersjami 3.13.15, 4.0.20, 4.1.11, 4.2.6 i 4.3.0: add_binding/3 parsuje klucz routingu jako całkowitą wagę N i oblicza pozycje pierścienia przez lists:seq(NextN0, NextN0 + N - 1). validate_binding/2 sprawdza tylko N >= 1, bez górnego limitu. Użytkownik z uprawnieniami zapisu na wymianie consistent-hash może utworzyć binding z ogromną wagą, alokując setki megabajtów na każdym węźle klastra.

W RabbitMQ przed wersjami 4.0.22, 4.1.11, 4.2.6 i 4.3.0 handler HTTP accept_content/2 wywołuje create_super_stream bez wymaganego sprawdzenia uprawnień configure na wymianie i kolejkach partycji, które jest obecne w ścieżce protokołu strumieniowego. Użytkownik z tagiem management i dostępem do vhosta, ale bez uprawnień configure, może tworzyć super-strumienie przez API HTTP.

RabbitMQ przed wersjami 4.1.11, 4.2.6 i 4.3.0: validate_partitions sprawdza tylko, że żądana liczba partycji wynosi co najmniej 1, bez górnego limitu. Duża wartość, np. lists:seq(0, 500000000), alokuje około 8 GB pamięci.

W interfejsie zarządzania RabbitMQ (wersje przed 3.13.15, 4.0.20, 4.1.11 i 4.2.6) dane z certyfikatu klienta TLS, takie jak Subject i Issuer DN, są wyświetlane bez escapowania HTML. Podatność występuje, gdy listener TLS ma włączoną opcję verify_peer, a atakujący posiada certyfikat klienta podpisany przez zaufany urząd CA z dowolnym Subject CN. Administrator przeglądający szczegóły takiego połączenia w panelu może stać się ofiarą ataku XSS, co prowadzi do przejęcia jego sesji.