Katalog podatności CVE

W RabbitMQ przed wersjami 3.13.15, 4.0.20, 4.1.11, 4.2.6 i 4.3.1 trasa /federation-links/.../restart używa is_authorized_monitor akceptującego tag monitoring, a DELETE wywołuje restart łącza federacji bez sprawdzenia podniesionych uprawnień. Użytkownik z tagiem monitoring może zrestartować dowolne łącze federacji.

W RabbitMQ funkcja match_value/3 przekazuje dostarczone przez użytkownika wyrażenie regularne ?name= do re:run bez opcji match_limit i wykonuje je raz na każdy zasób w wyniku. Przy dużym zbiorze zasobów pojedyncze żądanie może zużyć wiele minut CPU, a równoległe żądania wysycają schedulery. Ścieżka jest osiągalna przez normalne użycie API z opcją use_regex=true.

W RabbitMQ funkcja get_chunk_selector/1 wywołuje binary_to_atom na surowej właściwości <<"chunk_selector">> dostarczonej przez klienta w ramkach subscribe i resolve_offset_spec, bez białej listy i bez istniejącej walidacji. Uwierzytelniony klient strumienia z prawem odczytu dowolnego strumienia może zawiesić węzeł brokera.

W RabbitMQ przed wersjami 4.1.13, 4.2.7 i 4.3.0 is_authorized/2 używa is_authorized_monitor dla wszystkich metod, a DELETE resetuje liczniki prób uwierzytelnienia. Użytkownik z tagiem monitoring może wyzerować te liczniki przez DELETE /api/auth/attempts/:node, usuwając dowody aktywności brute-force.

W RabbitMQ makro ?LOG_DEBUG formatuje całą mapę stanu Shovel, w tym pole 'uris' zawierające odszyfrowane URI z poświadczeniami. Przy włączonym logowaniu DEBUG zakończenie autodelete shovela zapisuje pełną mapę stanu, w tym amqp://user:password@host/, do pliku logu brokera.

W RabbitMQ handler otwarcia strumienia wywołuje tylko check_vhost_access, pomijając sprawdzenia limitów połączeń na węzeł/vhost/użytkownika, które rabbit_reader wykonuje dla AMQP. Uwierzytelniony najemca może całkowicie obejść skonfigurowane limity połączeń, łącząc się przez port 5552 zamiast 5672.

W projekcie sfturing hosp_order wykryto podatność w nieznanej funkcji pliku ssm_pro/src/main/java/cn/sfturing/web/CommonUserController.java. Manipulacja prowadzi do podatności cross-site request forgery, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

W podsystemie system-job Ansible Automation Platform automation-controller występuje wada wstrzykiwania argumentów. Endpoint uruchamiania szablonu system-job przechowuje zmienną "days" bez walidacji liczbowej, a dyspozytor spłaszcza listę argumentów polecenia zarządzającego w jeden ciąg ze spacjami, przez co spacje stają się dodatkowymi argumentami. Uwierzytelniony użytkownik z uprawnieniami superużytkownika może wstrzyknąć dowolne argumenty, w tym opcję ścieżki Pythona, do procesu awx-manage.

W backendzie powiadomień e-mail Ansible Automation Platform automation-controller występuje wada server-side request forgery. Backend przekazuje dostarczony przez użytkownika host i port SMTP z szablonu powiadomienia bezpośrednio do klienta SMTP bez walidacji, że cel nie jest adresem wewnętrznym, loopback, link-local lub zarezerwowanym. Uwierzytelniony użytkownik z uprawnieniem organization notification-admin może utworzyć szablon wskazujący dowolny adres wewnętrzny i wywołać test, otwierając surowe połączenie TCP.

W Ansible Automation Platform automation-controller kolumna bazy danych WorkflowJobNode.ancestor_artifacts, przechowująca surowe połączone artefakty set_stats propagowane między węzłami workflow, nie jest objęta prevent_search() i jest akceptowana do dowolnych wyszukiwań pól przez backend filtrów REST, mimo że jest pominięta w serializatorze API. Ponieważ kolumna jest zapisywana przed zastosowaniem maskowania no_log przez Ansible, użytkownik z prawem odczytu workflow może użyć liczby wyników jako wyroczni do odzyskania znak po znaku wartości oznaczonych jako no_log.

W Ansible Automation Platform automation-controller w dostarczonej konfiguracji produkcyjnej kontroler ufa nagłówkowi X-Forwarded-For dostarczonemu przez klienta jako adresowi IP klienta, bez weryfikacji, że pochodzi z zaufanego proxy, i wybiera skrajną lewą (kontrolowaną przez atakującego) wartość nagłówka. Atakujący może sfałszować źródłowy adres IP zapisywany w logach audytu i dostępu kontrolera.

W Ansible Automation Platform automation-controller nieuwierzytelniony odbiornik webhooków Bitbucket Data Center pomija weryfikację podpisu HMAC dla zdarzeń diagnostics:ping po wyszukaniu docelowego szablonu, zwracając HTTP 200 dla szablonu z skonfigurowanym webhookiem Bitbucket DC i HTTP 403 w przeciwnym razie. Nieuwierzytelniony zdalny atakujący może użyć tej różnicy odpowiedzi jako wyroczni do wyliczenia identyfikatorów szablonów zadań i szablonów zadań workflow z skonfigurowanymi webhookami Bitbucket DC, bez znajomości sekretu webhook_key.

W endpointcie install-bundle kontrolera automatyzacji (automation-controller) występuje błąd walidacji nazwy hosta. Administrator systemu może zarejestrować wariant wielkości liter istniejącej nazwy hosta węzła kontrolnego i uzyskać certyfikat X.509 podpisany przez CA mesha receptor, ważny dziesięć lat, bez dziennika wydania i listy odwołań. Ponieważ walidator znaków jest niewrażliwy na wielkość liter, a walidator unikalności jest wrażliwy, certyfikat jest akceptowany przez peery TLS jako certyfikat węzła kontrolnego.

W podsystemie powiadomień automation-controller występuje luka, w której wartość odbiorcy z NotificationTemplate.notification_configuration jest kopiowana jawnym tekstem do niezabezpieczonego pola Notification.recipients przy każdym wysłaniu. Ponieważ endpoint credential-types jest dostępny dla każdego uwierzytelnionego użytkownika, a backend filtrów API przechodzi przez relacje obiektów bez autoryzacji na każdym poziomie, użytkownik bez uprawnień może użyć filtra relacyjnego jako oracle'a typu boolean do odzyskania znak po znaku sekretnych wartości odbiorców powiadomień innych najemców, w tym kluczy usług PagerDuty oraz adresów URL z tokenami bearer dla Slack, Mattermost, RocketChat i Webhook. Luka wpływa na poufność.

W API automation-controller nieuwierzytelniony endpoint health-check /api/v2/ping/ (ApiV2PingView, AllowAny) nadmiernie serializuje dane automation-mesh chronione przez RBAC do anonimowej odpowiedzi, ujawniając pełny inwentarz instancji (nazwy hostów węzłów, typy węzłów, UUID, heartbeaty, pojemności i dokładne wersje), wszystkie nazwy i członkostwo grup instancji, UUID instalacji wdrożenia oraz aktywny węzeł kontrolny. Zdalny, nieuwierzytelniony atakujący może to wykorzystać do mapowania płaszczyzny kontrolnej i fingerprintingu wersji oprogramowania w celu ukierunkowanych ataków. Luka wpływa wyłącznie na poufność; nie ujawnia sekretów, poświadczeń ani danych najemców.

W RabbitMQ przed wersjami 4.2.7 i 4.3.1 funkcja rabbit_pid_codec:decompose_from_binary/1 przetwarza dostarczone przez klienta dane binarne zakodowane w ETF i wywołuje binary_to_atom(Node, utf8) na polu nazwy węzła. Jest to osiągalne z rabbit_volatile_queue:pid_from_name/2, które jest wywoływane dla każdej nazwy kolejki lub klucza routingu zaczynającego się od amq.rabbitmq.reply-to.. Sprawdzenie członkostwa w CandidateNodes następuje po utworzeniu atomu, a otaczający try/catch nie może odzyskać atomów (nigdy nie są usuwane przez GC). Każdy uwierzytelniony klient AMQP może zawiesić całą maszynę wirtualną Erlang (wszystkie vhosty, wszystkie połączenia) za pomocą około 1 miliona tanich żądań.

W RabbitMQ przed wersjami 3.13.15, 4.0.20, 4.1.11, 4.2.6 i 4.3.0 handler /api/queues/quorum/:vhost/:queue/status odczytuje vhost ze ścieżki bez sprawdzenia dostępu użytkownika, używając is_authorized/2 zamiast is_authorized_vhost/2. Użytkownik z tagiem management może odczytać status Raft dla kolejek kworum w niedostępnych vhostach.

W sfturing hosp_order do wersji 627f426331da8086ce8fff2017d65b1ddef384f8 występuje luka w nieznanej części pliku ssm_pro/src/main/resources/jdbc.properties, polegająca na zaszytych na stałe poświadczeniach. Atak można zainicjować zdalnie, a złożoność ataku ocenia się jako wysoką; wskazano, że wykorzystanie jest trudne. Exploit został opublikowany i może być użyty. Produkt korzysta z wydań rolling release, więc brak szczegółów wersji dla wersji podatnych i poprawionych. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział.

W loaderze obrazów TIM w GIMP występuje luka polegająca na odczycie poza granicami sterty. Gdy użytkownik otworzy spreparowany obraz TIM 4bpp, który powoduje promocję do warstwy RGBA, wtyczka file-tim przydziela zbyt mały bufor wiersza, ale przetwarza go przy użyciu większego rozmiaru wiersza RGBA. Może to skopiować sąsiednie zawartości sterty do zdekodowanego obrazu i spowodować awarię wtyczki.

W wtyczce YITH WooCommerce Request A Quote występuje luka obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika, umożliwiająca wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od nieznanej do 4.46.1.