Katalog podatności CVE

W Traefik od wersji 3.6.11 do 3.7.13 funkcja checkPassword w BasicAuth buduje klucz singleflight na podstawie przesłanego hasła i zapisanego sekretu. Równoległe żądania dla nieistniejących nazw użytkowników łączą się w jeden klucz, podczas gdy skonfigurowane nazwy użytkowników wykonują osobne hashowanie haseł, co tworzy nieuwierzytelnioną różnicę czasową ujawniającą istnienie nazwy użytkownika. Kolejne sprawdzenia pozostają wyrównane kosztowo, Traefik v2 i uwierzytelnianie Digest nie są dotknięte, a problem nie ujawnia poświadczeń ani nie omija uwierzytelniania.

W dynamicznym loaderze (ld.so) biblioteki GNU C Library (glibc) w wersjach od 2.14 do 2.44 występuje warunek wyścigu typu time-of-check to time-of-use (TOCTOU), który pozwala lokalnemu atakującemu na podniesienie uprawnień. Podczas rozwijania $ORIGIN w DT_RPATH dla programów setuid/setgid (AT_SECURE) glibc waliduje znormalizowaną leksykalnie ścieżkę wyszukiwania względem zaufanych katalogów, ale następnie otwiera surową, nieznormalizowaną ścieżkę. W systemach, w których wyłączono sysctl fs.protected_hardlinks, lokalny atakujący, który utworzy twarde dowiązanie do takiego programu w kontrolowanym przez siebie katalogu i wygra wyścig, zastępując pośredni komponent ścieżki dowiązaniem symbolicznym, może skierować loader poza zaufany katalog, powodując załadowanie kontrolowanej przez atakującego biblioteki współdzielonej i wykonanie dowolnego kodu z podniesionymi uprawnieniami programu.

W radare2 przed wersją 6.2.0 parser zrzutów awaryjnych Windows 64-bit (dmp64) był podatny, ponieważ używał kontrolowanej przez dane wejściowe wartości PageCount (liczba stron w obszarze pamięci fizycznej) bezpośrednio jako granicy pętli alokacji na stronę. Podatność jest wyzwalana przez otwarcie małego, spreparowanego pełnego zrzutu pamięci Windows. Parser wielokrotnie alokował i dołączał deskryptory stron bez walidacji liczby względem rozmiaru zrzutu, co może powodować odmowę usługi poprzez nadmierne zużycie pamięci i czasu przetwarzania.

W radare2 przed wersją 6.2.0 parser łańcuchów poprawek relokacji NE był podatny, ponieważ podążał za łańcuchami poprawek bez aktywnego limitu iteracji lub wykrywania cykli. Podatność jest wyzwalana przez otwarcie spreparowanego pliku wykonywalnego NE, którego wpis relokacji w granicach wskazuje z powrotem na siebie zamiast osiągnąć 0xffff. Parser wielokrotnie przetwarzał tę samą relokację i alokował nowy obiekt relokacji w każdej iteracji, co może powodować odmowę usługi poprzez ciągłe zużycie CPU i pamięci.

W radare2 przed wersją 6.2.0 loader formatu Apple Preferred Executable Format (PEF) był podatny, ponieważ akceptował wartości relocSecCount nieograniczone przez liczbę sekcji lub kompletnych rekordów relokacji w danych wejściowych. Podatność jest wyzwalana przez normalne automatyczne wykrywanie formatu binarnego małego spreparowanego pliku Apple PEF. Loader mógł wykonać do 268 435 456 iteracji sekcji relokacji i powtarzanych operacji na buforze po przesunięciu offsetów rekordów poza koniec pliku, co może powodować odmowę usługi poprzez nadmierne zużycie CPU i przedłużone przetwarzanie.

W radare2 przed wersją 6.2.0 obsługa ELF PN_XNUM była podatna, ponieważ parser ELF alokował tablicę nagłówków programu przy użyciu rozwiązanej wartości PN_XNUM, ale kilka konsumentów nadal iterowało z oryginalną wartością e_phnum równą 65535. Podatność jest wyzwalana przez przetwarzanie spreparowanego pliku ELF z e_phnum = 0xffff i znacznie mniejszą rozwiązaną liczbą w shdr[0].sh_info. Konsumenci iterowali poza zaalokowaną tablicą nagłówków programu, co może powodować odczyt poza granicami sterty i zakończenie procesu, prowadząc do odmowy usługi; ujawnienie pamięci i wykonanie kodu nie zostały wykazane.

W radare2 przed wersją 6.2.0 parser marshal bajtkodu CPython .pyc był podatny, ponieważ czytniki marshal CPython akceptowały 32-bitową długość łańcucha bez odrzucania wartości przepełniających alokację rozmiar-plus-jeden. Podatność jest wyzwalana przez otwarcie lub inspekcję spreparowanego pliku .pyc za pomocą r2 lub rabin2. Długość 0xffffffff powodowała zawinięcie alokacji do zera, zanim wspólny czytnik bajtów zapisał kontrolowane przez atakującego dane i bajty wypełniające poza alokacją sterty, co może powodować uszkodzenie pamięci sterty i odmowę usługi; wykonanie dowolnego kodu jest możliwe, ale nie zostało wykazane.

W Cloudreve przed wersją 4.18.0 zabezpieczenie przed server-side request forgery (SSRF) ValidateExternalURL w pkg/request/ssrf.go przekazuje rozwiązane adresy do checkIP bez dekodowania form przejściowych IPv4-w-IPv6 NAT64, IPv4-compatible i 6to4. Uwierzytelniony użytkownik z dostępem do zdalnego pobierania może podać SrcUri poprzez RemoteDownloadTask.createDownloadTask, aby wrapper osadzający adres IPv4 loopback, prywatny, link-local lub cloud metadata został sklasyfikowany jako publiczny i pobrany, ujawniając odpowiedzi wewnętrznych usług i poświadczenia instancji chmury. Adresy IPv4-mapped IPv6 pozostają zablokowane, ponieważ Go konwertuje tę formę za pomocą net.IP.To4.

webpy web.py 0.76 jest podatny na Session Fixation. Komponent Session._load() odczytuje session_id bezpośrednio z ciasteczka żądania i ładuje tę sesję z magazynu, a _save() zapisuje z powrotem pod tym samym session_id; nie ma rotacji po uwierzytelnieniu, więc ustalony session_id zachowuje stan uwierzytelnienia.

webpy web.py 0.76 jest podatny na Cross Site Scripting (XSS) poprzez render_jinja.__init__().

Novu przed wersją 3.18.0 przypadki użycia mutacji integracji, w tym remove-integration, update-integration, auto-configure-integration i set-integration-as-primary, wyszukują integrację po integrationId i organizationId bez konsekwentnego wymuszania environmentId. Wywołujący z dostępem do jednego środowiska w organizacji może wskazać identyfikator integracji z innego środowiska i usunąć integrację, zmodyfikować jej poświadczenia, zmienić głównego dostawcę lub wyzwolić automatyczną konfigurację. Biuletyn bezpieczeństwa definiuje zarówno klucze API środowiska, jak i sesje pulpitu jako dotknięte. Zmiana w 3.18.0 wymusza granicę środowiska tylko dla uwierzytelniania kluczem API o zasięgu środowiska, podczas gdy testy celowo zachowują zachowanie sesji pulpitu między środowiskami, więc nie usuwa całkowicie zakresu zdefiniowanego w biuletynie. Wersja 3.18.0 jest częściową próbą naprawy, a zachowanie sesji pulpitu wymaga rozstrzygnięcia przez kuratora.

Novu przed wersją 3.18.0 nie waliduje adresów URL webhooków czatu pochodzących z różnych źródeł, przekazując je do surowych żądań HTTP. Uwierzytelniony użytkownik może wysyłać żądania POST do wewnętrznych usług sieciowych, co może prowadzić do nieautoryzowanych akcji.

Novu przed wersją 3.18.0 akceptuje adresy URL przekierowań z powiadomień bez walidacji schematu, umożliwiając użycie schematu javascript: w atrybucie redirect. Gdy odbiorca kliknie powiadomienie, kod JavaScript może wykonać się w kontekście aplikacji, potencjalnie ujawniając dane sesji.

W metodzie login() kontrolera UsersController w MISP zapytanie do bazy dla weryfikacji TOTP nie obejmowało kolumny User.disabled, przez co flaga wyłączonego konta nie była sprawdzana w tej gałęzi. Choć późniejsza walidacja identify() nadal odrzuca wyłączone konta, konto z TOTP może przejść do etapu weryfikacji kodu.

W MISP metoda __uploadLogo w OrganisationsController przetwarza podaną przez użytkownika ścieżkę tmp_name przed weryfikacją, czy to prawdziwy upload pliku. Uwierzytelniony administrator witryny może podać dowolną ścieżkę pliku, co pozwala na sprawdzenie istnienia plików i określenie typu obrazu na serwerze.

W MISP metoda __statisticsOrgs używa nazwy organizacji bezpośrednio jako części ścieżki pliku przy sprawdzaniu istnienia logo. Choć docelowy katalog nie istnieje, wzorzec stanowi podatność na path traversal, która mogłaby pozwolić na sprawdzenie istnienia dowolnych plików, gdyby katalog istniał.

Metoda findOrgImage w MISP buduje ścieżkę pliku z identyfikatora organizacji bez walidacji, co pozwala na path traversal. Uwierzytelniony użytkownik z możliwością tworzenia lub importowania zdarzeń może ustawić nazwę organizacji zawierającą sekwencje traversal, umożliwiając sprawdzenie istnienia dowolnych plików oraz odczyt plików z rozszerzeniami .png lub .svg.

MISP zawiera wadę autoryzacji w metodzie captureOrg modelu Organisation. Gdy parametr $force jest ustawiony na true, metoda bezwarunkowo nadpisuje pola metadanych organizacji bez weryfikacji uprawnień wywołującego użytkownika. Użytkownik z rolą edytora grupy udostępniania (SG) może wywołać tę ścieżkę kodu, co pozwala mu modyfikować metadane organizacji, które powinny być ograniczone do administratorów witryny lub użytkowników z uprawnieniami synchronizacji.

W MISP metoda EventReport::uploadPicture przetwarza dostarczone przez wywołującego pole tmp_name, wywołując na nim file_exists(), mime_content_type() i exif_imagetype() przed weryfikacją, czy wartość jest prawdziwym uploadem PHP przez is_uploaded_file(). Uwierzytelniony użytkownik z uprawnieniem perm_add może podać dowolną ścieżkę systemu plików jako tmp_name, a aplikacja bada tę ścieżkę i zwraca różne komunikaty błędów w zależności od istnienia pliku, typu MIME lub formatu obrazu. Obserwując różne odpowiedzi, atakujący może enumerować istnienie plików na serwerze MISP i określić ich typ.

MISP zawiera wadę kontroli dostępu w funkcjonalności EventReports. Akcja replaceSuggestionInReport, która umożliwia modyfikację treści sugestii w raporcie zdarzenia, została błędnie przypisana do dzikiej karty ('*') w ACLComponent, co czyni ją dostępną dla każdego uwierzytelnionego użytkownika niezależnie od przypisanych uprawnień. Wszystkie analogiczne akcje modyfikacji raportów wymagały uprawnienia perm_add, podczas gdy akcje tylko do odczytu, takie jak downloadAsPDF, używały dzikiej karty.