Katalog podatności CVE

MOVO do wersji 0.2.3 zawiera podatność obejścia autoryzacji w punktach końcowych dokumentów chat-api, która pozwala uwierzytelnionym użytkownikom na dostęp do obiektów innych użytkowników poprzez podanie dowolnych ścieżek obiektów. Atakujący znający ścieżkę obiektu celu może wysłać ją do /api/documents/fetch lub /api/documents/save-blueprint, aby odczytać prywatne dokumenty i nadpisać schematy prezentacji.

MariaDB Server w wersjach od 10.6.1 do 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 i 13.0.2 w pakietach RPM tworzył konto usługi mysql z katalogiem danych bazy jako katalogiem domowym. Użytkownik bazy z uprawnieniem FILE mógł zapisać pliki startowe, takie jak .bash_profile, do $HOME, które mogły zostać wykonane, gdy administrator otworzył powłokę logowania dla konta mysql. Pakiety Debian nie są podatne, ponieważ używają /nonexistent jako katalogu domowego.

W Nginx UI od wersji 2.0.0 do 2.5.0 router api/cluster udostępnia operacje modyfikacji węzłów i przestrzeni nazw oraz globalne przeładowanie/restart Nginx z wymogiem AuthRequired, ale bez RequireSecureSession. Uwierzytelniony użytkownik z włączonym OTP, posiadający skradziony lub trwały token JWT, może wykonywać operacje CRUD na węzłach, odczytywać lub podmieniać poświadczenia węzłów, zmieniać przestrzenie nazw oraz wywoływać przeładowanie/restart Nginx bez ponownego uwierzytelnienia drugim składnikiem.

W Nginx UI od wersji 2.0.0 do 2.5.0 mechanizm samodzielnej aktualizacji weryfikuje pobrany plik binarny wyłącznie za pomocą skrótu pochodzącego z tego samego serwera aktualizacji. Skompromitowane lustro lub atakujący w sieci mogą dostarczyć złośliwy plik wykonywalny wraz z pasującym skrótem, a aplikacja zainstaluje i uruchomi ten kod w kontekście procesu Nginx UI przy następnej aktualizacji.

W Nginx UI od wersji 2.0.0 do 2.5.0 zwykli uwierzytelnieni użytkownicy mogą uzyskać dostęp do /api/nodes i /api/nodes/:id, których odpowiedzi zawierają pole tokenu węzła. Ten sam token jest akceptowany jako X-Node-Secret przez AuthRequired i mapuje żądanie na initUser, co pozwala użytkownikowi podszyć się pod zaufany węzeł wobec osiągalnego członka klastra.

W Nginx UI od wersji 2.0.0 do 2.5.0 plik internal/backup/restore.go rozpakowuje wewnętrzne archiwa przed zastosowaniem flag restore_nginx i restore_nginx_ui oraz zezwala na dowiązania symboliczne wskazujące na aktywną ścieżkę konfiguracji Nginx. Uwierzytelniony użytkownik mogący tworzyć i przywracać kopie zapasowe może przygotować kopię, która umieszcza dowiązanie symboliczne w drzewie tymczasowym, a następnie zapisuje przez nie zwykły plik, nawet gdy obie flagi przywracania są wyłączone.

W Nginx UI od wersji 2.0.0 do 2.5.0 mechanizm AuthRequired akceptuje token cookie zarządzany przez przeglądarkę jako poświadczenie API, po tym jak front end zapisze JWT w tym cookie. Ponieważ punkty końcowe zarządzania nie wymagają powszechnie tokenu CSRF ani nie wykonują walidacji Origin lub Referer, zdalny atakujący może nakłonić przeglądarkę zalogowanego administratora do wysłania uwierzytelnionych żądań zmieniających stan z innej witryny, w tym POST /api/configs.

W Nginx UI od wersji 2.0.0 do 2.5.0 punkt końcowy POST /api/login sprawdza EnabledOTP, ale nie wymaga asercji WebAuthn, gdy EnabledPasskey jest prawdziwe i nie skonfigurowano sekretu TOTP. Konto korzystające wyłącznie z passkey otrzymuje sesję po weryfikacji hasła, mimo że Enabled2FA wskazuje na posiadanie drugiego czynnika.

W Nginx UI od wersji 2.0.0 do 2.5.0 aplikacja akceptuje główne poświadczenie Node.Secret poprzez parametr zapytania node_secret w ścieżkach uwierzytelniania HTTP i WebSocket, zamiast wymagać nagłówka X-Node-Secret. Poświadczenie może pojawić się w logach dostępu, logach proxy, historii przeglądarki, nagłówkach Referer, adresach URL konfiguracji i danych środowiskowych wdrożenia.

AWS Tools for PowerShell przed wersją 5.0.306 może umożliwić lokalnym użytkownikom odzyskanie hasła IAM użytkownika w postaci jawnej do konsoli AWS Management Console z danych wyjściowych poleceń i artefaktów dziennika. Wrażliwe informacje są wstawiane do plików dziennika.

SmarterMail przed buildem 9777 zawiera podatność na eskalację uprawnień, w której tokeny dostępu i odświeżania JWT zawierają roszczenie roli osadzone w momencie wydania, które nie jest ponownie weryfikowane względem aktualnej roli konta przy użyciu przez POST /api/v1/auth/refresh-token. Atakujący, którzy przechwycą token odświeżania wydany przed degradacją administratora lub zdegradowany użytkownik, którego sesja nie była aktywnie odpytywana w momencie degradacji, mogą odtworzyć nieaktualny token, aby uzyskać nowy token dostępu zachowujący wyższą rolę uprawnień.

SmarterMail przed buildem 9777 zawiera podatność Stored XSS typu mutation, która pozwala zdalnym atakującym wstrzyknąć wykonywalny skrypt, umieszczając ładunki wewnątrz elementu <style> zagnieżdżonego w obcej treści MathML (<math><mtext><mglyph>), który niestandardowy sanitizer HTML traktuje jako nieaktywny tekst CDATA, ale przeglądarki ponownie parsują jako aktywny znacznik. Atakujący mogą dostarczyć spreparowaną wiadomość kalendarza (iCal) zawierającą ładunek <img src=x onerror=...>, który wykonuje się automatycznie w sesji webmail odbiorcy pod /interface/message-iframe po otwarciu wiadomości, umożliwiając wykonanie skryptu i eksfiltrację danych bez ograniczeń zezwalającej Content-Security-Policy interfejsu.

SmarterMail przed buildem 9777 zawiera podatność na zdalne wykonanie kodu, która pozwala atakującemu posiadającemu token dostępu o zakresie SysAdmin obejść kontrolę zawartości katalogu skryptów Volume Mount poprzez utworzenie nowej domeny pocztowej z dowolną ścieżką główną FileStore wewnątrz zaufanego katalogu Scripts za pomocą punktu końcowego domain-put. Atakujący mogą ujawnić ścieżkę Scripts przez punkt końcowy AddOrUpdateMount, wyczyścić czarną listę rozszerzeń przesyłania przez punkt końcowy global-mail, a następnie przesłać złośliwy skrypt przez zwykłe API przesyłania plików poczty, tak aby zapisanie CommandMount uruchomiło RunScript przed walidacją, co skutkuje odwrotną powłoką wykonującą się jako konto usługi SmarterMail z uprawnieniami na poziomie SYSTEM.

Podatność polegająca na alokacji zasobów bez ograniczeń lub dławienia (CWE-770) podczas deserializacji obiektów Java w Google Guava w wersjach od 4.0 do 33.7.1 pozwala atakującemu wywołać odmowę usługi poprzez OutOfMemoryError. Podczas deserializacji instancji CompactHashMap, CompactHashSet lub MapMakerInternalMap Guava przydziela tablicę na podstawie parametru rozmiaru określonego przez wywołującego bez dławienia, co umożliwia wyczerpanie pamięci z spreparowanych strumieni serializacji.

Podatność use-after-free w VFS w Google gVisor przed wersją 20260831.0 na wszystkich platformach pozwala lokalnemu atakującemu z uprawnieniami kontenera na wykonanie kodu w procesie sentry na hoście poprzez podwójne zwolnienie MemoryFile z nakładanego systemu plików w sandboxie. Proces sentry pozostaje ograniczony przez mechanizmy seccomp i przestrzenie nazw Linuksa na poziomie hosta.

W routerze Netcore B11 Enterprise-level full Gigabit 9-port shop wireless router w wersji v1.3.241114.024540 i wcześniejszych występuje podatność pozwalająca zdalnemu atakującemu na wykonanie dowolnego kodu poprzez plik www\cgi-bin\upgrade.

Podatność w routerze bezprzewodowym Netcore B11 Enterprise-level full Gigabit 9-port shop umożliwia zdalnemu atakującemu uzyskanie dostępu do wrażliwych informacji. Problem dotyczy wersji v1.3.241114.024540 i wcześniejszych.

Nazwy użytkowników i hasła, w tym domyślne dane fabryczne, są przechowywane w pliku konfiguracyjnym w postaci jawnej. Z uprawnieniami administratora plik konfiguracyjny można wyświetlić przez CLI lub wyeksportować z urządzenia poprzez transfer TFTP z interfejsu webowego. Transfer TFTP można zainicjować przez SNMP, które nie wymaga uwierzytelniania.

Przejście do określonego adresu URL na serwerze webowym przełącznika powoduje jego ponowne uruchomienie. Można to zautomatyzować za pomocą narzędzia takiego jak curl, tworząc warunki DoS, w których przełącznik stale się restartuje.

SNMP można wykorzystać do wykonywania czynności administracyjnych, takich jak pobieranie plików konfiguracyjnych, modyfikowanie kont użytkowników lub ustawień urządzenia oraz inicjowanie aktualizacji lub degradacji firmware'u bądź bootloadera — wszystko bez jakiegokolwiek uwierzytelniania.