Katalog podatności CVE

Nginx UI to interfejs webowy dla serwera Nginx. Od wersji 2.3.8 do 2.5.0 uwierzytelniony administrator z aktywną sesją może przesłać kontrolowany przez atakującego materiał klucza kopii zapasowej i pasujący manifest do POST /api/restore. Proces przywracania ufa dostarczonemu kluczowi, odszyfrowuje kontrolowaną treść i zastępuje plik app.ini, w tym chronione ustawienia poleceń nginx, takie jak TestConfigCmd. Wywołanie POST /api/nginx/test wykonuje przywrócone polecenie w kontekście środowiska Nginx UI.

Nginx UI w wersjach od 2.5.0 do 2.6.0 wykonuje tymczasowe zapisywanie treści żądania kontrolowanej przez atakującego i synchronizuje ją na dysk przed weryfikacją skrótu i podpisu kryptograficznego. Nieuwierzytelniony zdalny klient może wyczerpać miejsce na dysku, operacje wejścia/wyjścia oraz zasoby przetwarzania żądań, zanim żądanie zostanie odrzucone. Problem został naprawiony w wersji 2.6.0.

Nginx UI to internetowy interfejs użytkownika dla serwera Nginx. Od wersji 2.2.0 do 2.6.0, wbudowany odwrotny proxy nie zachowuje tożsamości zewnętrznego klienta używanej przez Gin, ponieważ backend nie ma konfiguracji zaufanego proxy. Żądania zarządzania mogą być przypisywane do loopback i przechodzić wyjątek listy dozwolonych IP dla loopback, chociaż nadal wymagane są prawidłowe poświadczenia. Nieudane logowania z różnych zewnętrznych klientów są również przypisywane do tego samego adresu loopback, co pozwala nieuwierzytelnionemu atakującemu na wywołanie wspólnego tymczasowego banu logowania dla uwierzytelniania hasłem lub OTP bez unieważniania istniejących sesji. Problem został naprawiony w wersji 2.6.0.

Opublikowany obraz Docker dla openPDC zawiera stałe poświadczenia administracyjne, które nie są wymuszane do zmiany przy pierwszym użyciu. Atakujący z dostępem sieciowym do interfejsu zarządzania może uwierzytelnić się tymi poświadczeniami i uzyskać pełną kontrolę administracyjną nad aplikacją.

W demonie zarządzania IP (ipmgmtd) w systemie illumos brakuje sprawdzenia autoryzacji, co pozwala lokalnemu użytkownikowi na zmianę trwałej konfiguracji IPMP. Polecenie IPMGMT_CMD_IPMP_UPDATE nie wymaga autoryzacji solaris.network.interface.config, a jego obsługa zapisuje do trwałej konfiguracji ipadm, gdy ustawiona jest flaga IPMGMT_PERSIST. Nieuprzywilejowany użytkownik może dodawać lub usuwać interfejsy z istniejących grup IPMP w zapisanej konfiguracji, co może zakłócić łączność sieciową po ponownym zastosowaniu konfiguracji.

W demonie statystyk stref (zonestatd) w systemie illumos brakuje sprawdzenia autoryzacji, co pozwala lokalnemu użytkownikowi w dowolnej strefie na zakłócanie działania zonestat w innych strefach i określanie, które strefy są uruchomione. Procedura zsd_server() obsługuje polecenie ZSD_CMD_NEW_ZONE bez sprawdzania poświadczeń wywołującego, co pozwala nieuprzywilejowanemu użytkownikowi na wysłanie tego polecenia z dowolnym identyfikatorem strefy, powodując ponowne utworzenie pliku drzwi w tej strefie i potencjalne błędy w nowych żądaniach zonestat. Czas obsługi polecenia ujawnia również, czy dana strefa jest uruchomiona.

Przepełnienie bufora na stosie w demonie punktu ponownego analizowania (reparsed) w illumos pozwala lokalnemu użytkownikowi na awarię demona. Funkcja get_fs_locations() w usr/src/cmd/fs.d/nfs/rp_basic/libnfs_basic.c, część pluginu nfs-basic, kopiuje składniki hosta i ścieżki ciągu reparse do stałego 1024-bajtowego bufora na stosie bez sprawdzania ich długości. Drzwi reparsed w /var/run/reparsed_door są czytelne dla wszystkich użytkowników, a serwer drzwi nie sprawdza poświadczeń wywołującego, więc nieuprzywilejowany lokalny użytkownik może wysłać żądanie nfs-basic z zbyt długim składnikiem hosta lub ścieżki, aby przepełnić bufor. Na systemach z włączoną ochroną stosu, co jest domyślne, powoduje to przerwanie działania reparsed; powtarzane żądania umieszczają usługę svc:/system/filesystem/reparse w stanie konserwacji. Usługa jest domyślnie wyłączona. Błąd istnieje od 2009 roku (commit 2f172c55 w illumos-gate) i dotyczy każdej dystrybucji illumos przed commit 6a2df4aa.

Odwołanie do wskaźnika NULL w demonie Network Auto-Magic (nwamd) w illumos pozwala lokalnemu użytkownikowi na awarię demona. Funkcja nwamd_door_switch() w usr/src/cmd/cmd-inet/lib/nwamd/door_if.c zapisuje do struktury żądania wywołującego przed sprawdzeniem, czy żądanie zostało dostarczone, oraz przed sprawdzeniem poświadczeń wywołującego. Ponieważ drzwi nwamd w /etc/svc/volatile/nwam/nwam_door są dostępne dla wszystkich lokalnych użytkowników, nieuprzywilejowany użytkownik może wywołać door_call() bez danych argumentów, aby spowodować awarię nwamd; powtarzane wywołania umieszczają usługę svc:/network/physical:nwam w stanie konserwacji, zatrzymując automatyczną konfigurację sieci. nwamd działa tylko wtedy, gdy svc:/network/physical:nwam jest włączone, co nie jest domyślne. Błąd istnieje od 2010 roku (commit 6ba597c5 w illumos-gate) i dotyczy każdej dystrybucji illumos przed commit 0f1064d9.

Podwójne zwolnienie pamięci w demonie zarządzania IP (ipmgmtd) w OmniOS i SmartOS pozwala lokalnemu użytkownikowi na awarię demona. Podczas autoryzacji żądania drzwi, które modyfikuje konfigurację interfejsu, ipmgmt_handler() w usr/src/cmd/cmd-inet/lib/ipmgmtd/ipmgmt_door.c zwalnia poświadczenia wywołującego za pomocą ucred_free() natychmiast po odczytaniu identyfikatora użytkownika, a następnie zwalnia je po raz drugi na ścieżce błędu, jeśli kontrola autoryzacji nie powiedzie się. Nieuprzywilejowany lokalny użytkownik, który nie posiada autoryzacji solaris.network.interface.config, może wysłać takie żądanie, na przykład IPMGMT_CMD_RESETIF, do drzwi ipmgmtd, powodując przerwanie działania ipmgmtd; powtarzane żądania umieszczają usługę svc:/network/ip-interface-management w stanie konserwacji, uniemożliwiając konfigurację interfejsów IP. Wczesne zwolnienie zostało wprowadzone w 2014 roku w celu wsparcia stref lx-branded (commit 4c170900 w OmniOS) i nie występuje w upstream illumos-gate. Dotyczy OmniOS r151020 i nowszych oraz SmartOS, przed wprowadzeniem poprawki.

Brak zwalniania zasobów w demonie pamięci podręcznej usług nazw (nscd) w illumos pozwala lokalnemu użytkownikowi na wyczerpanie pamięci jądra. Procedura serwera drzwi nscd, switcher() w usr/src/cmd/nscd/nscd_frontend.c, nie zamyka deskryptorów plików, które są przekazywane z wywołaniem drzwi, ale nie są używane przez żądanie, a główne drzwi nscd w /var/run/name_service_door akceptują przekazane deskryptory od każdego użytkownika w swojej strefie. Ponieważ nscd działa również z nieograniczonym limitem deskryptorów plików, nieuprzywilejowany lokalny użytkownik, w tym w strefie nieglobalnej, może wielokrotnie przekazywać deskryptor do nscd w swojej strefie w pętli door_call(), powodując nieograniczony wzrost tabeli deskryptorów plików nscd w pamięci jądra. Powoduje to odmowę usługi nscd i może sprawić, że procesy we wszystkich strefach na hoście będą nieodpowiedzialne. Błąd istnieje od 2006 roku (commit cb5caa98 w illumos-gate) i dotyczy każdej dystrybucji illumos przed commit af810a72.

KodExplorer przed wersją 4.55 zawiera podatność path traversal w funkcji unzip_pre_name() w pliku app/function/helper.function.php, gdzie pojedyncze nierekurencyjne oczyszczanie str_replace() można obejść za pomocą spreparowanych nazw plików, takich jak "....//". W połączeniu z brakiem opcji PCLZIP_OPT_EXTRACT_DIR_RESTRICTION w wywołaniu extract() biblioteki PclZip w KodArchive.class.php uwierzytelniony atakujący może przesłać złośliwe archiwum ZIP i nadpisać dowolne pliki, co prowadzi do przejęcia konta administratora i zdalnego wykonania kodu.

Osiągalna asercja w emulatorze instrukcji bhyve w illumos pozwala gościowi na wywołanie paniki hosta. Podczas emulacji instrukcji MOVS lub STOS z prefiksem REP, która uzyskuje dostęp do MMIO gościa, vie_emulate_movs() i vie_emulate_stos() w usr/src/uts/intel/io/vmm/vmm_instruction_emul.c nie czyszczą flagi statusu VIES_REPEAT w ostatniej iteracji. Dla regionów MMIO emulowanych w jądrze (lokalny APIC, I/O APIC i HPET), nieaktualna flaga powoduje niepowodzenie asercji VERIFY w vie_advance_pc(), a host panikuje. Uprzywilejowany użytkownik w maszynie wirtualnej może wydać instrukcję REP MOVS lub REP STOS przeciwko stronie lokalnego APIC, aby spowodować odmowę usługi hosta i każdego innego gościa na nim działającego. Błąd istnieje od 2020 roku (commit e0c0d44e w illumos-gate) i dotyczy każdej dystrybucji illumos przed commit 696ecf8d.

Motyw WordPress The Voux (thevoux-wp) od Fuelthemes zawiera podatność nieprawidłowej kontroli nazwy pliku dla instrukcji include/require w PHP, umożliwiającą lokalne włączenie pliku (PHP Local File Inclusion). Podatność występuje w wersjach do 6.9.5 włącznie.

Wtyczka WordPress Pond (pond) od SpabRice zawiera podatność nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych, umożliwiającą odbity XSS (Reflected XSS). Podatność występuje w wersjach do 2.6.1 włącznie.

Motyw WordPress ColorFolio (colorit) od BuddhaThemes zawiera podatność deserializacji niezaufanych danych, umożliwiającą wstrzyknięcie obiektów (Object Injection). Podatność występuje w wersjach do 1.3 włącznie.

Motyw WordPress Neo | Barber Shop (neocut) od BuddhaThemes zawiera podatność deserializacji niezaufanych danych, umożliwiającą wstrzyknięcie obiektów (Object Injection). Podatność występuje w wersjach do 3.5 włącznie.

Motyw WordPress Education Center (education) od ThemeREX zawiera podatność nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych, umożliwiającą odbity XSS (Reflected XSS). Podatność występuje w wersjach do 3.6.12 włącznie.

Podatność na niewłaściwą neutralizację danych wejściowych podczas generowania strony internetowej (cross-site scripting) w oprogramowaniu Talassoft Industrial Management Software firmy TMT Machinery Industry and Trade Co. Ltd. umożliwia przechowywany XSS. Problem dotyczy wersji przed V16.0.1.

Publikator danych oparty na STTP w openPDC akceptuje połączenia sieciowe bez uwierzytelniania w swojej domyślnej konfiguracji. Nieuwierzytelniony atakujący z sieci może połączyć się z tym interfejsem i wymieniać z nim dane.

Cloudron 9.1.7 i 9.2 zawiera podatność na trwały cross-site scripting (XSS) w funkcji Branding Footer. Zautentykowany administrator może zapisać spreparowany HTML z obsługą zdarzeń JavaScript w ustawieniu Footer. Zapisana wartość jest renderowana bez wystarczającej sanityzacji na publicznej stronie logowania / interakcji OpenID oraz w dzienniku zdarzeń systemowych, co powoduje wykonanie JavaScriptu kontrolowanego przez atakującego w kontekście pochodzenia Cloudron po wyświetleniu zaatakowanej strony.