Katalog podatności CVE

Wcześniej użytkownik pracujący w złośliwym projekcie Go, który definiuje fałszywy wpis golang.org/toolchain w go.sum i korzysta ze złośliwego GOMODPROXY, mógł obejść zamierzoną sumę kontrolną. Teraz zapewniono, że golang.org/toolchain zawsze pobiera kanoniczną sumę kontrolną z sieci.

Wcześniej użytkownik pracujący w złośliwym projekcie Go, który definiuje fałszywy golang.org/fips140 i korzysta ze złośliwego GOMODPROXY, mógł otrzymać dowolny moduł w jego miejsce. Teraz rozpakowywany jest zaufany ziphash dla dołączonego modułu golang.org/fips140 i tworzony jest jego wpis w GOMODCACHE, aby mógł być zweryfikowany przez łańcuch narzędzi.

Parsowanie formularza multipart może obejść limity pamięci i wczytać dowolnie długą linię do pamięci, gdy pozostały limit na początku części jest mniejszy niż 400 bajtów.

Gdy handler serwera HTTP wysyła odpowiedź 2xx na żądanie HTTP/1 CONNECT i zwraca bez przejęcia połączenia, serwer nieprawidłowo kontynuuje odczytywanie i obsługę żądań z tego połączenia. Ponieważ odpowiedź 2xx na CONNECT przekształca połączenie w tunel, serwer nie powinien traktować go jako nadal zawierającego HTTP.

Podatność deserializacji niezaufanych danych w Microsoft Dataverse umożliwia nieautoryzowanemu atakującemu zdalne wykonanie kodu przez sieć.

Brak autoryzacji w Azure Event Grid pozwala uprawnionemu atakującemu na przeprowadzenie spoofingu w sieci.

Ujawnienie wrażliwych informacji nieautoryzowanemu podmiotowi w Azure API Center pozwala nieautoryzowanemu atakującemu na ujawnienie informacji przez sieć.

Złośliwy peer HTTP/2 może spowodować nadmierne zużycie CPU po stronie klienta lub serwera, otwierając dużą liczbę strumieni, a następnie wysyłając wiele małych ramek SETTINGS zawierających wartości SETTINGS_INITIAL_WINDOW_SIZE.

Podczas parsowania nagłówka Range zawierającego dużą liczbę małych zakresów, FileServer(FS), ServeContent i ServeFile(FS) mogą zużyć nadmierną ilość CPU.

Serwer HTTP/2 może dwukrotnie zwrócić kontrolę przepływu na poziomie połączenia dla tych samych danych: raz, gdy klient resetuje strumień, a ponownie, gdy handler żądania odczytuje buforowane dane. Złośliwy klient może to wykorzystać do obejścia skonfigurowanego limitu kontroli przepływu na poziomie połączenia (MaxReceiveBufferPerConnection).

Historycznie implementacja HTTP/2 była dość pobłażliwa wobec nieprawidłowych nagłówków związanych z ramkowaniem, ponieważ nie mogą one zakłócać ramkowania HTTP/2. Jednak umożliwia to przekazywanie odpowiedzi zawierających takie nagłówki do klienta HTTP/1, gdy działamy jako reverse proxy. Jeśli klient HTTP/1 również nie zachowuje się wystarczająco ściśle, może to skutkować przemytem odpowiedzi (response smuggling).

Gdy klient wysyła nagłówki "Trailer", serwer HTTP wewnętrznie używa wartości nagłówków do wypełnienia mapy Request.Trailer przekazywanej do handlera. Ponieważ Request.Trailer jest mapą, każdy wpis powoduje narzut pamięci. Dla serwerów HTTP/2 złośliwy klient może to wykorzystać, wysyłając nagłówek "Trailer" deklarujący dużą liczbę pól, powodując alokację nieproporcjonalnej ilości pamięci z pominięciem limitów Server.MaxHeaderValueCount i Server.MaxHeaderBytes.

Brak uwierzytelniania dla krytycznej funkcji w Azure App Service umożliwia nieautoryzowanemu atakującemu zdalne wykonanie kodu przez sieć.

Brak autoryzacji w Azure SRE Agent umożliwia uwierzytelnionemu atakującemu podniesienie uprawnień przez sieć.

Gdy http.Transport wysyła żądanie HTTP/1 CONNECT z niepustym Request.Body, zapisuje ciało bezpośrednio do połączenia bez ramkowania po nagłówkach żądania. Jeśli serwer odrzuci żądanie CONNECT odpowiedzią keep-alive inną niż 2xx, Transport zwraca połączenie do puli bezczynnych. Ponieważ żądania CONNECT nie mają ciała żądania, serwer może zinterpretować końcowe bajty ciała jako kolejne potokowe żądanie HTTP/1.1 na tym połączeniu, pozostawiając połączenie w puli zdesynchronizowane i powodując, że następny wywołujący, który je ponownie użyje, odczyta odpowiedź na wstrzyknięte żądanie.

Na systemie Windows, gdy celem operacji Root.Mkdir lub Root.MkdirAll jest dowiązanie (junction) wskazujące na pustą lokalizację, operacja może utworzyć katalog w miejscu docelowym dowiązania, nawet jeśli to miejsce znajduje się poza katalogiem głównym. Dotyczy to tylko operacji, gdzie ostatni element ścieżki jest dowiązaniem (ścieżka/dowiązanie, ale nie ścieżka/dowiązanie/cel).

SumatraPDF w wersji 3.6.1 i wcześniejszych w pliku src/SelectionTranslate.cpp osadza zaznaczony lub wklejony tekst tłumaczenia w cytowanych wierszach poleceń Windows, stosując niekompletne escapowanie cudzysłowów. Funkcje BuildGrokTranslateCmdLineTemp(), BuildClaudeTranslateCmdLineTemp() i BuildCodexTranslateCmdLineTemp() mogą pozwolić tekstowi kontrolowanemu przez atakującego na wstrzyknięcie flag modelu, katalogu roboczego, zatwierdzania lub obejścia sandboxa, gdy odpowiedni backend CLI agenta jest zainstalowany i używany.

SumatraPDF w wersji 3.6.1 i wcześniejszych zawiera podatność w ChmFile::GetCharZ(), gdzie niekontrolowane offsety z plików CHM są zawężane do liczb ze znakiem bez sprawdzenia dolnego zakresu. Może to prowadzić do odczytu przed buforem /#STRINGS i deterministycznego zakończenia aplikacji.

SumatraPDF w wersji 3.6.1 i wcześniejszych oraz w wersji przedpremierowej 3.7.0.20369 (gdy WebView2 jest niedostępny) zawiera podatność w ParseProtoUrl(), gdzie podpisany komponent hosta URL its:// jest używany jako indeks do gHtmlWindows. Może to prowadzić do odczytu poza zakresem i nieprawidłowego wywołania zwrotnego, kończącego proces.

SumatraPDF w wersji 3.6.1 i wcześniejszych zawiera podatność w MaybeFlipBitmap(), gdzie GDI+ odczytuje rozmiar PropertyTagOrientation kontrolowany przez atakującego do stałego 64-bajtowego bufora na stosie. Otwarcie spreparowanego pliku TIFF może prowadzić do nadpisania danych sterujących na stosie, choć w testowanych buildach proces kończy się przez kontrolę cookie stosu.