Katalog podatności CVE

Konwersja spreparowanego wejścia EUC_JISX0213 do UCS-4 lub wewnętrznego kodowania szerokich znaków, na przykład za pomocą iconv, w GNU C Library w wersjach od 2.3 do 2.44 może spowodować, że konwerter nie robi postępów, powodując zawieszenie aplikacji wywołującej. Niektóre sekwencje EUC_JISX0213 dekodują się do dwóch punktów kodowych; jeśli bufor wyjściowy ma miejsce tylko na pierwszy z nich, konwerter zapisuje drugi w stanie konwersji i zwraca E2BIG, ale nigdy nie czyści tego oczekującego znaku po jego wyemitowaniu w następnym wywołaniu. Konwerter następnie stale emituje oczekujący znak bez zużywania dalszego wejścia, więc aplikacja ponawiająca konwersję zapętla się w nieskończoność. Wejście musi być kontrolowane przez atakującego, a aplikacja musi konwertować je z buforem wyjściowym wystarczająco małym, by rozdzielić dwa punkty kodowe. Dotyczy tylko zestawu znaków EUC_JISX0213, który nie jest powszechnie używany.

Konwersja spreparowanego wejścia SHIFT_JISX0213 do UCS-4 lub wewnętrznego kodowania szerokich znaków, na przykład za pomocą iconv, w GNU C Library w wersjach od 2.3 do 2.44 może spowodować, że konwerter nie robi postępów, powodując zawieszenie aplikacji wywołującej. Niektóre sekwencje SHIFT_JISX0213 dekodują się do dwóch punktów kodowych; jeśli bufor wyjściowy ma miejsce tylko na pierwszy z nich, konwerter zapisuje drugi w stanie konwersji i zwraca E2BIG, ale nigdy nie czyści tego oczekującego znaku po jego wyemitowaniu w następnym wywołaniu. Konwerter następnie stale emituje oczekujący znak bez zużywania dalszego wejścia, więc aplikacja ponawiająca konwersję zapętla się w nieskończoność. Wejście musi być kontrolowane przez atakującego, a aplikacja musi konwertować je z buforem wyjściowym wystarczająco małym, by rozdzielić dwa punkty kodowe. Dotyczy tylko zestawu znaków SHIFT_JISX0213, który nie jest powszechnie używany.

Kimai to aplikacja open source do śledzenia czasu pracy. W wersjach przed 2.58.0 metody ExportController::createExportTemplate() i ExportController::editExportTemplate() dziedziczą jedynie uprawnienie create_export na poziomie klasy, które ROLE_TEAMLEAD otrzymuje domyślnie, i pomijają uprawnienie create_export_template wymagane przez trasy API i interfejs użytkownika. Lider zespołu może bezpośrednio uzyskać dostęp do webowych tras tworzenia i edycji szablonów eksportu, aby tworzyć lub modyfikować globalne rekordy ExportTemplate oznaczone jako dostępne dla wszystkich użytkowników, zmieniając kolumny eksportu, renderer, format i dane wyjściowe używane przez innych użytkowników i administratorów.

Kimai to aplikacja open source do śledzenia czasu pracy. W wersjach przed 2.57.0 żądania GET lub POST do /en/admin/project/{id}/rate/{rate}, /en/admin/customer/{id}/rate/{rate} oraz /en/admin/activity/{id}/rate/{rate} niezależnie rozwiązują autoryzowany identyfikator obiektu nadrzędnego i wybrany przez atakującego identyfikator stawki podrzędnej, nie potwierdzając, że ProjectRate, CustomerRate lub ActivityRate należy do tego obiektu nadrzędnego. Uwierzytelniony użytkownik mogący edytować jeden obiekt nadrzędny może połączyć go z rekordem stawki z nieautoryzowanego projektu, klienta lub czynności i utrwalić zmiany w konfiguracji rozliczeń w tabelach kimai2_projects_rates, kimai2_customers_rates lub kimai2_activities_rates.

Kimai to aplikacja open source do śledzenia czasu pracy. W wersjach przed 2.58.0 żądania POST /api/teams/{id}/members/{userId} i POST /api/teams/{id}/activities/{activityId} weryfikują, że lider zespołu może edytować zespół, ale nie weryfikują access_user dla wskazanego użytkownika ani dostępu view dla wskazanej czynności. Lider zespołu może dodać użytkowników lub czynności spoza swojego zakresu zarządzania do edytowalnego zespołu, omijając węższe wybory wymuszane przez TeamEditForm i UserRepository::getQueryBuilderForFormType(). Powstałe relacje mogą być zaufane przez RolePermissionManager::checkTeamAccessActivity() i inną logikę autoryzacji, widoczności, raportowania i przepływu pracy opartą na zespołach.

Kimai to aplikacja open source do śledzenia czasu pracy. W wersjach przed 2.58.0 TimesheetController udostępnia trasy GET /api/timesheets/{id}/stop i GET /api/timesheets/{id}/restart, które wykorzystują uwierzytelnioną sesję przeglądarki i wykonują operacje zmieniające stan przez żądania GET bez zabezpieczenia przed fałszowaniem żądań. Zdalny atakujący może spowodować, że zalogowany użytkownik wywoła jedną z tych tras z treści kontrolowanej przez atakującego, zatrzymując działający wpis czasu pracy lub wznawiając historyczny wpis w celu utworzenia i uruchomienia nowego wpisu bez zgody użytkownika. Nieautoryzowane zmiany mogą uszkodzić rekordy czasu, rozliczenia, raporty, zatwierdzenia i audyty.

Kimai to aplikacja open source do śledzenia czasu pracy. W wersjach przed 2.58.0 PATCH /api/timesheets/{id}/restart, PATCH /api/timesheets/{id}/duplicate oraz webowy przepływ duplikowania mogą utworzyć nowy rekord na podstawie posiadanego historycznego wpisu czasu pracy po odebraniu użytkownikowi dostępu do jego projektu lub czynności. TimesheetVoter ocenia uprawnienie own-timesheet przed bieżącym dostępem zespołowym, a jego logika canStart() waliduje widoczność obiektu, ale nie weryfikuje bieżącego dostępu zespołowego użytkownika do wskazanego projektu i czynności. Stary wpis działa więc jako trwała zdolność do tworzenia nowych rekordów czasu w nieautoryzowanym projekcie i czynności, uszkadzając budżety, statystyki, raporty i faktury po administracyjnym odebraniu uprawnień.

Przed wersją 2.57.0 aplikacji Kimai, żądania GET lub POST do /en/admin/activity/create/{project} i /en/admin/project/create/{customer} wymagały tylko ogólnych uprawnień create_activity lub create_project, bez weryfikacji dostępu do edycji obiektu Project lub Customer. Użytkownik znający identyfikator projektu lub klienta mógł utworzyć nowy obiekt biznesowy pod nieautoryzowanym rodzicem, zanieczyszczając konfigurację projektu lub klienta i wpływając na późniejsze wpisy czasu, stawki, raporty i rozliczenia.

Przed wersją 2.57.0 aplikacji Kimai, endpointy PATCH /api/timesheets/{id} i POST /api/timesheets akceptowały identyfikator projektu kontrolowany przez użytkownika, który omijał kryteria dostępu do zespołu. Każdy uwierzytelniony użytkownik z uprawnieniem edit_own_timesheet mógł przypisać własny wpis czasu do projektu spoza swoich zespołów, utrwalić nieautoryzowane przypisanie projektu i pobrać metadane projektu i klienta przez GET /api/timesheets/{id}?full=true.

Przed wersją 2.57.0 aplikacji Kimai, endpoint GET /api/timesheets akceptował identyfikatory użytkowników od osoby z uprawnieniem view_other_timesheet, ale nie sprawdzał, czy osoba z rolą ROLE_TEAMLEAD prowadzi zespół zawierający każdego docelowego użytkownika. Umożliwiało to liderowi zespołu pobranie opisów, danych czasowych, tagów, stawek i wewnętrznych stawek innego użytkownika, nawet jeśli GET /api/timesheets/{id} odmówiłby dostępu.

Nieprawidłowe obsługiwanie niewystarczających uprawnień w Secomea GateManager umożliwia eskalację uprawnień. Problem dotyczy wersji 11.5;0 i 11.4.625515072:0. Poprawka jest dostępna w wersji 11.6 lub 11.4.626194074 i nowszych.

Wersje MISP do 2.5.45 mogą rejestrować nieprawidłowe dane dziennika dostępu dla żądań kończących się wyjątkiem. Ze względu na to, że CakeErrorController rozszerza AppController, renderowanie wyjątku uruchamia ścieżkę startową aplikacji po raz drugi, co powoduje podwójne wywołanie AccessLog::logRequest() dla jednego żądania HTTP. Drugi zapis może nadpisać wiersz utworzony przez pierwszy, uszkadzając czas trwania żądania, liczbę zapytań SQL, użycie pamięci i potencjalnie dziennik zapytań.

Wersje MISP do 2.5.45 udostępniają kilka akcji kontrolerów zmieniających stan bez ograniczenia do metody POST. Dotyczy to akcji purgeUnusedPictures(), enableNoticelist(), removeOrphanedCorrelations() i rebuildRedis(). Atakujący może wywołać te akcje przez zwykłe żądania GET, wykorzystując sesję uwierzytelnionego użytkownika, co może prowadzić do nieautoryzowanych zmian.

OpenAM od wersji 13.0.0 do 16.1.2 ma podatność na odbity XSS w endpointzie OAuth2 authorize z parametrem display=wap. Strona zgody odzwierciedla wartości pochodzące z żądania bez kodowania HTML, co pozwala atakującemu na wykonanie JavaScriptu w kontekście OpenAM, kradzież sesji lub ciasteczek, ujawnienie tokenów CSRF i działania z uprawnieniami ofiary. Wymagany jest co najmniej jeden zarejestrowany klient OAuth2, ale atakujący nie musi go kontrolować.

W kontrolerze Sealed Secrets istnieje podatność w nieuwierzytelnionych endpointach POST /v1/verify i /v1/rotate. Atakujący z dostępem do wewnętrznej sieci może wstrzyknąć własną logikę szablonów Go w polu spec.template.data, a następnie wykorzystać różnice w kodach odpowiedzi HTTP (200 vs 409) jako wyrocznię deszyfrującą do odzyskania pełnego tekstu jawnego sealed secret. Problem potęguje brak powiązania pola spec.template.data z etykietą AEAD, co pozwala na dowolną modyfikację tego pola przy zachowaniu ważnego szyfrogramu.

OpenAM przed wersją 16.1.1 ma podatność w operacji addSessionListener w /sessionservice, która pozwala uwierzytelnionemu użytkownikowi na zarejestrowanie dowolnego adresu URL powiadomień bez wymaganego tokena administracyjnego lub aplikacji klienckiej. Serwer OpenAM może wysyłać żądania wychodzące do kontrolowanego przez atakującego miejsca, potencjalnie ujawniając dane powiadomień sesyjnych.

Proces samorejestracji akceptuje dane wejściowe od użytkownika dla nazw użytkowników bez odpowiedniego zapobiegania ujawnieniu istnienia nazwy użytkownika. Gdy użytkownik próbuje zarejestrować się z istniejącą nazwą, system odpowiada komunikatem błędu, który wyraźnie wskazuje, że nazwa jest już zajęta. Pozwala to atakującemu na odkrycie prawidłowych nazw użytkowników w systemie.

Podatność w MISP dotyczy nieprawidłowego filtrowania szablonów pulpitu nawigacyjnego ograniczonych do określonej flagi uprawnień. Funkcja listTemplates() zezwalała na szablon, gdy flaga uprawnień pasowała do uprawnień użytkownika lub gdy flaga była równa 0. Ponieważ pole jest typu varchar, MySQL dokonywał konwersji numerycznej, przez co ciągi takie jak 'perm_site_admin' były traktowane jako 0, co powodowało, że szablony z ograniczeniami były traktowane jako nieograniczone.

Podatność przepełnienia bufora opartego na stosie w bibliotece Samsung Opensource rLottie pozwala atakującym na przepełnienie buforów, co prowadzi do uszkodzenia pamięci podczas renderowania spreparowanych animacji wektorowych. Problem dotyczy konkretnej wersji rLottie: 480a2ad0c5d2e45458c545b8213279e9e8b71e39.

Podatność w MISP wynika z polegania na przetwarzaniu nadpisań metod żądań w CakePHP, co może wyłączyć walidację CSRF i zabezpieczeń formularzy. CakePHP honoruje pole _method lub nagłówek X-HTTP-Method-Override, zmieniając efektywną metodę żądania. Dla wartości spoza standardowych czasowników (POST, PUT, PATCH, DELETE) CakePHP czyści treść żądania, przez co MISP pomija walidację _validatePost() i _validateCsrf(). Atakujący może wysłać formularz z _method=GET, aby ominąć zabezpieczenia.