Katalog podatności CVE

Podatność w wolfSSH do wersji 1.5.0 pozwala nieuwierzytelnionemu klientowi wysłać komunikaty wymiany grup Diffie-Hellmana (SSH_MSG_KEX_DH_GEX_GROUP i SSH_MSG_KEX_DH_GEX_REPLY) do serwera, który nie sprawdza kierunku tych komunikatów. Serwer uruchamia wówczas procedurę przeznaczoną dla klienta, co prowadzi do kosztownych testów pierwszości Millera-Rabina na danych sterowanych przez atakującego, a następnie do wygenerowania pary kluczy w grupie wybranej przez atakującego.

Niedopełnienie liczby całkowitej bez znaku w funkcji wstrncat() w src/port.c w wolfSSH od wersji 1.4.11 do 1.5.0 na platformach innych niż Windows umożliwia uwierzytelnionemu zdalnemu atakującemu zapisanie jednego bajtu zerowego poza końcem bufora stosu poprzez wysłanie spreparowanej ścieżki SFTP. Funkcja wolfSSH_RealPath() w src/ssh.c dołącza każdy komponent ścieżki z ograniczeniem pozostałego rozmiaru (outSz - curSz) zamiast pełnego rozmiaru docelowego, więc gdy skumulowana ścieżka osiągnie połowę bufora wyjściowego, obliczenie size_t n - strlen(s1) - 1 zawija się do wartości bliskiej SIZE_MAX. Wywołanie strncat() jest wtedy praktycznie nieograniczone i kopiuje cały komponent; gdy ten komponent dokładnie wypełnia resztę bufora, jego kończący bajt zerowy jest zapisywany jeden bajt poza końcem. Własna kontrola długości przez wywołującego utrzymuje skopiowane dane wewnątrz bufora, więc przepełnienie jest ograniczone do tego pojedynczego bajtu zerowego, który może uszkodzić sąsiednią wartość na stosie i spowodować awarię procesu. Aplikacje wywołujące publiczną funkcję wolfSSH_RealPath() z buforem wyjściowym mniejszym niż ścieżka wejściowa są dodatkowo narażone na nieograniczoną kopię, ponieważ wyrażenie word32 outSz - segSz w tej kontroli długości również zawija się.

W portu Windows wolfSSHd, gdy używane jest uwierzytelnianie hasłem lub kluczem publicznym, token logowania Windows uzyskany dla jednego uwierzytelnionego połączenia nie jest zwalniany przed uzyskaniem tokena dla kolejnego połączenia, co powoduje zatrucie logowania użytkownika między połączeniami. Mniej uprzywilejowany użytkownik z prawidłowym kontem na serwerze może to wykorzystać do wymuszenia logowania jako bardziej uprzywilejowany użytkownik.

W wolfSSH do wersji 1.5.0 zbudowanej z opcją --enable-fwd, funkcja DoChannelOpen() w src/internal.c ogranicza tylko otwieranie kanałów direct-tcpip za pomocą wywołania zwrotnego polityki przekazywania. Otwarcia forwarded-tcpip są dopuszczane bez sprawdzenia autoryzacji i nie są ograniczane liczbowo, co pozwala złośliwemu peerowi SSH na przydzielenie nieograniczonych buforów per-kanał dla kanałów przekazywania, których aplikacja nigdy nie autoryzowała. Klient również nie sprawdza otwarcia forwarded-tcpip względem przekazywań zarejestrowanych za pomocą żądania tcpip-forward, jak wymaga RFC 4254 sekcja 7.2, więc złośliwy serwer może otwierać kanały przekazywania dla adresów i portów, których klient nigdy nie prosił o przekazywanie.

wolfSSH nie weryfikuje, czy identyfikator krzywej ECDSA w bloku klucza hosta KEXDH_REPLY odpowiada algorytmowi uzgodnionemu podczas wymiany kluczy. Aktywny atakujący typu man-in-the-middle może podstawić blok klucza hosta z inną krzywą ECDSA, co powoduje zaimportowanie klucza na niewłaściwej krzywej, a ponieważ atakujący kontroluje klucz prywatny dla podstawionej krzywej, weryfikacja podpisu przechodzi.

Podatność typu Cross-site Scripting (XSS) w modułach routerów ASUS pozwala zdalnemu atakującemu na odczyt informacji z DOM, modyfikację ustawień routera oraz wywołanie warunków denial-of-service, gdy uwierzytelniony użytkownik odwiedzi spreparowany URL.

W programie GIMP w module generowania miniatur dla plików X cursor (XMC) występuje podatność na przepełnienie liczby całkowitej. Przy tworzeniu miniatury dla spreparowanego pliku XMC alokowany jest bufor pikseli o rozmiarze obliczonym w arytmetyce 32-bitowej ze znakiem, co może prowadzić do przepełnienia i odczytu poza zakresem pamięci sterty.

Przewidywalny ziarno w generatorze liczb pseudolosowych (PRNG) w generowaniu tokena parowania IFTTT w routerze ASUS RT-BE57 pozwala nieuwierzytelnionemu użytkownikowi z pobliskiej sieci na wywnioskowanie tokena parowania i odczyt lub modyfikację ustawień routera na podstawie obserwowanych wartości z sesji parowania IFTTT inicjowanej przez administratora.

Przepełnienie bufora na stosie w modułach routerów ASUS pozwala uwierzytelnionemu użytkownikowi z pobliskiej sieci na wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku konfiguracyjnego przekraczającego oczekiwany rozmiar bufora.

W niektórych modelach routerów ASUS występuje wstawianie wrażliwych informacji do pliku dziennika, co pozwala zdalnemu uwierzytelnionemu atakującemu na uzyskanie poświadczeń DDNS z dziennika systemowego, potencjalnie umożliwiając modyfikację ustawień DNS.

W Candlepin wykryto błąd w centralnym filtrze autoryzacji, który przyznaje dostęp, gdy dostępny jest choć jeden z wielu parametrów oznaczonych adnotacją @Verify, zamiast wymagać dostępu do każdej weryfikowanej encji. Uwierzytelniony atakujący z niskimi uprawnieniami, który ma dostęp do pierwszego obiektu, może ominąć kontrole autoryzacji na kolejnych obiektach. Przy znanych identyfikatorach zasobów umożliwia to nieautoryzowane ujawnienie informacji o konsumentach oraz modyfikację uprawnień i powiązanych zasobów subskrypcji, także między organizacjami.

Podatność polegająca na wstrzyknięciu nagłówków HTTP w start-page-loader.cgi systemu ADM pozwala nieuwierzytelnionemu zdalnemu atakującemu na odczyt dowolnych plików z systemu hosta. Wysyłając spreparowane żądanie HTTP ze wstrzykniętymi nagłówkami przez parametr state, atakujący może wykorzystać mechanizm X-Sendfile serwera WWW do pobrania wrażliwych plików bez uwierzytelnienia.

W podatnych wersjach Octopus Server uwierzytelniony użytkownik z uprawnieniem do modyfikacji ról mógł ominąć zabezpieczenia chroniące przed nadużyciem dostępu, co prowadzi do eskalacji uprawnień. Możliwe było osłabienie wbudowanej roli i dodanie konta atakującego do uprzywilejowanego zespołu. Wynikało to z nieprawidłowej walidacji niebezpiecznej równoważności w danych wejściowych.

IBM Langflow OSS w wersjach od 1.0.0 do 1.12.2 może umożliwić zdalnemu uwierzytelnionemu atakującemu uzyskanie informacji wrażliwych lub wstrzyknięcie złośliwych danych z powodu nieprawidłowej kontroli dostępu w podsystemie buforowania wyników vertex.

IBM Langflow OSS w wersjach od 1.0.0 do 1.12.2 może umożliwić zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu z powodu nieprawidłowej neutralizacji specjalnych elementów używanych w poleceniach systemu operacyjnego (wstrzyknięcie kodu) związanej z nieprawidłową walidacją danych wejściowych.

IBM Langflow OSS w wersjach od 1.0.0 do 1.12.2 może umożliwić zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu z powodu nieprawidłowej walidacji danych wejściowych.

IBM Langflow OSS w wersjach od 1.0.0 do 1.12.2 może umożliwić zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu z powodu nieprawidłowej neutralizacji specjalnych elementów używanych w kodzie, co skutkuje ucieczką z piaskownicy.

IBM Langflow OSS w wersjach od 1.0.0 do 1.12.2 może umożliwić zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnych poleceń systemu operacyjnego z powodu nieprawidłowej neutralizacji specjalnych elementów używanych w poleceniach systemu operacyjnego (wstrzyknięcie kodu), znanej również jako nieprawidłowa kontrola generowania kodu.

IBM Langflow OSS w wersjach od 1.0.0 do 1.12.2 może umożliwić zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu z powodu nieprawidłowej walidacji danych wejściowych.

IBM Langflow OSS w wersjach od 1.0.0 do 1.12.2 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie wrażliwych informacji z powodu podatności na przechodzenie po ścieżkach (path traversal).