Katalog podatności CVE

Apache NiFi w wersjach 2.0.0 do 2.10.0 umożliwia tworzenie, odczytywanie i usuwanie Assetów powiązanych z kontekstami parametrów przez REST API. Framework autoryzuje usuwanie Assetów na podstawie identyfikatora kontekstu parametru, ale nie weryfikuje, czy Asset faktycznie należy do tego kontekstu. Instalacje bez zróżnicowanych poziomów autoryzacji między kontekstami nie są podatne. Aktualizacja do wersji 2.11.0 rozwiązuje problem.

Apache NiFi w wersjach od 1.10.0 do 2.10.0 udostępnia metodę REST API do aktualizacji kontekstu parametrów, która nie wymusza sprawdzania autoryzacji na komponentach odwołujących się do wartości parametrów. Uwierzytelniony użytkownik upoważniony do modyfikacji kontekstu parametrów, ale nieupoważniony do komponentów odwołujących się, może zmienić wartości parametrów wpływające na te komponenty. W przypadku, gdy wartość parametru zawiera skryptowalną treść, aktualizacja parametru może prowadzić do wykonania kodu podczas automatycznej walidacji komponentu. Problem dotyczy tylko wdrożeń z politykami autoryzacji na poziomie komponentów. Zalecana jest aktualizacja do Apache NiFi 2.11.0.

go-base, szablon RESTful API w Go z uwierzytelnianiem JWT, używa zakodowanego na stałe sekretu JWT "random". Każdy atakujący może odczytać ten sekret z repozytorium i sfałszować tokeny dla dowolnych użytkowników, w tym administratorów, całkowicie omijając uwierzytelnianie.

osTicket 1.18.3 generuje klucze API w przewidywalny sposób, używając MD5 z niskiej entropii danych, takich jak znacznik czasu i adres IP klienta. Umożliwia to atakującemu odgadnięcie klucza w krótkim czasie.

GL-iNet GL-MT3000 do wersji 4.4.5 zawiera podatność na iniekcję komend w funkcji server.set_peer pliku /cgi-bin/glc komponentu wg-server.so. Manipulacja argumentem public_key pozwala na zdalne wykonanie dowolnych komend.

GL-iNet GL-MT3000 do wersji 4.4.5 jest podatny na iniekcję komend w funkcji wg-server.generate_publickey pliku /cgi-bin/glc komponentu wg-server.so. Manipulacja argumentem private_key umożliwia zdalne wykonanie komend.

GL-iNet GL-MT3000 do wersji 4.4.5 zawiera podatność na iniekcję komend w funkcji s2s.enable_echo_server pliku /cgi-bin/glc komponentu s2s.so. Manipulacja argumentem port pozwala na zdalne wykonanie komend.

GL-iNet GL-MT3000 do wersji 4.4.5 jest podatny na iniekcję w funkcji plugins.set_config pliku /cgi-bin/glc komponentu plugins.so. Manipulacja prowadzi do zdalnego wykonania kodu.

GL-iNet GL-MT3000 do wersji 4.4.5 zawiera podatność na iniekcję komend w funkcjach plugins.remove_package i plugins.install_package pliku /cgi-bin/glc komponentu plugins.so. Manipulacja powoduje zdalne wykonanie komend.

Krayin CRM 2.2.4 zawiera brak uwierzytelnienia w oprogramowaniu instalatora, co pozwala nieuwierzytelnionym zdalnym atakującym na nadpisanie głównego konta administratora poprzez wysłanie spreparowanego żądania HTTP POST z nagłówkiem X-Requested-With: XMLHttpRequest, aby ominąć sprawdzenie przekierowania CanInstall. Atakujący mogą podać dowolne wartości nazwy, e-maila i hasła do punktu końcowego admin-config-setup, który wykonuje nieuwierzytelnioną operację updateOrInsert na zakodowanym na stałe identyfikatorze użytkownika administratora, umożliwiając pełny dostęp administracyjny do wszystkich danych CRM.

OpenEMR do wersji 8.2.0 zawiera lukę zdalnego wykonania kodu w komponencie drzewa kategorii dokumentów (library/classes/Tree.class.php), która pozwala uwierzytelnionym administratorom na wykonanie dowolnych poleceń systemu operacyjnego poprzez wstrzyknięcie ładunków PHP do tabeli kategorii bazy danych. Atakujący mogą połączyć dowolne wykonanie SQL, aby zmienić typ kolumny id na VARCHAR i wstawić złośliwy ładunek PHP, który jest następnie wykonywany przez niesanitizowane wywołanie eval() przy każdym uruchomieniu CategoryTree, w tym na stronach nieuwierzytelnionych i o niskich uprawnieniach, co skutkuje wykonaniem poleceń jako użytkownik serwera WWW.

W GL.iNet GL-MT3000 do wersji 4.4.5 stwierdzono podatność w funkcji ovpn-client.get_recommend_config w pliku /cgi-bin/glc komponentu wtyczki natywnej ovpn-client.so. Manipulacja argumentem Hostname może prowadzić do wstrzyknięcia poleceń. Atak może być wykonany zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Producent został wcześniej poinformowany i potwierdził istnienie luki.

W @fastify/aws-lambda w wersji 6.4.0 dekoracja requestu Fastify wartościami request.awsLambda.event i request.awsLambda.context jest wypełniana na podstawie nagłówków HTTP kontrolowanych przez klienta (x-apigateway-event i x-apigateway-context) zamiast zaufanego wewnętrznego tokenu. Atakujący bez uwierzytelnienia może ustawić pojedynczy nagłówek HTTP i sfałszować całe zdarzenie Lambda proxy, w tym kontekst autoryzatora, co prowadzi do pełnego obejścia uwierzytelniania i autoryzacji oraz eskalacji uprawnień. Podatna jest tylko wersja 6.4.0; poprawka w wersji 6.4.1.

Podatność w bibliotece XML::Sig dla Perla (wersje przed 0.71) pozwala na ominięcie weryfikacji podpisu poprzez duplikację identyfikatora ID. Funkcja _get_signed_xml() wybiera pierwszy węzeł z zestawu pasującego do wyrażenia XPath, co umożliwia atakującemu podmianę treści podpisanego dokumentu.

Podatność XPath injection w module XML::Sig dla Perla przed wersją 0.71. Funkcje verify() i _get_signed_xml() budują wyrażenia XPath bez odpowiedniego escapowania wartości URI z dokumentu, co pozwala na wstrzyknięcie własnych operatorów XPath.

SiYuan przed wersją v3.7.3 zawiera lukę wstrzyknięcia SQL w punkcie końcowym /api/filetree/searchDocs, gdzie dostarczony przez wywołującego parametr keyword jest łączony bezpośrednio z instrukcjami SQL bez escapowania lub wiązania parametrów. Punkt końcowy jest osiągalny przez token publish RoleReader lub nieuwierzytelnionych użytkowników, gdy tryb publikacji jest włączony z Publish.Auth.Enable ustawionym na false. Ponieważ instrukcja jest wykonywana na uchwycie SQLite do odczytu i zapisu za pomocą sterownika obsługującego instrukcje składowane (rozdzielone średnikami), atakujący może odczytywać i modyfikować zawartość bazy danych we wszystkich notatnikach w postaci jawnego tekstu (niezaszyfrowanych) w instancji.

SiYuan w wersjach <= v3.7.2 udostępnia punkt końcowy /api/search/searchEmbedBlock, który przekazuje dostarczoną przez klienta instrukcję SQL dosłownie do głównego uchwytu siyuan.db z możliwością odczytu i zapisu, bez ograniczeń dotyczących pojedynczej instrukcji, tylko do odczytu lub administracyjnych. Punkt końcowy jest chroniony tylko przez CheckAuth, co czyni go osiągalnym przez token publish RoleReader oraz przez anonimowych użytkowników, gdy uwierzytelnianie publikacji jest wyłączone. Ponieważ sterownik wykonuje instrukcje składowane, atakujący może odczytywać i modyfikować zawartość wszystkich otwartych notatników w postaci jawnego tekstu (notatniki szyfrowane per-box są wykluczone). Poprawiono w v3.7.3.

SiYuan przed wersją v3.7.3 zawiera luki wstrzyknięcia SQL w punkcie końcowym fullTextSearchAssetContent, osiągalnym przez nieuwierzytelnionych użytkowników i tokeny publish RoleReader. Atakujący mogą wykonać dowolne SQL na bazie danych asset-content z możliwością odczytu i zapisu za pomocą nieescapowanych parametrów metod i klauzul REGEXP, aby odczytać, zmodyfikować lub usunąć dane między notatnikami.

Telenia Software TVox w wersjach 26.5.3 i wcześniejszych 26.x oraz 24.9.21 i wcześniejszych 24.x zawiera lukę ominięcia uwierzytelniania w pliku set_env.php, gdzie funkcja redirectToLoginAdminIRequestHaveAccessToken() pobiera bieżącą nazwę strony z PHP_SELF i pomija uwierzytelnianie, gdy wartość pasuje do 'login_admin.php'. Atakujący mogą dodać '/login_admin.php' do ścieżki dowolnego docelowego skryptu PHP, aby spowodować przejście kontroli uwierzytelniania i uzyskać nieuwierzytelniony dostęp do wszystkich skryptów PHP w katalogu manager HTML.

W GL.iNet GL-MT3000 do wersji 4.4.5 stwierdzono podatność w funkcji ovpn-client.check_config w pliku /cgi-bin/glc komponentu wtyczki natywnej ovpn-client.so. Manipulacja argumentem filename prowadzi do wstrzyknięcia poleceń. Zdalne wykorzystanie ataku jest możliwe. Exploit został upubliczniony i może być użyty. Producent został wcześniej poinformowany i potwierdził istnienie luki.