Katalog podatności CVE

VMware Workstation i Fusion zawierają podatność przepełnienia bufora opartego na stosie w HGFS. Złośliwy aktor z lokalnymi uprawnieniami administracyjnymi na maszynie wirtualnej może wykorzystać ten problem do wykonania kodu jako proces VMX działający na hoście. Dotknięte wersje: Workstation 25H2, 26H1 (naprawione w 26H1u1); Fusion 25H2, 26H1 (naprawione w 26H1u1).

VMware Workstation i Fusion zawierają podatność na przepełnienie liczby całkowitej. Osoba z lokalnymi uprawnieniami administracyjnymi na maszynie wirtualnej z wirtualnym adapterem sieciowym VMXNET3 może wykorzystać ten problem do wykonania kodu na hoście.

W pulp-rpm podczas publikowania drzewa dystrybucji identyfikatory dodatków i wariantów z pliku .treeinfo są używane jako nazwy katalogów. Użytkownik, który może zsynchronizować lub przesłać to drzewo, może sprawić, że zadanie publikacji utworzy nowy katalog poza obszarem roboczym zadania i zapisze tam metadane repozytorium oraz pakiety jako użytkownik Pulp worker. Istniejący plik lub katalog nie jest zastępowany. Podatność nie ujawnia danych i nie zatrzymuje usługi.

W pulp-ansible podczas odświeżania tokena bearer dla zdalnych repozytoriów kolekcji token dostępu jest przechowywany w jednej zmiennej na poziomie modułu i ponownie używany dla każdego pobrania tokena w tym workerze. Użytkownik, który może zsynchronizować zdalne repozytorium Ansible używające odświeżania tokena i wskazać to repozytorium na serwer, który kontroluje, otrzymuje token dostępu uzyskany dla innego repozytorium i może go ponownie użyć w usłudze, która go wydała. Zawartość przechowywana w Pulp nie jest zmieniana, a usługa nie jest zatrzymywana.

W pulp-container podczas uwierzytelniania do rejestru nadrzędnego poświadczenia podstawowe i bearer z jednego zdalnego repozytorium są ponownie używane do późniejszych pobrań w tym samym workerze. Użytkownik, który może zsynchronizować zdalne repozytorium kontenerów i wskazać to repozytorium na serwer, który kontroluje, otrzymuje nazwę użytkownika, hasło lub token bearer przechowywany dla innego repozytorium i może ponownie użyć tych poświadczeń w rejestrze nadrzędnym. Zawartość przechowywana w Pulp nie jest zmieniana, a usługa nie jest zatrzymywana.

Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPressa do wersji 6.3.1 włącznie jest podatna na Stored Cross-Site Scripting przez metadane rejestracji. Wynika to z niedostatecznego escapowania w funkcji `ExceptionalElements::image_element()`, która łączy wartość user-meta bezpośrednio z atrybutem `<img src="…">`. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonują się, gdy użytkownik odwiedza stronę renderującą kolekcję użytkowników Kirki z elementem obrazu powiązanym z jednym z dziewięciu pól meta rejestracji. Wymaga włączenia publicznej rejestracji użytkowników i opublikowania strony z elementem `kirki-register`.

W oprogramowaniu FlexNet Publisher lmadmin wykryto podatność w handlerze SOAP, gdzie twardo zakodowane obejście uwierzytelniania pozwala nieuwierzytelnionemu użytkownikowi uzyskać uprzywilejowaną sesję administratora bez podania prawidłowych poświadczeń.

Podatność w wolfSSH do wersji 1.5.0 pozwala nieuwierzytelnionemu klientowi wysłać komunikaty wymiany grup Diffie-Hellmana (SSH_MSG_KEX_DH_GEX_GROUP i SSH_MSG_KEX_DH_GEX_REPLY) do serwera, który nie sprawdza kierunku tych komunikatów. Serwer uruchamia wówczas procedurę przeznaczoną dla klienta, co prowadzi do kosztownych testów pierwszości Millera-Rabina na danych sterowanych przez atakującego, a następnie do wygenerowania pary kluczy w grupie wybranej przez atakującego.

Niedopełnienie liczby całkowitej bez znaku w funkcji wstrncat() w src/port.c w wolfSSH od wersji 1.4.11 do 1.5.0 na platformach innych niż Windows umożliwia uwierzytelnionemu zdalnemu atakującemu zapisanie jednego bajtu zerowego poza końcem bufora stosu poprzez wysłanie spreparowanej ścieżki SFTP. Funkcja wolfSSH_RealPath() w src/ssh.c dołącza każdy komponent ścieżki z ograniczeniem pozostałego rozmiaru (outSz - curSz) zamiast pełnego rozmiaru docelowego, więc gdy skumulowana ścieżka osiągnie połowę bufora wyjściowego, obliczenie size_t n - strlen(s1) - 1 zawija się do wartości bliskiej SIZE_MAX. Wywołanie strncat() jest wtedy praktycznie nieograniczone i kopiuje cały komponent; gdy ten komponent dokładnie wypełnia resztę bufora, jego kończący bajt zerowy jest zapisywany jeden bajt poza końcem. Własna kontrola długości przez wywołującego utrzymuje skopiowane dane wewnątrz bufora, więc przepełnienie jest ograniczone do tego pojedynczego bajtu zerowego, który może uszkodzić sąsiednią wartość na stosie i spowodować awarię procesu. Aplikacje wywołujące publiczną funkcję wolfSSH_RealPath() z buforem wyjściowym mniejszym niż ścieżka wejściowa są dodatkowo narażone na nieograniczoną kopię, ponieważ wyrażenie word32 outSz - segSz w tej kontroli długości również zawija się.

W portu Windows wolfSSHd, gdy używane jest uwierzytelnianie hasłem lub kluczem publicznym, token logowania Windows uzyskany dla jednego uwierzytelnionego połączenia nie jest zwalniany przed uzyskaniem tokena dla kolejnego połączenia, co powoduje zatrucie logowania użytkownika między połączeniami. Mniej uprzywilejowany użytkownik z prawidłowym kontem na serwerze może to wykorzystać do wymuszenia logowania jako bardziej uprzywilejowany użytkownik.

W wolfSSH do wersji 1.5.0 zbudowanej z opcją --enable-fwd, funkcja DoChannelOpen() w src/internal.c ogranicza tylko otwieranie kanałów direct-tcpip za pomocą wywołania zwrotnego polityki przekazywania. Otwarcia forwarded-tcpip są dopuszczane bez sprawdzenia autoryzacji i nie są ograniczane liczbowo, co pozwala złośliwemu peerowi SSH na przydzielenie nieograniczonych buforów per-kanał dla kanałów przekazywania, których aplikacja nigdy nie autoryzowała. Klient również nie sprawdza otwarcia forwarded-tcpip względem przekazywań zarejestrowanych za pomocą żądania tcpip-forward, jak wymaga RFC 4254 sekcja 7.2, więc złośliwy serwer może otwierać kanały przekazywania dla adresów i portów, których klient nigdy nie prosił o przekazywanie.

wolfSSH nie weryfikuje, czy identyfikator krzywej ECDSA w bloku klucza hosta KEXDH_REPLY odpowiada algorytmowi uzgodnionemu podczas wymiany kluczy. Aktywny atakujący typu man-in-the-middle może podstawić blok klucza hosta z inną krzywą ECDSA, co powoduje zaimportowanie klucza na niewłaściwej krzywej, a ponieważ atakujący kontroluje klucz prywatny dla podstawionej krzywej, weryfikacja podpisu przechodzi.

Podatność typu Cross-site Scripting (XSS) w modułach routerów ASUS pozwala zdalnemu atakującemu na odczyt informacji z DOM, modyfikację ustawień routera oraz wywołanie warunków denial-of-service, gdy uwierzytelniony użytkownik odwiedzi spreparowany URL.

W programie GIMP w module generowania miniatur dla plików X cursor (XMC) występuje podatność na przepełnienie liczby całkowitej. Przy tworzeniu miniatury dla spreparowanego pliku XMC alokowany jest bufor pikseli o rozmiarze obliczonym w arytmetyce 32-bitowej ze znakiem, co może prowadzić do przepełnienia i odczytu poza zakresem pamięci sterty.

Przewidywalny ziarno w generatorze liczb pseudolosowych (PRNG) w generowaniu tokena parowania IFTTT w routerze ASUS RT-BE57 pozwala nieuwierzytelnionemu użytkownikowi z pobliskiej sieci na wywnioskowanie tokena parowania i odczyt lub modyfikację ustawień routera na podstawie obserwowanych wartości z sesji parowania IFTTT inicjowanej przez administratora.

Przepełnienie bufora na stosie w modułach routerów ASUS pozwala uwierzytelnionemu użytkownikowi z pobliskiej sieci na wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku konfiguracyjnego przekraczającego oczekiwany rozmiar bufora.

W niektórych modelach routerów ASUS występuje wstawianie wrażliwych informacji do pliku dziennika, co pozwala zdalnemu uwierzytelnionemu atakującemu na uzyskanie poświadczeń DDNS z dziennika systemowego, potencjalnie umożliwiając modyfikację ustawień DNS.

W Candlepin wykryto błąd w centralnym filtrze autoryzacji, który przyznaje dostęp, gdy dostępny jest choć jeden z wielu parametrów oznaczonych adnotacją @Verify, zamiast wymagać dostępu do każdej weryfikowanej encji. Uwierzytelniony atakujący z niskimi uprawnieniami, który ma dostęp do pierwszego obiektu, może ominąć kontrole autoryzacji na kolejnych obiektach. Przy znanych identyfikatorach zasobów umożliwia to nieautoryzowane ujawnienie informacji o konsumentach oraz modyfikację uprawnień i powiązanych zasobów subskrypcji, także między organizacjami.

Podatność polegająca na wstrzyknięciu nagłówków HTTP w start-page-loader.cgi systemu ADM pozwala nieuwierzytelnionemu zdalnemu atakującemu na odczyt dowolnych plików z systemu hosta. Wysyłając spreparowane żądanie HTTP ze wstrzykniętymi nagłówkami przez parametr state, atakujący może wykorzystać mechanizm X-Sendfile serwera WWW do pobrania wrażliwych plików bez uwierzytelnienia.

W podatnych wersjach Octopus Server uwierzytelniony użytkownik z uprawnieniem do modyfikacji ról mógł ominąć zabezpieczenia chroniące przed nadużyciem dostępu, co prowadzi do eskalacji uprawnień. Możliwe było osłabienie wbudowanej roli i dodanie konta atakującego do uprzywilejowanego zespołu. Wynikało to z nieprawidłowej walidacji niebezpiecznej równoważności w danych wejściowych.