Katalog podatności CVE

W Twisted w wersji 25.5.0 i wcześniejszych funkcja wildcardToRegexp() w twisted/mail/imap4.py przekazuje znaki z wzorca LIST lub LSUB klienta bezpośrednio do re.compile(), co umożliwia atakującemu wywołanie katastrofalnego cofania się wyrażeń regularnych. Ponieważ Twisted używa jednowątkowego reaktora kooperacyjnego, blokujące dopasowanie zawiesza całą komunikację serwera.

W yawkat LZ4 Java przed wersją 1.11.2 klasa LZ4DecompressorWithLength ufa czterobajtowemu nagłówkowi długości przed walidacją danych wejściowych, co pozwala pięciobajtowemu wejściu zadeklarować duży rozmiar wyjściowy i wyczerpać stertę JVM. Przeciążenia zapisujące do bufora dostarczonego przez wywołującego nie są podatne.

W yawkat LZ4 Java przed wersją 1.11.2 klasa LZ4BlockInputStream.refill() waliduje pole compressedLen w nagłówku LZ4Block jako nieujemne, ale przydziela bufor wejściowy o rozmiarze kontrolowanym przez atakującego przed odczytaniem danych. Strumień zawierający tylko nagłówek może zażądać alokacji bliskiej 2 GiB i wyczerpać stertę JVM.

Biblioteka yawkat LZ4 Java w wersjach od 1.7.0 do 1.11.4 zawiera podatność polegającą na niebezpiecznym tworzeniu pliku tymczasowego. Atakujący z dostępem do wspólnego katalogu tymczasowego może podmienić plik biblioteki natywnej przed jej załadowaniem, co może prowadzić do wykonania kodu w kontekście ofiary.

W yawkat LZ4 Java przed wersją 1.11.4 klasa LZ4FrameInputStream.readHeader() przydziela dwa bufory bloków po 4 MiB przy odczycie nagłówka ramki o maksymalnym rozmiarze bloku. Tryb domyślny pozwala atakującemu na strumienie z wieloma pustymi ramkami, powodując alokację około 8 MiB na każde 11 bajtów wejścia, bez generowania danych wyjściowych.

yawkat LZ4 Java zapewnia kompresję LZ4 dla Javy. Przed wersją 1.11.4 net.jpountz.lz4.LZ4BlockInputStream skonfigurowany z stopOnEmptyBlock ustawionym na false obsługuje każdy poprawnie sformułowany pusty LZ4Block poprzez rekurencyjne wywołanie refill(), co pozwala długiej sekwencji pustych bloków w kontrolowanym przez atakującego strumieniu skompresowanym wyczerpać stos wątku dekodującego i zgłosić StackOverflowError. Domyślne ustawienie stopOnEmptyBlock to true i nie jest dotknięte, a problem nie powoduje uszkodzenia pamięci.

Biblioteka StableLib przed wersją 2.0.4 zawiera podatność w dekoderze CBOR, która pozwala atakującemu na wstrzyknięcie klucza '__proto__' do obiektu JavaScript. Powoduje to nadpisanie prototypu obiektu, co może prowadzić do podejmowania decyzji bezpieczeństwa na podstawie danych kontrolowanych przez atakującego.

Biblioteka StableLib przed wersją 2.0.4 zawiera podatność w dekoderze CBOR, która nie ogranicza głębokości zagnieżdżenia struktur danych. Zbyt głęboka struktura może spowodować przepełnienie stosu JavaScript, prowadząc do awarii procesu lub usługi.

Handlebars od wersji 4.0.0 do 4.7.10 akceptuje wstępnie sparsowane obiekty AST w metodach compile() i precompile(), walidując tylko wybrane wartości. Atakujący, który może dostarczyć obiekt zamiast stringa szablonu, może umieścić wyrażenia JavaScript w niesprawdzanych wartościach, co prowadzi do wykonania kodu na serwerze. Aplikacje przekazujące tylko stringi szablonów nie są zagrożone. Problem naprawiono w wersji 4.7.10.

Handlebars w wersjach od 3.0.0 do 4.7.10 zawiera podatność polegającą na tym, że funkcja lookupProperty zwraca Function.prototype.constructor przed zastosowaniem listy zabronionych właściwości prototype. Pozwala to osobie atakującej, która może renderować kontrolowany szablon z włączonym allowProtoMethodsByDefault, na dostęp do konstruktora Function przez obejście, co umożliwia wykonanie dowolnego kodu JavaScript z uprawnieniami aplikacji serwera.

W Handlebars od wersji 4.0.0 do 4.7.10 funkcja Handlebars.precompile() używa quotedString() do emitowania statycznego tekstu szablonu do generowanego JavaScriptu bez escapowania sekwencji kończących element script. Gdy aplikacja prekompiluje tekst kontrolowany przez atakującego i osadza wynik w elemencie inline script, atakujący może zamknąć element i wykonać własny kod.

W wtyczce eksportu DICOM w GIMP-ie wykryto przepełnienie bufora oparte na stercie. Podczas eksportowania obrazu o bardzo dużej szerokości i wysokości, ścieżka eksportu przydziela bufor używając iloczynu 32-bitowej szerokości * wysokości (i bajtów na piksel), który może się przepełnić. GEGL następnie zapisuje pełny nieskompresowany obszar do zbyt małego bufora po przepełnieniu liczby całkowitej w rozmiarze alokacji.

W Apache log4net w RemoteSyslogAppender występuje niewłaściwe kodowanie lub escapowanie danych wyjściowych. Wszystkie znaki spoza widocznego ASCII i spacji są usuwane z rekordu zamiast być escapowane, więc tekst nie-ASCII i znaki kontrolne, takie jak tabulatory, znikają bez ostrzeżenia. Może to pozwolić na podszycie się pod inną wartość w logu, np. nazwa użytkownika ze znakiem zero-width space może wyglądać jak 'admin'.

W Apache log4net w EventLogAppender występuje niewystarczające rejestrowanie. Długie komunikaty są obcinane do stałego rozmiaru, który przekracza limit akceptowany przez Windows Event Log po uwzględnieniu nazw logu i źródła, w wyniku czego dziennik zdarzeń nie zapisuje niczego i nie zgłasza problemu. Strona, której dane trafiają do logu, może w ten sposób stłumić cały rekord.

W Apache log4net w konwerterze wzorca aspnet-request występuje niewłaściwa obsługa warunków wyjątkowych. Odczyt parametrów żądania wyzwala walidację żądania ASP.NET, więc żądanie zawierające treść taką jak znaczniki powoduje wyjątek w układzie i odrzucenie całego zdarzenia przez appender. Nadawca może w ten sposób stłumić zapis własnego żądania.

Podatność w SmtpPickupDirAppender w Apache log4net wynika z nieprawidłowej obsługi kodowania Unicode. Treść, której writer nie może zakodować (np. niesparowany surogat UTF-16), powoduje wyjątek przy zapisie, w wyniku czego cała buforowana partia zdarzeń jest odrzucana, a w katalogu pickup może pozostać obcięty plik maila. Dotyczy wyłącznie aplikacji korzystających z SmtpPickupDirAppender w wersjach od 1.2.9 do 3.5.0.

Podatność w OutputDebugStringAppender w Apache log4net polega na nieprawidłowej neutralizacji znaku NUL. Znak NUL w logowanej treści kończy rekord wyjścia debugowania w tym miejscu, przez co wszystko, co layout wyrenderował po nim — w tym tekst wyjątku i pola końcowe — jest po cichu tracone. Dotyczy wyłącznie aplikacji na Windows korzystających z OutputDebugStringAppender w wersjach od 1.2.9 do 3.5.0.

Podatność w EventLogAppender w Apache log4net polega na nieprawidłowej neutralizacji znaku NUL. Znak NUL w logowanej treści kończy rekord Windows Event Log w tym miejscu, przez co wszystko, co layout wyrenderował po nim — w tym tekst wyjątku i pola końcowe — nie zostaje zapisane. Dotyczy wyłącznie aplikacji na Windows korzystających z EventLogAppender w wersjach od 1.2.9 do 3.5.0.

Podatność typu cross-site scripting (XSS) w Apache Commons BCEL wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron HTML. Występuje, gdy używa się Class2HTML do generowania stron dla plików klas potencjalnie kontrolowanych przez atakującego — emitery Class2HTML zapisują ciągi z plików klas do HTML bez escapowania (stored XSS w raportach). Dotyczy wersji przed 6.13.0.

Gitea sprawdza początkowy zdalny URL dla mirrorów push, zdalnych kontroli wiki i pobierania głów pull requestów migracji, ale późniejsze operacje Git podążają za przekierowaniami HTTP bez ponownej walidacji celu. Administrator repozytorium używający dozwolonego punktu końcowego, który przekierowuje, może sprawić, że klient Git Gitea wyśle żądania na adres, który polityka hostów wychodzących w przeciwnym razie zablokowałaby. Wpływ zależy od skonfigurowanej polityki i wewnętrznych usług dostępnych z serwera.