Katalog podatności CVE

W Splunk Enterprise dla Windows w wersjach poniżej 10.4.2, 10.2.6, 10.0.9, 9.4.13 i 9.3.14 lokalny użytkownik z dostępem do hosta Windows może związać się z portem zarządzania przed uruchomieniem Splunk Enterprise, przechwycić tokeny uwierzytelniające z procesów potomnych i użyć tych tokenów do naruszenia wszystkich istotnych danych i integralności systemu dostępnych dla konta użytkownika uruchamiającego Splunk Enterprise. Podatność jest możliwa, ponieważ nasłuch na porcie zarządzania Windows nie stosuje ochrony wyłącznego wiązania adresów przed uruchomieniem usługi.

W Splunk Enterprise przed wersjami 10.4.2, 10.2.6, 10.0.9, 9.4.14 i 9.3.14 nieuwierzytelniony użytkownik może nakłonić innego użytkownika do uruchomienia dowolnych potoków SPL z poziomu Dataset Explorer z uprawnieniami tego użytkownika. Dzieje się tak, ponieważ Dataset Explorer nie waliduje ani nie escapuje nazw zbiorów danych przed budowaniem zapytań SPL i nie stosuje zabezpieczeń SPL dla ryzykownych poleceń. Atak wymaga phishingu, aby ofiara otworzyła spreparowany link.

W Splunk Enterprise przed wersjami 10.4.2, 10.2.6, 10.0.9 i 9.4.14 użytkownik z uprawnieniem schedule_search może uruchamiać dowolne polecenia SPL z najwyższymi uprawnieniami systemowymi i odczytać wszystkie poświadczenia z magazynu poświadczeń. Dzieje się tak, ponieważ konfiguracja akcji alertów dla zaplanowanych wyszukiwań nie ogranicza odpowiednio ustawień akcji alertów specyficznych dla użytkownika przed uruchomieniem akcji przez scheduler.

W Splunk Enterprise przed wersjami 10.4.2, 10.2.6 i 10.0.9 użytkownik bez ról admin lub power może spowodować, że Splunk App for Splunk Observability Cloud będzie przekazywać żądania do Splunk Observability Cloud, w tym token dostępu przechowywany dla aplikacji. Dzieje się tak, ponieważ handlery endpointów REST aplikacji nie egzekwują uprawnienia read_o11y_content przed przekazaniem żądań z tokenem. Podatność nie dotyczy wersji 9.4 i 9.3.

IBM System Storage DS8A00 w wersjach 10.1.3.0 do 10.11.35.0 oraz IBM DS8900F w wersjach 89.40.83.0 do 89.44.25.0 mogą pozwolić uwierzytelnionemu użytkownikowi na utworzenie użytkownika z uprzywilejowanymi rolami z powodu niewłaściwie zdefiniowanych uprawnień z niebezpiecznymi działaniami.

IBM System Storage DS8A00 w wersjach 10.1.3.0 do 10.11.35.0 oraz IBM DS8900F w wersjach 89.40.83.0 do 89.44.25.0 mogą pozwolić atakującemu na ominięcie uwierzytelnienia z powodu nieprawidłowego kodowania danych wyjściowych poleceń DSCLI, co może prowadzić do uzyskania wrażliwych informacji lub spowodować odmowę usługi.

W TRENDnet TV-IP751WIC w wersji 11.03.03 stwierdzono podatność na wstrzykiwanie poleceń w pliku /cgi-bin/admin/set_time.cgi w komponencie alphapd. Manipulacja prowadzi do wykonania dowolnych poleceń. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W TRENDnet TEW-821DAP w wersji 2.2.01b05 stwierdzono podatność na wstrzykiwanie poleceń w funkcji popen/system w pliku /cgi-bin/ping.cgi w komponencie ssi. Manipulacja argumentem ipaddr prowadzi do wykonania dowolnych poleceń. Atak może być przeprowadzony zdalnie, a exploit jest publicznie ujawniony.

W komponencie acm-operator-bundle stwierdzono podatność polegającą na tym, że proces budowy pobiera i uruchamia skrypt ze zdalnego źródła bez weryfikacji jego autentyczności i integralności. Skrypt uzyskuje dostęp do wrażliwych poświadczeń, takich jak tokeny GitHub i hasła do rejestrów, używanych w środowisku budowy. Zdalny atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwego kodu, co prowadzi do nieautoryzowanego dostępu do zasobów budowy i potencjalnego naruszenia integralności pakietu operatora.

W Netty przed wersjami 4.1.137.Final i 4.2.17.Final domyślne konstruktory SniHandler używają ścieżki agregacji ClientHello przed uzgadnianiem, gdzie handshakeBuffer.clear() i writeBytes() kopiują wszystkie wcześniej odebrane bajty dla każdego dodatkowego rekordu TLS. Nieuwierzytelniony zdalny peer może wysłać duży ClientHello w tysiącach małych rekordów, powodując kwadratowy wzrost obciążenia CPU w pętli zdarzeń przed zakończeniem uzgadniania TLS, co pogarsza obsługę TLS dla innych klientów.

W procesie budowania mce-operator-bundle skrypty są pobierane i wykonywane ze zdalnego repozytorium bez weryfikacji integralności, takiej jak przypięcie do konkretnego commita czy weryfikacja podpisu. Osoba atakująca z dostępem do zapisu w tym repozytorium może wstrzyknąć i wykonać dowolny kod podczas budowania. Konsekwencją jest naruszony proces budowania, co może prowadzić do dystrybucji złośliwego oprogramowania.

W LiquidJS przed wersją 10.27.2 filtr join w src/filters/array.ts oblicza złożoność na podstawie długości tablicy i separatora, a nie całkowitej długości wygenerowanego ciągu. Filtr concat może tanio podwajać tablice referencji, a następnie join materializuje treść, obciążając tylko liczbę elementów, co pozwala przekroczyć skonfigurowany memoryLimit. Podobny problem ma filtr array_to_sentence_string, co może prowadzić do awarii procesu.

W Coturn przed wersją 4.13.0 uwierzytelniony użytkownik TURN może umieścić specyfikatory formatu printf w atrybutach STUN USERNAME lub REALM, które przechodzą walidację is_secure_string() i są osadzane w kluczach Redis. Funkcja send_message_to_redis() przekazuje kontrolowany klucz jako argument formatu do redisAsyncCommand(), co może prowadzić do odczytu poza va_list. Eksploitacja może spowodować awarię procesu coturn lub ujawnienie pamięci stosu do Redis.

W usłudze Windows Telephony Service występuje wyścig (race condition) podczas współbieżnego wykonywania z użyciem współdzielonego zasobu. Uwierzytelniony atakujący może wykorzystać tę podatność do lokalnej eskalacji uprawnień.

W LiquidJS od wersji 10.26.0 do 10.27.1 filtr strip_html w src/filters/html.ts może wejść w nieskończoną pętlę, gdy wejściowy ciąg zawiera '<', ma co najmniej jeden poprzedzający znak i nie ma późniejszego '>'. Powoduje to zablokowanie renderowania szablonu i może prowadzić do odmowy usługi przy bardzo krótkim wejściu, np. 'a<'.

W Koel przed wersją 9.7.0 trasy Subsonic-compatible createInternetRadioStation.view i updateInternetRadioStation.view akceptują streamUrl od uwierzytelnionego użytkownika bez sprawdzeń SafeUrl i HasAudioContentType. Przechowywany URL jest przekazywany do RadioStreamProxy::openStream(), który wywołuje fopen($url, 'r', false, $context). Pozwala to na dostęp do wewnętrznych usług HTTP, takich jak loopback, RFC1918, Docker bridge czy metadata.

W Koel przed wersją 9.7.1 ścieżki pobierania podcastów i radia wykonują jednorazowe sprawdzenie isPublicHost() lub isSafeUrl() bez przypięcia zweryfikowanego adresu, a większość ścieżek nie waliduje przekierowań. Pozwala to na podążanie za przekierowaniem do wewnętrznego adresu lub połączenie po zmianie DNS (DNS rebinding). Ścieżki są dostępne przez API podcastów i radia, co umożliwia uwierzytelnionemu użytkownikowi dostęp do wewnętrznych usług lub metadanych chmury.

W Termix przed wersją 2.3.2 endpoint POST /host/db/proxy/test akceptuje pola singleProxy, proxyChain i testTarget bez walidacji adresów docelowych. Ścieżka testProxyConnectivity używa surowych połączeń TCP i SOCKS do wybranych przez atakującego hostów i portów, co pozwala uwierzytelnionemu użytkownikowi na skanowanie localhost, sieci prywatnych, usług link-local metadata i innej infrastruktury. Błędy połączenia ujawniają informacje o dostępności hostów, a dostęp do metadanych może ujawnić poświadczenia chmury.

W Termix przed wersją 2.3.2 endpoint POST /database/export tworzy eksport użytkownika, który zawiera globalną tabelę ustawień, mimo że reszta eksportu jest ograniczona do użytkownika. Tabela ustawień zawiera artefakty resetowania hasła (reset_code_ i temp_reset_token_), co pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach odzyskać kod resetowania innego konta i ukończyć proces resetowania hasła. Skuteczna eksploitacja prowadzi do przejęcia konta lokalnego użytkownika, a w przypadku administratora do przejęcia administracyjnego.

W Termix przed wersją 2.3.2 endpoint tworzenia archiwum w src/backend/ssh/file-manager.ts przekazuje wybrane nazwy plików do tar bez znacznika końca opcji i bez uczynienia operandów jednoznacznie względnymi. Użytkownik z dostępem do sesji menedżera plików SSH może wybrać nazwy zaczynające się od opcji GNU tar, takich jak --checkpoint=1 i --checkpoint-action=exec, co powoduje interpretację tych nazw jako opcji. Wynikowe działanie checkpoint wykonuje polecenia na zarządzanym hoście SSH z uprawnieniami połączonego konta SSH, umożliwiając ujawnienie plików, modyfikację i zakłócenie usług.