Katalog podatności CVE

Rozszerzenie Joomla Balbooa Forms w wersjach przed 2.4.3.2 zawiera podatność na manipulację kwotą płatności przed autoryzacją. Endpointy stripeCharges i payAuthorize przyjmują całkowitą kwotę z parametru kontrolowanego przez klienta i przekazują ją do bramki płatności bez ponownego przeliczenia na podstawie skonfigurowanych cen produktów. Endpointy nie wymuszają uwierzytelnienia ani kontroli CSRF. Nieuwierzytelniony atakujący może kupić dowolny produkt za dowolną kwotę (np. 0,01 USD) oraz sfałszować pozycje, ilości i koszty wysyłki.

Podatność na wstrzyknięcie SQL w wtyczce Community by PeepSo w wersjach do 9.0.5.2. Atakujący z rolą subskrybenta może wykorzystać tę lukę do manipulacji zapytaniami do bazy danych.

Nieuwierzytelnione podatność na Cross Site Scripting (XSS) w wtyczce Newsletter w wersjach do 9.3.3. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.

Nieuwierzytelnione podatność na Cross Site Scripting (XSS) w wtyczce Contest Gallery w wersjach do 30.0.5. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.

Podatność na wstrzyknięcie SQL w wtyczce YITH WooCommerce Membership Premium w wersjach do 2.33.0. Atakujący z rolą subskrybenta może wykorzystać tę lukę do manipulacji zapytaniami do bazy danych.

Podatność w NetScaler ADC i NetScaler Gateway. Dotyczy wersji ADC od 14.1 do 73.32 oraz od 13.1 do 63.21; Gateway od 14.1 do 73.32 oraz od 13.1 do 63.21.

Framework AIL zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w funkcji przesyłania do crawlera. Uwierzytelniony użytkownik z niskimi uprawnieniami może przesłać dowolny adres URL do przeszukania bez odpowiedniej walidacji hosta docelowego. Atakujący może wykorzystać serwer AIL jako punkt pośredni do uzyskania dostępu do usług wewnętrznych, w tym adresów pętli zwrotnej, sieci prywatnych i metadanych chmury.

Net::OAuth dla Perla przed wersją 0.33 sprawdza podpisy HMAC-SHA1, HMAC-SHA256 i PLAINTEXT za pomocą porównania nie w stałym czasie w funkcji verify. Każde z trzech porównań używa operatora eq, który zwraca wynik natychmiast po wykryciu różnicy, co pozwala na odtworzenie podpisu bajt po bajcie na podstawie czasu odpowiedzi. W przypadku PLAINTEXT porównywana wartość to sam klucz podpisu, co umożliwia odzyskanie consumer_secret i token_secret.

Kod zrzutu rdzenia ELF zliczał liczbę wpisów mapy VM, które można zrzucić, alokował bufor dla odpowiednich nagłówków programów, a następnie iterował po mapie drugi raz, aby je wypełnić. Proces współdzielący przestrzeń adresową przez rfork(2) może zmienić mapę między dwoma przebiegami, co powoduje zapis nagłówków programów poza końcem bufora. Nieuprzywilejowany użytkownik lokalny współdzielący przestrzeń adresową z procesem, który zrzuca rdzeń, może wywołać zapis poza zakresem na stercie jądra, potencjalnie prowadząc do eskalacji uprawnień.

Polecenia GETALL i SETALL w semctl(2) rejestrowały liczbę semaforów w docelowym zestawie, zwalniały blokadę chroniącą zestaw, alokowały bufor o rozmiarze odpowiadającym tej liczbie i ponownie przejmowały blokadę. Do weryfikacji, czy zestaw nie został zastąpiony w międzyczasie, używano sprawdzenia numeru sekwencji, ale numer sekwencji zawija się po 0x8000 cyklach tworzenia/niszczenia. Poprzez szybkie niszczenie i odtwarzanie zestawów semaforów pod tym samym indeksem, inny proces może spowodować zawinięcie numeru sekwencji, co pozwala zestawowi z inną liczbą semaforów przejść walidację. Kolejna kopia odczytuje lub zapisuje poza końcem przydzielonego bufora. Nieuprzywilejowany użytkownik lokalny może wywołać odczyty i zapisy poza zakresem na pamięci sterty jądra, potencjalnie prowadząc do eskalacji uprawnień.

W wyniku niezamierzonego efektu ubocznego niepowiązanej zmiany kodu, PRIV_KTRACE był zawsze odmawiany uwięzionemu użytkownikowi root. Śledzenie skonfigurowane przez uwięzionego roota nie było zatem oznaczane jako uprzywilejowane. Nieuprzywilejowany użytkownik w więzieniu, który ma uprawnienia do debugowania procesu docelowego, może zmodyfikować flagi ktrace(2) uwięzionego roota lub całkowicie wyłączyć śledzenie. Uwięziony root nie może zatem wiarygodnie śledzić nieuprzywilejowanych procesów.

Po wysłaniu operacji deszyfrowania do OCF i otrzymaniu wyniku, sterownik wg(4) nie sprawdzał, czy krok weryfikacji MAC zakończył się sukcesem. Sterownik w ten sposób po cichu akceptował pakiety z nieprawidłowym tagiem uwierzytelniającym Poly1305. Zdalny atakujący, który może wysyłać pakiety UDP do punktu końcowego WireGuard i który może odgadnąć granice okna powtórzeń odbiorcy, może wstrzyknąć sfałszowane lub zmodyfikowane pakiety danych transportowych do tunelu. Zdalny atakujący, który może przechwycić pakiety WireGuard przeznaczone dla hosta FreeBSD, może zmodyfikować szyfrogram i uwierzytelnione dane bez wykrycia przez odbiorcę.

Podczas kopiowania knotes w trakcie fork, knote z filtrem opartym na timerze mógł zostać wyzwolony i umieszczony na liście aktywnej kqueue przed zakończeniem kopiowania. Procedura kopiowania nie uwzględniała tego i mogła umieścić nowy knote po raz drugi, uszkadzając listę aktywną. Ponadto procedura kopiowania nie trzymała odpowiednich blokad podczas odczytu stanu knote, co pozwalało na dalsze wyścigi. Nieuprzywilejowany użytkownik lokalny może wywołać use-after-free w jądrze, potencjalnie prowadząc do eskalacji uprawnień.

Wtyczka TranslatePress dla WordPressa do wersji 3.2.5 włącznie jest podatna na nieuwierzytelnione przechowywane Cross-Site Scripting (XSS). Specjalne znaczniki gettext '#!trpst#' i '#!trpen#' są bezwarunkowo zamieniane na '<' i '>' przez funkcję translate_page(). Nieuwierzytelniony atakujący może osadzić te znaczniki w komentarzu, a po wyświetleniu posta w drugim języku znaczniki zamieniają się w prawdziwy tag <img>, co umożliwia wykonanie złośliwego skryptu w przeglądarce odwiedzającego.

Wtyczka WP Statistics dla WordPressa do wersji 14.16.8 włącznie jest podatna na przechowywane Cross-Site Scripting (XSS) poprzez parametr 'utm_campaign'. Brak odpowiedniej sanityzacji wejścia i escapingu wyjścia umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony. Atak można przeprowadzić bez uwierzytelnienia przez publiczny endpoint REST /wp-statistics/v2/hit.

Ioctl ZFS_IOC_RECV_NEW, w ścieżce uzdrawiania (heal receive), podobnie obcinał 64-bitowy rozmiar ładunku do 32-bitowej liczby całkowitej dla alokacji, a następnie używał oryginalnego 64-bitowego rozmiaru jako długości dla operacji byteswap. Lokalny użytkownik z delegowanym uprawnieniem ZFS "receive" może wywołać uszkodzenie pamięci jądra przez ZFS_IOC_RECV_NEW, wysyłając spreparowany strumień odbioru w trybie heal.

Ioctl ZFS_IOC_USERSPACE_MANY, używany przez zfs-userspace(8), obcinał 64-bitowy rozmiar bufora wyjściowego do 32-bitowej liczby całkowitej dla alokacji w jądrze, ale używał oryginalnego 64-bitowego rozmiaru jako limitu bufora podczas zapisywania rekordów. Lokalny użytkownik z delegowanym uprawnieniem ZFS "userused" może wywołać przepełnienie sterty jądra przez ioctl ZFS_IOC_USERSPACE_MANY, potencjalnie eskalując uprawnienia.

Niektóre wywołania systemowe, takie jak open(2) z flagą O_TRUNC oraz fspacectl(2), mogły nieprawidłowo zwalniać pamięć w obiektach largepage. Operacje te nie są dozwolone na obiektach largepage, ale implementacja tego nie weryfikowała. Nieuprzywilejowany lokalny użytkownik może wykorzystać ten błąd, aby uzyskać dostęp do zwolnionej pamięci jądra, co może prowadzić do eskalacji uprawnień.

Strony należące do obiektów pamięci współdzielonej largepage nie były jawnie przypięte (wired). Gdy sendfile(2) przesyłał taki obiekt z flagą SF_NOCACHE, zwalniał bazowe strony po transmisji, mimo że istniejące mapowania nadal się do nich odnosiły. Nieuprzywilejowany lokalny użytkownik może wykorzystać ten błąd, aby uzyskać dostęp do zwolnionej pamięci jądra, co może prowadzić do eskalacji uprawnień.

Handler setsockopt(2) dla RACK zwalnia blokadę połączenia, aby skopiować dane opcji z przestrzeni użytkownika, a następnie ponownie ją przejmuje. Po ponownym przejęciu weryfikuje, czy stos TCP nie został przełączony, ale nie przeładowuje swojego wskaźnika do bloku sterowania połączeniem stosu. Jeśli przestrzeń użytkownika przełączy stosy dwukrotnie w tym oknie, kontrola zakończy się sukcesem, ale zapisany wskaźnik będzie odnosił się do zwolnionej pamięci. Ten błąd może być wykorzystany przez nieuprzywilejowanego lokalnego użytkownika do eskalacji uprawnień.