Katalog podatności CVE

W kliencie RabbitMQ amqp091-go przed wersją 1.13.0 funkcja readLongstr w read.go zwraca pusty łańcuch i nil zamiast ErrSyntax, gdy zadeklarowana długość longstr przekracza 0x7FFFFFFF. Funkcja pozostawia bajty pola nieodczytane, a readTable kontynuuje parsowanie od błędnego offsetu. Złośliwy lub przejęty broker może dostarczyć zbyt duży longstr i zdesynchronizować parsowanie AMQP.

W kliencie RabbitMQ amqp091-go przed wersją 1.13.0 funkcja writeShortstr w write.go rzutuje długość wartości właściwości shortstr na uint8 bez odrzucenia wartości dłuższych niż 255 bajtów. Aplikacja przyjmująca zbyt długie wartości CorrelationId, ReplyTo, MessageId, Expiration, UserId, AppId, ContentType, ContentEncoding lub Type może zapisać zawiniętą długość i obcięty prefiks bez zgłoszenia błędu.

W kliencie RabbitMQ amqp091-go przed wersją 1.13.0 funkcja tlsConfigFromURI w uri.go tworzy konfiguracje tls.Config bez ustawienia MinVersion na tls.VersionTLS12. Kompilacje używające środowiska Go, którego domyślne ustawienia dopuszczają TLS 1.0 lub TLS 1.1, mogą wynegocjować przestarzałą wersję protokołu podczas łączenia przez URI amqps.

Przepełnienie stosu podczas nieuwierzytelnionego procesu logowania może pozwolić atakującemu na zdalne wykonanie dowolnego kodu z uprawnieniami roota. Podatność dotyczy procesu logowania dostępnego bez uwierzytelnienia.

Nozomi Networks Labs zidentyfikowało podatność CWE-78 (wstrzyknięcie poleceń OS) w usłudze zarządzającej edgserver urządzenia Advantech EKI-1242EIMS w wersji firmware V1.06.01. Umożliwia ona zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnych poleceń OS jako root poprzez spreparowane żądania do portu TCP 5058.

Router WNC T-Mobile 5G Box IDU zawiera podatność na wstrzyknięcie poleceń OS w funkcji zmiany hasła komponentu portal.cgi. Aplikacja nie neutralizuje prawidłowo znaków specjalnych w parametrach http_passwd_hidden i http_passwdConfirm_hidden, co pozwala uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń w systemie operacyjnym z uprawnieniami roota. Problem naprawiono w firmware 1.1.0.651412.

Router WNC T-Mobile 5G Box IDU jest podatny na wstrzyknięcie poleceń OS w punkcie końcowym /cgi-bin/portal.cgi, konkretnie poprzez parametr POST cli_cookie. Wartość parametru cli_cookie jest bezpośrednio łączona z ciągiem polecenia find bez prawidłowej sanityzacji, co pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wstrzyknięcie i wykonanie dowolnych poleceń powłoki jako root. Problem naprawiono w firmware 1.1.0.651412.

Router WNC T-Mobile 5G Box IDU jest podatny na wstrzyknięcie poleceń w funkcji ping w punkcie końcowym /cgi-bin/portal.cgi, konkretnie w parametrach POST ping_ip, ping_size i ping_times. Przyczyną jest brak weryfikacji i sanityzacji danych wejściowych przed użyciem ich w poleceniu systemowym, co pozwala uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń powłoki i uzyskanie dostępu roota. Problem naprawiono w firmware 1.1.0.651412.

W jądrze Linux naprawiono podatność w funkcji skb_zerocopy(), która nieprawidłowo wywoływała skb_tx_error() na źródłowym skb podczas kopiowania fragów. To powodowało zakończenie uarg zerocopy i wyczyszczenie flagi SKBFL_SHARED_FRAG na skb, który nadal był używany przez stos sieciowy. W szczególności na ścieżce OVS_ACTION_ATTR_USERSPACE skb nie był zwalniany po błędzie, co mogło prowadzić do dekryptowania danych ESP w miejscu, gdzie skb nie posiadał prywatnie fragów, co mogło powodować uszkodzenie danych lub inne problemy.

W jądrze Linux w funkcji ni_create_attr_list() (system plików ntfs3) występuje błąd zapisu poza granicami bufora (slab-out-of-bounds write). Funkcja przydziela bufor o stałym rozmiarze równym rozmiarowi rekordu MFT, a następnie zapisuje wpisy ATTR_LIST_ENTRY dla każdego atrybutu bez sprawdzania końca bufora. Złośliwy obraz NTFS z odpowiednio spreparowanymi atrybutami może spowodować przepełnienie bufora sterty.

W jądrze Linux wykryto podatność w systemie plików Ceph, gdzie funkcja ceph_fname_to_usr() przekazywała bufory z regionu vmalloc() do API kryptograficznego fscrypt, które wymaga buforów w liniowym obszarze pamięci. Może to powodować błędy (oops) systemu, szczególnie na platformach innych niż x86. Poprawka dodaje obsługę buforów vmalloc() poprzez użycie tymczasowego bufora pośredniego.

W jądrze Linux funkcja nfsd4_revoke_export_states() zwalnia blokadę nn->client_lock, ale trzymany referencja stateid nie utrzymuje przy życiu klienta. Równoległe zakończenie klienta może zwolnić go, podczas gdy revoke_one_stid() nadal go używa, powodując use-after-free.

W jądrze Linux wpis nfs4_openowner pozostawiony na nn->close_lru trzyma tylko surowy wskaźnik do nfs4_client. Gdy laundromat zwalnia wpisy, zwalnia blokadę client_lock i wywołuje nfs4_put_stid(), równoległe force_expire_client() może zwolnić klienta, powodując użycie zwolnionej pamięci.

W jądrze Linux właściciel blokady pozostawiony na nn->blocked_locks_lru trzyma tylko surowy wskaźnik do nfs4_client. Gdy laundromat zwalnia taką blokadę, końcowe nfs4_put_stateowner() sięga po cl_lock klienta, którego równoległe force_expire_client() mogło już zwolnić, powodując use-after-free.

W jądrze Linux w funkcji __spi_map_msg() występuje błąd w zarządzaniu własnością mapowań DMA przy częściowym niepowodzeniu mapowania. Gdy mapowanie RX lub TX się nie powiedzie, flagi i wskaźniki urządzeń nie są prawidłowo czyszczone, co może prowadzić do ponownego odmapowania lub użycia NULL/starego wskaźnika urządzenia. Może to wywołać oops jądra.

W jądrze Linux w podsystemie scsi target iscsi funkcja iscsi_target_check_login_request() nie rezerwuje bajtu terminatora NUL dla bufora logowania. Przy payload_length od 8189 do 8192 cały bufor 8192 bajtów jest wypełniany, a następnie przetwarzany jako string C, co prowadzi do odczytu poza buforem. Podatność jest osiągalna przez nieuwierzytelnionego inicjatora przy konfiguracji CHAP.

W jądrze Linux funkcja ceph_mds_check_access() przegląda tablicę s_cap_auths bez trzymania mutexa. Równoczesne ponowne otwarcie sesji MDS może zwolnić tę tablicę w trakcie jej przeglądania, prowadząc do użycia po zwolnieniu (use-after-free).

W jądrze Linux w funkcji nvme_alloc_ns() ścieżka błędu usuwa namespace z listy rodzeństwa za pomocą list_del_rcu(), ale nie czeka na zakończenie czytelników SRCU przed zwolnieniem struktury namespace. Współbieżny czytelnik w kodzie multipath może wciąż trzymać referencję do ns w momencie wywołania kfree(ns), co prowadzi do use-after-free.

W jądrze Linux funkcja nvmet_auth_sq_free() anuluje zadanie auth_expired_work za pomocą cancel_delayed_work(), które nie czeka na zakończenie już uruchomionego callbacku. W wyniku tego podczas demontażu transportu kolejka zawierająca struct nvmet_sq może zostać zwolniona lub ponownie użyta, gdy nvmet_auth_expired_work() wciąż uzyskuje do niej dostęp.

W jądrze Linux funkcja nvmet_tcp_try_recv_pdu() oblicza pozostałą długość ładunku PDU bez sprawdzenia, czy nie przekracza ona rozmiaru bufora queue->pdu. Gdy wynegocjowany jest digest nagłówka, zduplikowany pakiet ICReq powoduje zapis 4 bajtów poza końcem 128-bajtowego bufora, nadpisując pola queue->hdr_digest i queue->data_digest danymi kontrolowanymi przez atakującego.