Katalog podatności CVE

W komponencie iscsiuio projektu open-iscsi znaleziono podatność polegającą na niedomiarze liczby całkowitej i odczycie poza zakresem podczas parsowania pakietów DHCPv6. Specjalnie spreparowany ruch DHCPv6 Advertise z krótkim polem długości UDP może spowodować niedomiar długości ładunku DHCPv6. Nieuwierzytelniony atakujący w sąsiednim segmencie sieci może to wykorzystać, wysyłając specjalnie spreparowany ruch IPv6 UDP podczas aktywnej wymiany DHCPv6, co prowadzi do odmowy usługi przez awarię procesu lub zakłócenie działania.

W open-iscsi znaleziono podatność umożliwiającą zdalnemu atakującemu w tej samej sieci lokalnej wywołanie odmowy usługi (DoS) w demonie iscsiuio. Wysyłając specjalnie spreparowany komunikat ICMPv6 Router Advertisement z opcją o zerowej długości, atakujący może wywołać nieskończoną pętlę. Prowadzi to do ciągłego zużycia procesora, czyniąc demona niezdolnym do odpowiedzi i wpływając na dostępność systemu. Istnieje również ryzyko odczytów poza zakresem przy krótkim ładunku IPv6, choć nie potwierdzono uszkodzenia pamięci ani wycieku danych.

Loofah to biblioteka do manipulacji dokumentami HTML/XML. Przed wersją 2.25.2 sanitizer HTML5 w Loofah stosuje ograniczenie lokalnych referencji tylko do atrybutu xlink:href w elementach SVG use i feImage, podczas gdy przeglądarki akceptują również zwykły atrybut href. Spreparowany zasanitizowany SVG może więc odwoływać się do dowolnego zewnętrznego dokumentu z tego samego pochodzenia; użycie może renderować zewnętrzne treści SVG zawierające skrypty lub inne niebezpieczne treści, a feImage może ładować zewnętrzne obrazy w celu śledzenia. Aplikacje, które sanityzują SVG dostarczane przez użytkowników za pomocą domyślnej listy dozwolonych Loofah, są dotknięte. Problem naprawiono w wersji 2.25.2.

Russh to biblioteka SSH klienta i serwera w języku Rust. Przed wersją 0.62.4 nieuwierzytelniony klient SSH może spowodować odmowę usługi, wysyłając SSH_MSG_KEX_ECDH_INIT z 32-bajtową wartością Q_C składającą się z samych zer. Funkcja Curve25519Kex::server_dh w russh/src/kex/curve25519.rs akceptuje zerową wartość publiczną peer i oblicza zerowy wspólny sekret, po czym compute_exchange_hash wywołuje encode_mpint w russh/src/kex/mod.rs i indeksuje poza koniec danych wejściowych podczas pomijania wiodących zer. Panika występuje przed uwierzytelnieniem i kończy zadanie wymiany kluczy serwera. Problem naprawiono w wersji 0.62.4.

Russh to biblioteka SSH klienta i serwera w języku Rust. Przed wersją 0.62.4 złośliwy serwer SSH może spowodować awarię sesji klienta russh za pomocą nieprawidłowej odpowiedzi KEX_ECDH_REPLY zawierającej wartość efemeryczną serwera, która nie ma 32 bajtów. Funkcja Curve25519Kex::compute_shared_secret po stronie klienta w russh/src/kex/curve25519.rs przekazuje zdekodowaną wartość exchange.server_ephemeral do clone_from_slice bez walidacji jej długości, co powoduje deterministyczną panikę przed weryfikacją klucza hosta serwera. Panika kończy zadanie sesji klienta i objawia się jako JoinError, podczas gdy proces osadzający zwykle pozostaje uruchomiony. Problem naprawiono w wersji 0.62.4.

Astro to framework webowy dla stron opartych na treści. Od wersji 7.0.0 do 7.0.6 komponowalny potok astro/hono instaluje security.checkOrigin tylko przez prymityw middleware(), podczas gdy actions() i pages() mogą wywoływać kod użytkownika niezależnie. Zamontowanie actions() przed middleware(), jak w przykładzie advanced-routing i dokumentacji Cloudflare Hono, pozwala na wykonanie żądań akcji w formacie formularza z innego pochodzenia przed sprawdzeniem pochodzenia, a użycie pages() bez middleware() pomija sprawdzenie dla punktów końcowych i stron na żądanie. Błąd umożliwia ślepą, tylko do zapisu, podatność na fałszowanie żądań między witrynami (CSRF) z użyciem ciasteczek ofiary przeciwko ActionHandler.handle i PagesHandler.handleWithErrorFallback, gdy manifest.checkOrigin jest włączony; atakujący może wywołać akcję zmieniającą stan lub handler punktu końcowego, ale nie może odczytać odpowiedzi z innego pochodzenia. Domyślny niekomponowalny potok astro() nie jest dotknięty. Problem naprawiono w wersji 7.0.6.

Astro to framework webowy dla stron opartych na treści. Od wersji 2.9.0 do 7.1.0 generator CSS dla View Transition po stronie serwera interpoluje właściwości animacji do elementu stylu inline bez ich escapowania dla kontekstów CSS i HTML. Wartość animacji View Transition kontrolowana przez atakującego, taka jak czas trwania, może zakończyć wygenerowany element stylu i wstrzyknąć dowolny HTML lub JavaScript. Dotknięty kod to packages/astro/src/runtime/server/transition.ts; renderTransition przekazuje sheet.toString() do markHTMLString(), podczas gdy addAnimationProperty serializuje czas trwania przez toTimeValue() i obsługuje również easing, direction, delay, fillMode i name. Wykorzystanie wymaga trasy na żądanie lub renderowanej po stronie serwera, aby przekazać dane kontrolowane przez atakującego do definicji animacji View Transition i może wykonać dowolny JavaScript w pochodzeniu dotkniętej aplikacji, umożliwiając dostęp do wrażliwych danych strony i uwierzytelnionych akcji dostępnych dla ofiary. Problem naprawiono w wersji 7.1.0.

NextAuth.js przed wersjami @auth/core 0.41.3, next-auth 4.24.15 i 5.0.0-beta.32 przechowuje wartości kontrolne OAuth/OIDC (state, nonce, PKCE verifier) w globalnych plikach cookie niezwiązanych z dostawcą, który je utworzył. Atakujący może wykorzystać to do połączenia swojego konta z kontem ofiary w aplikacjach z wieloma dostawcami i linkowaniem kont.

rConfig przed wersją 8.2.13 zawiera podatność na path traversal w metodzie download_export(), umożliwiającą uwierzytelnionym atakującym odczyt dowolnych plików poprzez podanie sekwencji ../ w parametrze filename. Można uzyskać dostęp do plików wrażliwych, takich jak pliki środowiskowe z kluczami szyfrowania, danymi bazy danych i konfiguracją poczty.

MongoDB Schema Manager i MongoDB Atlas SQL ODBC Driver nie walidują schematu URI w endpointach autoryzacji i tokenów zwracanych przez dokument discovery OIDC. Użytkownik nakłoniony do połączenia z niekontrolowanym wdrożeniem MongoDB przy użyciu uwierzytelniania MONGODB-OIDC może mieć niekontrolowany URI przekazany do domyślnego handlera protokołu systemu operacyjnego, co może ujawnić poświadczenia lub prowadzić do wykonania kodu.

MongoDB SQL Schema Builder CLI zapisuje swoją konfigurację startową na standardowe wyjście oraz, gdy włączone jest logowanie do pliku, do pliku dziennika. Niektóre ustawienia połączenia były zapisywane bez maskowania, więc materiały uwierzytelniające podane przez operatora mogły pojawić się w postaci zwykłego tekstu w tych danych diagnostycznych. Lokalny użytkownik z dostępem do sesji terminala lub katalogu dziennika, lub każdy z dostępem do miejsca, gdzie te logi są zbierane, mógł uzyskać te wartości.

W komponencie provider-credential-controller w multicluster-engine (MCE) znaleziono błąd. Atakujący z określonymi uprawnieniami na klastrze hub i znajomością poprzedniej wartości poświadczeń może wykorzystać obejście autoryzacji. Manipulując etykietami `copiedFrom`, atakujący może przechwycić nowo rotowane poświadczenia dostawcy, prowadząc do nieautoryzowanego ujawnienia informacji.

Sterownik MongoDB BI Connector ODBC konwertuje wartości kolumn zmiennoprzecinkowych na tekst bez sprawdzania, czy wynik mieści się w buforze docelowym. Gdy aplikacja odczytuje wystarczająco dużą wartość zmiennoprzecinkową jako tekst, sterownik może zapisać poza końcem bufora i uszkodzić sąsiednią pamięć. Użytkownik, który może przechowywać dane w kolekcji odczytywanej przez BI Connector, może wykorzystać to do spowodowania awarii aplikacji wykonującej odczyt.

IBM Db2 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 dla Linux, UNIX i Windows (w tym DB2 Connect Server) może umożliwić lokalnemu atakującemu uzyskanie wrażliwych informacji z powodu logowania haseł w postaci zwykłego tekstu w plikach śledzenia.

IBM Security Verify Access 10.0 do 10.0.9.2, IBM Verify Identity Access 11.0 do 11.0.3 oraz IBM Verify Identity Access Container 11.0 do 11.0.3 Reverse Proxy w niektórych konfiguracjach mogą zapewniać słabszą niż oczekiwano walidację kryptograficzną danych dostarczonych przez użytkownika.

IBM Db2 11.5.0 do 11.5.9 oraz 12.1.0 do 12.1.5 jest dotknięty podatnością nieprawidłowej autoryzacji w pewnym poleceniu, umożliwiającą nieuprzywilejowanemu użytkownikowi ominięcie kontroli uprawnień i modyfikację danych katalogu bazy danych.

IBM Security Verify Access 10.0 do 10.0.9.2, IBM Verify Identity Access 11.0 do 11.0.3 oraz IBM Verify Identity Access Container 11.0 do 11.0.3 są podatne na atak typu odmowa usługi.

W GStreamer gst-plugins-good (avidemux) w funkcji gst_avi_demux_riff_parse_vprp() liczba dostępnych wpisów gst_riff_vprp_video_field_desc jest obliczana przez podzielenie rozmiaru bufora przez kontrolowaną przez atakującego wartość vprp->fields, zamiast przez sizeof(gst_riff_vprp_video_field_desc). Może to spowodować, że parser potraktuje więcej deskryptorów pól jako dostępnych, niż mieści się w buforze wejściowym, co prowadzi do odczytów poza zakresem. Przetworzenie spreparowanego pliku AVI przez playbin/decodebin może spowodować awarię aplikacji (odmowa usługi).

W GStreamer gst-plugins-good (avidemux) podczas parsowania metadanych FUJIFILM w fragmencie AVI strd, funkcja gst_avi_demux_parse_strd() zmniejsza licznik pozostałej długości o stałe przesunięcia (98 i 10 bajtów) bez weryfikacji, czy pozostało wystarczająco danych. Dla spreparowanych danych strd o dokładnie 106 lub 107 bajtach licznik przechodzi do bardzo dużej wartości bez znaku, co powoduje, że skanowanie ciągów zakończonych nullem czyta daleko poza przydzielonym buforem sterty. Normalizacja formatu daty może również zapisywać poza koniec bufora. Potwierdzone skutki obejmują odczyt poza zakresem sterty, zapis poza zakresem, ujawnienie informacji ze sterty (sąsiednie dane pojawiają się w parsowanych metadanych) oraz awarię aplikacji/odmowę usługi. Element avidemux jest automatycznie podłączany przez playbin, decodebin i gst-discoverer, więc otwarcie lub podgląd spreparowanego pliku AVI wystarczy do wywołania problemu.

Shescape to prosta biblioteka do escapowania dla JavaScript. Przed wersjami 2.1.14 i 3.0.1, podatność dotyczy użytkowników Shescape na systemach Unix, którzy jawnie skonfigurują shell na Zsh lub true, gdy domyślnym shellem jest Zsh, używając escape i escapeAll. Opcje Zsh EXTENDED_GLOB i MAGIC_EQUAL_SUBST pogarszają problem. W niektórych przypadkach atakujący może wykorzystać ekspansję katalogu domowego i składnię rozszerzonych globów, aby uzyskać listy plików i katalogów w systemie. W zależności od tego, co robi polecenie, może to być użyte do wycieku większej ilości informacji. Problem został naprawiony w wersjach 2.1.14 i 3.0.1.