Katalog podatności CVE

Podatność w Progress MOVEit Transfer pozwala na obejście uwierzytelniania poprzez użycie alternatywnej ścieżki lub kanału. Problem dotyczy wersji przed 2025.1.6 oraz wersji od 2026.0.0 do 2026.0.4.

Podatność w Progress MOVEit Transfer wynika z nieprawidłowego przypisania uprawnień do krytycznego zasobu. Problem dotyczy wersji przed 2025.1.6 oraz wersji od 2026.0.0 do 2026.0.4.

W bibliotece DPDK lib/vhost wykryto błąd. Rozmiar pamięci nie jest odpowiednio weryfikowany przed mmap podczas konfiguracji regionu pamięci vhost, co może prowadzić do awarii hosta lub uszkodzenia pamięci.

Dokku przed wersją 0.38.25 umożliwia użytkownikowi z dostępem do aplikacji i zdalnym SSH do wykonywania poleceń docker-options przechowywanie dowolnych ciągów znaków, które są później łączone do DOCKER_ARGS i przetwarzane przez Bash eval podczas budowania, wdrażania lub uruchamiania. Podstawienia poleceń w zapisanych wartościach są interpretowane na hoście, umożliwiając wykonanie dowolnych poleceń z uprawnieniami użytkownika dokku.

W VeraCrypt w wersji 1.26.29 i wcześniejszych wybrane procedury obsługi IOCTL w sterowniku Windows veracrypt.sys przyjmują ścieżki obiektów menedżera obiektów i urządzeń szersze niż wymagają tego przepływy pracy VeraCrypt. Lokalny użytkownik mogący otworzyć celowo dostępne urządzenie \\.\VeraCrypt może wywołać wyszukiwania dowiązań symbolicznych lub urządzeń dyskowych w kontekście jądra poza zamierzonym zakresem ścieżek. Może to ujawnić mało wrażliwe informacje o literach dysków, partycjach, geometrii dysku, stanie GPT lub MBR oraz ograniczone metadane ścieżek menedżera obiektów.

Dell Terraform Provider for Redfish w wersjach od 1.1.0 do 1.6.1 zawiera podatność typu Exposure of Sensitive Information to an Unauthorized Actor (ujawnienie poufnych informacji nieuprawnionemu podmiotowi) w komponencie zasobu redfish_certificate. Wysoko uprzywilejowany atakujący z dostępem zdalnym może potencjalnie wykorzystać tę podatność, prowadząc do ujawnienia informacji.

RabbitMQ to broker komunikatów i strumieniowania. Od wersji 4.0.0 do 4.0.24, 4.1.15, 4.2.10 i 4.3.4 zoptymalizowany parser server_mode AMQP 1.0 w deps/amqp10_common/src/amqp10_binary_parser.erl dopasowuje tekstowe prefiksy deskryptorów treści typu symbolic data, sequence i value bez weryfikacji ich zakodowanych długości symboli. Uwierzytelniony wydawca AMQP 1.0 z uprawnieniami zapisu może przesłać poprawnie sformułowany nieznany deskryptor rozpoczynający się od zarejestrowanego deskryptora treści, a RabbitMQ błędnie klasyfikuje i zapisuje bajty jako standardową sekcję treści. Ścisłe odbiorniki AMQP 1.0 mogą zakończyć działanie podczas dekodowania zapisanego wpisu. Dla treści błędnie sklasyfikowanych jako data, konwersja AMQP 0-9-1 lub inna konwersja międzyprotokołowa wykonuje pełne dekodowanie treści i może zakończyć proces protokołu odbiornika, przy czym dostarczanie wymagające potwierdzenia pozwala na powtarzające się awarie. Klasyfikacje sequence i value są normalnie transportowane jako nieprzezroczyste zakodowane ładunki na tej ścieżce konwersji. Broker pozostaje aktywny, a problem nie omija routingu ani autoryzacji. Problem naprawiono w wersjach 4.0.24, 4.1.15, 4.2.10 i 4.3.4.

RabbitMQ to broker komunikatów i strumieniowania. Od wersji 4.0.0 do 4.0.24, 4.1.15, 4.2.10 i 4.3.4 plik deps/amqp10_common/src/amqp10_binary_parser.erl materializuje każdy element tablic AMQP 1.0, których wspólny konstruktor ma zerową szerokość, ograniczając jedynie liczbę elementów w każdej tablicy, a nie łączne tablice w ramce. Po zakończeniu uwierzytelniania SASL nisko uprzywilejowany klient może wysłać zwykłą ramkę zawierającą wiele indywidualnie dozwolonych tablic, powodując rozszerzenie małej ramki do bardzo dużej sterty procesu czytnika przed późniejszą walidacją ramki lub autoryzacją. Ponieważ deps/rabbit/src/rabbit_amqp_reader.erl usuwa zabezpieczenie max_heap_size przed uwierzytelnianiem po zalogowaniu, powtarzane lub równoczesne ramki mogą wywołać alarm pamięci na poziomie węzła, zablokować wydawców lub wyczerpać pamięć brokera. Problem naprawiono w wersjach 4.0.24, 4.1.15, 4.2.10 i 4.3.4.

YOURLS w wersji przed 1.10.5 nie sanityzuje ścieżki żądania w funkcji yourls_get_request(), przez co sekwencje przejścia katalogowego (kropki i ukośniki) są zachowywane i trafiają do file_exists() oraz include() w katalogu YOURLS_PAGEDIR. Nieuwierzytelniony zdalny atakujący może wyjść poza katalog stron i dołączyć lokalny plik PHP już obecny na serwerze, powodując jego wykonanie w procesie webowym YOURLS. Problem naprawiono w wersji 1.10.5.

W util-linux przed wersją 2.41.4 funkcja parse_dos_extended() w libblkid/src/partitions/dos.c oblicza sektor początkowy partycji rozszerzonej za pomocą dodawania 32-bitowego i nie stosuje kontroli granic obszaru rozszerzonego do pierwszych dwóch wpisów EBR. Lokalny atakujący, który spowoduje przeskanowanie spreparowanego obrazu dysku lub nośnika z rozszerzoną partycją DOS, może spowodować zawinięcie cur_start + start do sektora zerowego i fałszywe zgłoszenie partycji nakładającej się na MBR.

W util-linux w wersjach od 2.39.1 do 2.41.4 oraz od 2.42 do 2.42.1 narzędzie SUID mount odczytuje kontrolowaną przez atakującego zmienną środowiskową LIBMOUNT_FORCE_MOUNT2 za pomocą getenv(), co pozwala lokalnemu użytkownikowi o niskich uprawnieniach wymusić nieatomową, starszą ścieżkę montowania bind. Przy montowaniu bind w /etc/fstab autoryzowanym przez user lub users i chronionym przez nosuid, noexec lub nodev, atakujący może wykorzystać wyścig między początkowym montowaniem bind a ponownym montowaniem stosującym te flagi bezpieczeństwa i wykonać program SUID z tymczasowo niechronionego montowania, potencjalnie uzyskując uprawnienia roota.

Biblioteka rapidcsv to parser CSV w C++. W wersjach przed 8.99 funkcje RemoveColumn, InsertColumn, RemoveRow, InsertRow i GetColumnNames konwertowały indeksy size_t na int przed dodaniem ich do iteratorów std::vector. W systemach 64-bitowych, przy macierzy CSV o rozmiarze powyżej 2^31 elementów, indeks powyżej INT_MAX mógł zawinąć się do ujemnego przesunięcia iteratora i wskazać przed początek wektora, powodując niezdefiniowane zachowanie, uszkodzenie pamięci sterty lub awarię. Problem naprawiono w wersji 8.99.

Godot Engine do wersji 4.7.2 ma lukę typu out-of-bounds read w zoptymalizowanym loaderze tłumaczeń (core/string/optimized_translation.cpp, OptimizedTranslation::get_message). Przesunięcia odczytane z tablicy mieszającej spreparowanego zasobu .translation są używane jako indeksy do tablicy kubełków bez walidacji zakresu; odrzucana jest tylko pojedyncza wartość sentinela. Spreparowany plik może wskazać indeks daleko poza zaalokowanym buforem, powodując awarię lub zwrócenie surowych bajtów z pamięci procesu jako przetłumaczonego ciągu, co ujawnia pamięć procesu.

Godot Engine do wersji 4.7.2 ma błąd zapisu poza zakresem sterty w loaderze zasobów binarnych (core/io/resource_format_binary.cpp, ResourceLoaderBinary::get_unicode_string). Długość łańcucha jest odczytywana z pliku zasobu do 32-bitowej liczby całkowitej ze znakiem i porównywana z rozmiarem bufora docelowego za pomocą porównania ze znakiem, co warunkowo zmienia rozmiar bufora. Ujemna wartość długości pomija zmianę rozmiaru; ta sama wartość jest następnie przekazywana do procedury kopiowania jako liczba bajtów bez znaku, gdzie rozszerza się ze znakiem do ogromnej wartości, kopiując dane kontrolowane przez plik daleko poza niedoszacowaną alokację sterty.

Godot Engine do wersji 4.7.2 ma lukę typu heap out-of-bounds write w dekoderze obrazów Radiance HDR (.hdr) (modules/hdr/image_loader_hdr.cpp). Pętla dekodowania RLE rozwija instrukcje RLE odczytane z pliku do bufora o rozmiarze wynikającym z wymiarów obrazu, bez sprawdzenia, czy liczba powtórzeń lub kopiowanych bajtów mieści się w pozostałej pojemności bufora wiersza. Spreparowany plik .hdr zapisuje więc dane dostarczone przez atakującego poza końcem alokacji sterty, a długość i zawartość przepełnienia są kontrolowane przez plik.

Portkey AI Gateway w wersjach od 1.14.0 do 1.15.2 zawiera podatność typu server-side request forgery (SSRF), która pozwala nieuwierzytelnionym atakującym na dostęp do usług loopback i hosta Docker, ponieważ isValidCustomHost ufa hostom w stylu localhost, gdy TRUSTED_CUSTOM_HOSTS nie jest ustawione. Atakujący mogą wysyłać żądania /v1 ze spreparowanym nagłówkiem x-portkey-custom-host, na przykład przez dostawcę ollama, aby zmusić bramę do wywołania usług wewnętrznych i zwrócenia ich odpowiedzi.

TurboDocx html-to-docx do wersji 1.23.1 zawiera podatność SSRF (server-side request forgery) — atakujący dostarczający HTML może zmusić serwer do pobierania wewnętrznych adresów URL poprzez atrybuty img src. Można odwołać się do adresów loopback, prywatnych lub metadanych chmury, które omijają luźną walidację isValidUrl(), a odpowiedzi są osadzane w wygenerowanym pliku DOCX w folderze word/media.

Janus WebRTC Server do wersji 1.4.3 zawiera podatność path traversal w pluginie Record&Play, umożliwiającą nieuwierzytelnionym atakującym zapis plików poza recordings_path poprzez nazwę pliku w żądaniu record. Atakujący może podać nazwy z separatorami ścieżek, aby tworzyć lub obcinać pliki kończące się na -audio.mjr, -video.mjr lub -data.mjr w dowolnym miejscu, w którym proces Janus ma prawo zapisu poza chronionymi katalogami.

unshield do wersji 1.6.2 zawiera podatność heap out-of-bounds read w funkcji unshield_get_file_table(), umożliwiającą odczyt poza zaalokowaną pamięcią sterty poprzez niesprawdzone przesunięcia w nagłówku pliku cabinet. Atakujący może dostarczyć spreparowany plik InstallShield cabinet z file_table_offset poza zakresem lub dużą liczbą plików, aby zawiesić narzędzie unshield lub aplikacje korzystające z biblioteki.

MuJS w wersji 1.3.6 przed 1.3.9 zawiera podatność heap out-of-bounds read i write w Array.prototype.sort, umożliwiającą uszkodzenie pamięci poprzez zwiększenie długości prostej tablicy. Atakujący może dostarczyć kod JavaScript, który powiększa długość gęstej tablicy i wywołuje sort, powodując dostęp funkcji Ap_sort_cmp i Ap_sort_swap do komórek poza buforem i zawieszenie procesu.