Katalog podatności CVE

W GraphQL-Ruby przed wersją 2.6.6, podczas korzystania z Execution::Next, błędy autoryzacji nie zatrzymywały prawidłowo wykonania dla pól używających GraphQL::Schema::Resolver i jego podklas (w tym Mutation, RelayClassicMutation i Subscription).

Pakiet filepath w Go nie rozpoznaje ścieżek z prefiksem \??\ jako specjalnych. W systemie Windows ścieżka zaczynająca się od \??\ jest równoważna ścieżce zaczynającej się od \\?\ i może być używana do dostępu do dowolnych lokalizacji w systemie.

Klient HTTP/1 w języku Go nie w pełni weryfikuje zawartość nagłówka Host. Złośliwie spreparowany nagłówek Host może umożliwić wstrzyknięcie dodatkowych nagłówków lub całych żądań. Poprawka uniemożliwia wysyłanie żądań z nieprawidłową wartością Request.Host lub Request.URL.Host.

Podatność w bibliotece Go crypto/tls pozwala na atak DoS poprzez przesyłanie bardzo dużych kluczy RSA w łańcuchach certyfikatów, co powoduje znaczne obciążenie CPU podczas weryfikacji podpisów. Naprawa ogranicza rozmiar kluczy RSA przesyłanych podczas uzgadniania połączenia do maksymalnie 8192 bitów.

Podatność w bibliotece net/http języka Go pozwala atakującemu HTTP na użycie rozszerzeń chunk do zmuszenia odbiorcy do odczytania znacznie większej ilości danych z sieci niż faktycznie znajduje się w treści żądania lub odpowiedzi. Złośliwy klient HTTP może wykorzystać to do automatycznego odczytania przez serwer dużej ilości danych (do około 1 GiB).

Funkcja IsLocal w systemie Windows nieprawidłowo wykrywa zastrzeżone nazwy urządzeń w niektórych przypadkach. Nazwy zastrzeżone, po których występują spacje (np. "COM1 ") oraz nazwy "COM" i "LPT" z indeksem górnym 1, 2 lub 3, są błędnie zgłaszane jako lokalne. Poprawka sprawia, że IsLocal teraz poprawnie je identyfikuje.

Funkcje urllib.parse.urlsplit() i urlparse() w Pythonie nieprawidłowo walidują hosty w nawiasach kwadratowych (`[]`), akceptując hosty, które nie są IPv6 ani IPvFuture. To zachowanie jest niezgodne z RFC 3986 i może potencjalnie umożliwić ataki SSRF (Server-Side Request Forgery), jeśli URL jest przetwarzany przez więcej niż jeden parser URL.

Podatność w standardowej bibliotece Go (net/http) powoduje, że przy przekierowaniu HTTP do domeny, która nie jest subdomeną ani dokładnym dopasowaniem początkowej domeny, klient HTTP nie przekazuje wrażliwych nagłówków, takich jak Authorization czy Cookie. Na przykład przekierowanie z foo.com na www.foo.com przekaże nagłówek Authorization, ale przekierowanie na inną domenę już nie.

Podatność w pakiecie html/template języka Go pozwala na ominięcie automatycznego kodowania kontekstowego, jeśli błędy zwracane przez metodę MarshalJSON zawierają dane kontrolowane przez użytkownika. Może to prowadzić do wstrzyknięcia nieoczekiwanej treści do szablonów HTML.

Podatność w standardowym parserze języka Go powoduje panikę przy przetwarzaniu kodu źródłowego z głęboko zagnieżdżonymi literałami. Problem wynika z wyczerpania stosu podczas rekurencyjnego parsowania.

Podatność w pakiecie archive/zip języka Go powoduje, że obsługa niektórych nieprawidłowych plików zip różni się od zachowania większości implementacji. Ta rozbieżność może być wykorzystana do stworzenia pliku zip, którego zawartość zmienia się w zależności od implementacji odczytującej plik. Pakiet archive/zip odrzuca teraz takie pliki.

Klient HTTP w Go usuwa wrażliwe nagłówki (np. Authorization) po przekierowaniu między domenami, ale może je ponownie wysłać przy kolejnym przekierowaniu w obrębie tej samej domeny, co stanowi potencjalne ryzyko wycieku danych.

Protokół uzgadniania kluczy Diffie-Hellman (DH) pozwala na używanie długich wykładników, co czyni niektóre obliczenia niepotrzebnie kosztownymi. Artykuł van Oorschot i Wiener z 1996 roku wykazał, że można używać odpowiednio krótkich wykładników, jeśli istnieją odpowiednie ograniczenia podgrupy, a te krótkie wykładniki nie są tu wykorzystywane.

Podatność w pakiecie os standardowej biblioteki Go umożliwia nieprawidłowy dostęp do katalogu nadrzędnego os.Root poprzez otwarcie nazwy pliku kończącej się na "../". Na przykład wywołanie Root.Open("../") otwiera katalog nadrzędny, co stanowi naruszenie ograniczeń dostępu.

Podatność w implementacji asemblerowej wewnętrznej funkcji kryptograficznej na architekturze ppc64le powoduje wyciek kilku bitów sekretnych skalarów z powodu użycia instrukcji o zmiennym czasie wykonania. Ze względu na sposób użycia tej funkcji, wyciek nie jest wystarczający do odzyskania klucza prywatnego.

Podatność w mechanizmie przekierowań między domenami powoduje, że nagłówki Proxy-Authorization i Proxy-Authenticate są zachowywane, co może prowadzić do wycieku wrażliwych danych uwierzytelniających.

Funkcja RedirectSlashes w middleware/strip.go jest podatna na wstrzyknięcie nagłówka Host, co prowadzi do otwartego przekierowania. Podatność ma niższy priorytet, ponieważ nie może być wykorzystana z przeglądarek ani klientów pocztowych.

Podatność w bibliotece database/sql języka Go pozwala na wyścig podczas anulowania zapytania w trakcie skanowania wyników. Równoczesne anulowanie kontekstu i wywołanie metody Scan może nadpisać oczekiwane rezultaty.

W PHP od wersji 8.1.* przed 8.1.32, 8.2.* przed 8.2.28, 8.3.* przed 8.3.19, 8.4.* przed 8.4.5, podczas odbierania nagłówków od serwera HTTP, nagłówki bez dwukropka (:) są traktowane jako prawidłowe, mimo że nimi nie są. Może to wprowadzić aplikacje w błąd, akceptując nieprawidłowe nagłówki.

W PHP od wersji 8.1.* przed 8.1.32, 8.2.* przed 8.2.28, 8.3.* przed 8.3.19, 8.4.* przed 8.4.5, podczas wysyłania nagłówków dostarczonych przez użytkownika, niewystarczająca walidacja znaków końca linii może uniemożliwić wysłanie niektórych nagłówków lub doprowadzić do ich błędnej interpretacji.