Katalog podatności CVE

Moduł njs XML w NGINX JavaScript (njs) ujawnia atrybuty XML oparte na encjach w sposób niespójny z kanonizacją libxml2. W backendach njs i QuickJS getter $attr$Name może zwrócić undefined dla jawnie obecnego atrybutu zawierającego wewnętrzne odwołanie do encji, a getter $attrs może zwrócić wartość pochodzącą tylko z pierwszego atrybutu potomnego. Może to pozwolić nieuwierzytelnionemu atakującemu na pominięcie walidacji przy jednoczesnym pomyślnym zweryfikowaniu podpisu.

Kaneo w wersji przed 2.1.6 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom uzyskać dostęp do innych przestrzeni roboczych, podając identyfikatory projektów, zadań, etykiet lub przestrzeni roboczych do tras API pozbawionych kontroli członkostwa. Atakujący, którzy zdobędą identyfikatory, na przykład z udostępnionych linków do projektów, mogą czytać projekty i zadania, modyfikować lub usuwać zadania, etykiety i komentarze oraz przeszukiwać zawartość przestrzeni roboczej.

PhysicsFS do wersji 3.2.0 zawiera podatność odczytu poza granicami w funkcji __PHYSFS_utf8codepoint(), umożliwiającą atakującym odczyt poza buforami nazw poprzez przesunięcie kursora o jeden bajt za daleko w sekwencjach UTF-8 o sześciu oktetach. Atakujący może dostarczyć spreparowane archiwum z nazwami wpisów kończącymi się sekwencjami sześciooktetowymi, powodując nadmierny odczyt w PHYSFS_utf8stricmp() i haszowaniu oraz awarię aplikacji.

Biblioteka office-converter do wersji 1.0.2 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego. Atakujący może przekazać spreparowaną nazwę pliku fileName do funkcji generatePdf() lub generateHtml(), osadzając $(...), backticki lub zamykający cudzysłów z metaznakami powłoki w nazwie pliku, która jest łączona z poleceniem unoconv uruchamianym przez child_process.exec(), co pozwala na wykonanie poleceń z uprawnieniami procesu Node.js.

Gravitee API Management w wersji do 4.12.22 zawiera lukę obejścia uwierzytelniania, która pozwala nieuwierzytelnionym zdalnym atakującym podszyć się pod dowolnego użytkownika poprzez sfałszowanie JWT podpisanych domyślnym, dostarczonym z produktem kluczem jwt.secret. Atakujący znający identyfikator istniejącego użytkownika może podpisać token HS256 z tym podmiotem i przedstawić go jako token bearer do Management API, podszywając się pod administratorów w celu uzyskania pełnej kontroli nad platformą.

DevIL w wersji do 1.8.0 zawiera przepełnienie bufora na stercie w funkcji iGetPalette() w pliku il_gif.cpp, które pozwala atakującym zapisywać poza buforem palety o rozmiarze 768 bajtów podczas ładowania obrazów GIF. Atakujący mogą dostarczyć spreparowany dwuklatkowy GIF, którego druga klatka używa metody disposal 1 z lokalną tabelą kolorów, zapisując do 384 kontrolowanych bajtów poza alokacją sterty i potencjalnie wykonując kod.

L-SMASH do wersji 2.14.5 zawiera podatność na nieskończoną pętlę w funkcji vc1_importer_probe() w pliku importer/vc1_imp.c. Atakujący może dostarczyć plik składający się wyłącznie z bajtów zerowych, który jest automatycznie sprawdzany przez lsmash_read_file(), powodując niekończące się zużycie CPU i odmowę usługi.

W jądrze Linux występuje zakleszczenie (deadlock) typu ABBA pomiędzy blokadami mmap_lock i disassociation_lock w podsystemie RDMA/uverbs. Wątek wykonujący mmap/fork zakłada blokady w kolejności mmap_lock → disassociation_lock, natomiast wątek wykonujący uverbs_user_mmap_disassociate() w kolejności odwrotnej, co prowadzi do możliwego zakleszczenia. Problem został rozwiązany poprzez usunięcie disassociation_lock i użycie istniejącej blokady hw_destroy_rwsem.

W jądrze Linux w sterowniku RDMA/efa procedura obsługi przerwania zarządzającego uzyskuje dostęp zarówno do kolejki ukończeń administracyjnych, jak i do kolejki zdarzeń asynchronicznych. Sterownik rejestrował przerwanie przed utworzeniem tych kolejek i niszczył je przed zwolnieniem przerwania, przez co czas życia procedury obsługi nie był ograniczony przez zasoby, do których się odwołuje. Poprawka inicjalizuje kolejki z zamaskowanymi przerwaniami, rejestruje przerwanie, a następnie przełącza w tryb przerwań, a przy usuwaniu resetuje urządzenie i zwalnia przerwanie przed zniszczeniem kolejek.

W jądrze Linux w sterowniku RDMA/efa procedura obsługi przerwania ukończeń uzyskuje dostęp do stanu EQ i bufora DMA. Jej przerwanie było rejestrowane przed zainicjalizowaniem tego stanu, a demontaż zwalniał bufor przed free_irq() synchronizującym procedurę obsługi. Poprawka inicjalizuje EQ bez uzbrajania go, rejestruje przerwanie, a następnie je uzbraja, a przy demontażu zwalnia przerwanie przed zniszczeniem EQ.

W jądrze Linux sterownik USB 6fire używa URB osadzonych w różnych strukturach dla PCM, MIDI i komunikacji, co jest wadliwą implementacją; ponieważ URB jest zarządzany przez licznik referencji, może to prowadzić do użycia zwolnionej pamięci (UAF), gdy URB jest zwalniany asynchronicznie. Poprawka konwertuje te osadzone URB na alokowane przez usb_alloc_urb(), zamieniając każde osadzone struct urb na wskaźnik i aktualizując wywołania; zasoby są zwalniane w wspólnych destruktorach wywoływanych zarówno przy błędzie inicjalizacji, jak i przy odłączeniu.

W jądrze Linux w kodzie algorytmu CoDel (net/sched) pętla odrzucania w codel_dequeue() mogła nie przesuwać się do przodu przy bardzo małych wartościach interwału, co prowadziło do opróżnienia całego backlogu pod blokadą qdisc w jednym wywołaniu. Nieuprzywilejowany użytkownik mógł w ten sposób wywołać soft lockup. Poprawka ogranicza krok pętli do co najmniej 1 ticka oraz maksymalnie 256 odrzuceń na wywołanie codel_dequeue().

W jądrze Linux w sterowniku wifi mwifiex funkcja mwifiex_pcie_request_irq() rejestruje każdy wektor MSI-X z dev_id dla danego indeksu (&card->msix_ctx[i]). Przy błędzie request_irq() pętla czyszcząca "for (j = 0; j < i; j++)" zwalnia msix_entries[j].vector, ale przekazuje &card->msix_ctx[i] z nieudanego indeksu jako dev_id. Ponieważ free_irq() dopasowuje po (irq, dev_id), nie znajduje akcji zarejestrowanej z &card->msix_ctx[j]: już zarejestrowane przerwanie j nie jest zwalniane (wyciek), a free_irq() ostrzega o zwalnianiu nieistniejącego przerwania. Poprawka używa &card->msix_ctx[j].

W jądrze Linux funkcja ieee80211_request_ibss_scan() w module mac80211 wywołuje ostrzeżenie, gdy regdomain nie pozostawia żadnego dozwolonego kanału do skanowania. Sytuacja ta może wystąpić, ponieważ regdomain może się zmienić podczas pracy interfejsu IBSS, który może działać jeszcze przez 60-sekundowy okres karencji przed wyłączeniem. Poprawka usuwa to ostrzeżenie.

W jądrze Linux funkcja cfg80211_switch_netns() w module cfg80211 przenosi interfejsy, a następnie przenosi samo wiphy, ustawiając jego przestrzeń nazw sieci i zmieniając nazwę, co powoduje przeniesienie w sysfs. Zmiana nazwy może się nie powieść (tylko przy błędach alokacji), pozostawiając niespójny stan i wywołując ostrzeżenie. Poprawka cofa przeniesienie i pozwala operacji zakończyć się niepowodzeniem, a jeśli cofnięcie się nie powiedzie, wywołuje WARN.

W jądrze Linux moduł mac80211_hwsim sprawdza pole ->started dla ramek pochodzących z wmediumd, ale radio może zostać zatrzymane po sprawdzeniu, a przed dostarczeniem ramki, co powoduje wywołanie WARN_ON(!local->started) w mac80211. Poprawka rozszerza zakres blokady mutex i synchronizuje się z nią przy zatrzymywaniu radia, a także usuwa zbędny komunikat błędu.

W jądrze Linux moduł mac80211 przy interfejsach AP_VLAN pobiera crypto_tx_tailroom_needed_cnt z interfejsu AP przy ifup, ale nigdy nie zmniejsza tego licznika, chyba że AP również zostanie wyłączony. Ponowne włączenie tego samego AP_VLAN ponownie zwiększa licznik, co ostatecznie wywołuje sprawdzenie WARN_ON_ONCE. Poprawka resetuje licznik przy ifdown.

W jądrze Linux moduł mac80211 wymaga, aby potwierdzenie konfiguracji TDLS (WLAN_TDLS_SETUP_CONFIRM) było kierowane do istniejącej stacji TDLS. W przeciwnym razie podczas budowania ramki wywoływane jest ostrzeżenie WARN_ON_ONCE(!sta || !ap_sta). Poprawka akceptuje WLAN_TDLS_SETUP_CONFIRM tylko wtedy, gdy stacja już istnieje jako stacja TDLS.

W jądrze Linux w module ksmbd (serwer SMB) występuje błąd w obsłudze wygasania sesji SMB2. Funkcja ksmbd_session_register() niszczyła prawidłowe sesje po dziesięciu sekundach bezczynności, gdy klient rozpoczynał kolejną wymianę SessionSetup, myląc Session.IdleTime z Session.ExpirationTime. Powodowało to unieważnienie połączeń drzewa (tree connects) i błędy STATUS_NETWORK_NAME_DELETED na mapowanych dyskach.

W jądrze Linux funkcja reset_per_cpu_data() w module drop_monitor oblicza rozmiar al, który obejmuje sizeof(struct nlattr) (4-bajtowy nagłówek atrybutu). Następnie wywołuje memset(msg, 0, al), gdzie msg wskazuje na nla_data(nla), czyli sizeof(struct nlattr) bajtów za nla, co powoduje zapis poza przydzielonym buforem o 4 bajty i uszkodzenie skb_shared_info. Poprawka sprawia, że al reprezentuje tylko długość ładunku i używa genlmsg_new(nla_total_size(al), ...).