Katalog podatności CVE

W wersjach przed 1.2.1 i 2.0.2, narzędzie protobufjs-cli wywoływało JSDoc, budując polecenie powłoki z ścieżek plików wejściowych. Ścieżki plików zawierające metaznaki powłoki mogły być interpretowane przez powłokę zamiast być przekazywane do JSDoc jako zwykłe argumenty.

JupyterLab w wersjach od 4.0.0 do 4.5.6 nieprawidłowo egzekwuje listę dozwolonych rozszerzeń (allowed_extensions_uris) w Menedżerze Rozszerzeń PyPI. Pozwala to na instalowanie rozszerzeń spoza domyślnego indeksu PyPI, co może prowadzić do uruchomienia niebezpiecznego kodu.

W BIG-IP i BIG-IQ Configuration utility występuje podatność na zdalne wykonanie kodu, która wymaga uwierzytelnienia i wykorzystuje nieujawnione wektory ataku.

Podczas konfiguracji profilu klasyfikacji na wirtualnym serwerze UDP, nieujawnione żądania mogą spowodować zakończenie działania Microkernel zarządzania ruchem (TMM).

W systemach BIG-IP występuje podatność, która pozwala wysoko uprzywilejowanemu, uwierzytelnionemu atakującemu z rolą Administratora Zasobów na modyfikację obiektów konfiguracyjnych, co prowadzi do eskalacji uprawnień.

Na serwerze wirtualnym HTTP/2 z skonfigurowaną ochroną przed atakami DoS na warstwie 7, nieujawniony ruch może prowadzić do zwiększenia zużycia pamięci, co skutkuje zakończeniem procesu Traffic Management Microkernel (TMM).

Podatność w BIG-IP PEM iRules może prowadzić do zakończenia działania Traffic Management Microkernel (TMM) w przypadku nieujawnionego ruchu. Dotyczy to iRules korzystających z określonych poleceń.

W systemie BIG-IP TMOS Shell (tmsh) istnieje podatność, która może pozwolić uwierzytelnionemu atakującemu z rolą administratora zasobów lub administratora na wykonywanie dowolnych poleceń systemowych z wyższymi uprawnieniami. W przypadku wdrożeń w trybie Appliance, udany atak może umożliwić przekroczenie granicy bezpieczeństwa.

Podatność w systemach BIG-IP i BIG-IQ umożliwia uwierzytelnionemu atakującemu z rolą co najmniej Resource Administrator eskalację uprawnień poprzez tworzenie obiektów konfiguracji SNMP za pomocą iControl REST lub powłoki TMOS (tmsh).

Podatność w iControl SOAP umożliwia uwierzytelnionemu atakującemu z rolą Resource Administrator lub Administrator modyfikację obiektów konfiguracji, co prowadzi do eskalacji uprawnień.

Podatność w profilach SSL na wirtualnym serwerze może spowodować zatrzymanie przetwarzania nowych połączeń klienckich przez nieujawniony ruch sieciowy. Problem dotyczy oprogramowania, które nie osiągnęło końca wsparcia technicznego.

Podatność w BIG-IP pozwala na zatrzymanie TMM przez nieokreślony ruch, gdy profil SSL jest skonfigurowany na Virtual Edition bez QAT lub na sprzęcie z wyłączoną akceleracją sprzętową.

Podatność w systemie BIG-IP umożliwia zatrzymanie procesu TMM poprzez nieokreślony ruch, gdy profil SIP jest skonfigurowany na wirtualnym serwerze. Problem dotyczy oprogramowania F5 Networks.

Podatność w BIG-IP APM powoduje, że nieokreślony ruch może doprowadzić do zatrzymania procesu apmd, gdy polityka dostępu APM jest skonfigurowana na wirtualnym serwerze.

W systemie BIG-IP z włączoną usługą DNS wykryto podatność w nieujawnionym poleceniu iControl REST oraz tmsh. Umożliwia ona uwierzytelnionemu atakującemu z rolą Resource Administrator lub Administrator wykonanie dowolnych poleceń systemowych z podwyższonymi uprawnieniami.

Podatność w BIG-IP Advanced WAF i ASM pozwala na wysłanie nieujawnionych żądań, które powodują zakończenie procesu bd. Problem dotyczy skonfigurowanych polityk bezpieczeństwa na serwerze wirtualnym.

Podatność w iControl REST i TMOS Shell (tmsh) umożliwia uwierzytelnionemu atakującemu z rolą co najmniej Menedżera tworzenie obiektów konfiguracyjnych, które pozwalają na wykonanie dowolnych poleceń.

Gdy BIG-IP jest skonfigurowany z buforowaniem DNS (takim jak profil DNS z włączonym buforowaniem, SSL Orchestrator, Advanced WAF DoS protection), nieujawniony ruch może spowodować zakończenie działania Traffic Management Microkernel (TMM). Uwaga: Wersje oprogramowania, które osiągnęły koniec wsparcia technicznego (EoTS), nie są oceniane.

W narzędziu konfiguracyjnym BIG-IP skonfigurowanym do uwierzytelniania LDAP, nieokreślony ruch może spowodować wyczerpanie dostępnych deskryptorów plików przez proces httpd.

Router Wi-Fi U-SPEED AC1200 Gigabit (Model T18-21K) V1.0 zawiera podatność na wstrzykiwanie poleceń w interfejsie konfiguracji protokołu NTP. Brak odpowiedniej sanityzacji danych wejściowych umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami do konfiguracji NTP wstrzyknięcie dowolnych poleceń systemowych.