Katalog podatności CVE

W jądrze Linux w sterowniku drm/amdkfd wykryto podatność polegającą na braku ograniczenia rozmiaru kopii stosu kontrolnego CRIU do rozmiaru bufora. Funkcja kopiuje dane na podstawie wartości sprzętowej cp_hqd_cntl_stack_size, która może być większa niż przydzielony obszar, co prowadzi do odczytu poza buforem i wycieku danych jądra do przestrzeni użytkownika. Poprawka ogranicza kopię do rozmiaru bufora.

W jądrze Linux w sterowniku drm/vmwgfx wykryto podatność polegającą na braku walidacji pola array_size w strukturze vmw_surface_metadata. Pole to pochodzi z przestrzeni użytkownika i powinno być sprawdzane pod kątem limitów zależnych od dostępnego modelu shaderów (Shader Model).

W jądrze Linux w sterowniku drm/vc4 funkcja vc4_gem_object_mmap() odrzuca zapisywalne mapowanie zweryfikowanego shader BO, ale pozostawia ustawiony bit VM_MAYWRITE. Użytkownik może zmapować BO jako tylko do odczytu, a następnie zmienić na zapisywalne za pomocą mprotect().

W jądrze Linux w systemie plików btrfs, podczas dzielenia extent map, nowe mapy dziedziczą flagę EXTENT_FLAG_LOGGING, która nie jest później czyszczona. Może to prowadzić do ostrzeżenia WARN_ON i użycia po zwolnieniu (use-after-free) podczas zwalniania mapy.

W jądrze Linux w sterowniku sieciowym txgbe, funkcja txgbe_read_eeprom_hostif() zawsze kopiuje round_up(length, 4) bajtów do bufora wywołującego, który jest alokowany z dokładnie 'length' bajtami. Niepodzielna przez 4 długość powoduje zapis poza zakresem (heap overflow).

W jądrze Linux w bibliotece libceph występuje błąd w funkcji handle_get_version_reply(), która używa msg->front_alloc_len jako granicy dekodowania odpowiedzi MON_GET_VERSION_REPLY. Ponieważ jest to rozmiar bufora, a nie faktycznie odebranych bajtów, skrócona odpowiedź może spowodować odczyt nieinicjalizowanej pamięci z pozostałości po poprzednich wiadomościach.

W jądrze Linux w sterowniku VXLAN występuje brak wymogu CAP_NET_ADMIN w przestrzeni nazw sieciowych urządzenia podczas operacji changelink. Osoba z uprawnieniami w przestrzeni nazw urządzenia, ale nie w przestrzeni podkładu (underlay), może zmienić konfigurację tunelu VXLAN, co może prowadzić do nieautoryzowanych zmian.

calibre to menedżer e-booków. Przed wersją 9.12.0 punkt końcowy Content Server POST /book-update-annotations/{library_id}/{book_id}/{fmt} w src/calibre/srv/books.py pomija needs_db_write=True, co powoduje, że Router.dispatch() pomija ctx.check_for_write_access() przed update_annotations(), który przekazuje kontrolowane przez atakującego dane JSON do db.merge_annotations_for_book(). Pozwala to użytkownikowi tylko do odczytu lub anonimowemu użytkownikowi w niezabezpieczonym wdrożeniu na trwałe zapisanie nieautoryzowanych zmian adnotacji książek. Problem naprawiono w wersji 9.12.0.

Calibre przed wersją 9.12.0 przetwarza sterowane przez atakującego metadane composite_template ze złośliwych plików EPUB, OPF, PDF lub podobnych przez program: i zagnieżdżone wywołanie template(), którego formatter nie dziedziczy allow_python_templates=False, co pozwala zagnieżdżonemu szablonowi python: dotrzeć do compile_python_template i wykonać dowolny kod Pythona podczas otwierania lub importowania pliku. Problem został naprawiony w wersji 9.12.0.

Kestra przed wersją 2.0.0 przekazuje kontrolowany przez użytkownika argument uri funkcji http() do URI.create() i serwerowego klienta HTTP bez ograniczania miejsc docelowych prywatnych, pętli zwrotnej lub link-local, co pozwala nieuwierzytelnionemu atakującemu zaimportować i wykonać przepływ, który uzyskuje dostęp do wewnętrznych usług lub metadanych chmury.

Kestra przed wersją 2.0.0-rc6 udostępnia punkt końcowy GET /worker bez uwierzytelnienia i serializuje kompletny obiekt Task, co może ujawnić polecenia, zmienne środowiskowe, nagłówki HTTP, dane połączeń, poświadczenia w postaci jawnego tekstu oraz identyfikatory wykonania, podczas gdy główne API na porcie 8080 pozostaje chronione. Problem został naprawiony w wersji 2.0.0-rc6.

Aplikacja towarzysząca Mira Android v4.5.15.4 identyfikuje sparowany analizator hormonów Mira, wykonując tylko dopasowanie podciągu względem nazwy reklamy BLE, bez kryptograficznego uwierzytelniania urządzenia peryferyjnego, listy dozwolonych adresów MAC ani sprawdzania tożsamości powiązanej. Atakujący może przechwycić informacje o tokenie sesji na żywo i wstrzyknąć sfałszowane pomiary hormonów do rekordu chmurowego ofiary i widoku trendów klinicznych.

W oprogramowaniu sprzętowym monitora hormonów Mira v1.7.1.47 build 01070147, zdalny nieuwierzytelniony atakujący w zasięgu BLE (około 10–30 metrów) może po cichu przepiąć urządzenie na konto kontrolowane przez atakującego, wyodrębnić przechowywane pomiary hormonów w postaci jawnego tekstu, spowodować denial-of-service za pomocą źle sformowanych lub nieudokumentowanych kodów operacji oraz pasywnie śledzić użytkownika za pomocą statycznego losowego adresu BLE, który nigdy się nie rotuje.

libgit2 w wersjach przed 1.8.7 oraz 1.9.0 przed 1.9.7, zbudowany z backendem SSH libssh2 (USE_SSH=libssh2), zawiera podatność na wstrzyknięcie poleceń powłoki. Zdalny atakujący może wykonać dowolne polecenia na serwerze SSH, podając ścieżkę repozytorium zawierającą niescapowane metaznaki powłoki, takie jak pojedyncze cudzysłowy, średniki lub rury. Funkcja gen_proto() w ssh_libssh2.c wstawia ścieżkę repozytorium bezpośrednio do ciągu poleceń powłoki bez escapowania znaków specjalnych przed przekazaniem do libssh2_channel_exec(), co umożliwia atakującemu stworzenie złośliwego adresu URL submodułu w pliku .gitmodules, który podczas rekurencyjnego klonowania powoduje interpretację wstrzykniętych poleceń przez powłokę zdalnego serwera w kontekście konta SSH ofiary.

cJSON w wersjach od 1.5.0 do 1.7.19 zawiera podatność nieprawidłowo rozwiązywanego nazwy lub odniesienia w funkcji decode_pointer_inplace() w pliku cJSON_Utils.c, która pozwala nieuwierzytelnionym atakującym powodować, że operacje JSON Patch będą celować w niewłaściwe klucze obiektów, dostarczając spreparowane sekwencje ucieczki JSON Pointer (~0 lub ~1) w ścieżkach poprawek. Atakujący mogą przesyłać złośliwe dane wejściowe JSON Patch zgodne z RFC 6902 do aplikacji używających cJSONUtils_ApplyPatches() lub cJSONUtils_ApplyPatchesCaseSensitive(), aby po cichu uszkodzić dane lub usunąć niezamierzone klucze, potencjalnie omijając kontrolę autoryzacji w aplikacjach, które polegają na JSON Patch do modyfikacji danych z kontrolą dostępu.

Użycie po zwolnieniu w Blink w Google Chrome przed wersją 151.0.7922.137 pozwoliło zdalnemu atakującemu na wykonanie dowolnego kodu w sandboxie za pomocą spreparowanej strony HTML. (Poziom ważności Chromium: wysoki)

Użycie po zwolnieniu w HTML w Google Chrome przed wersją 151.0.7922.137 pozwoliło zdalnemu atakującemu na wykonanie dowolnego kodu w sandboxie za pomocą spreparowanej strony HTML. (Poziom ważności Chromium: wysoki)

Użycie po zwolnieniu w Extensions w Google Chrome przed wersją 151.0.7922.137 pozwoliło atakującemu, który przekonał użytkownika do zainstalowania złośliwego rozszerzenia, na wykonanie dowolnego kodu w sandboxie za pomocą spreparowanego rozszerzenia Chrome. (Poziom ważności Chromium: wysoki)

Użycie po zwolnieniu w TabStrip w Google Chrome na Mac przed wersją 151.0.7922.137 pozwoliło zdalnemu atakującemu, który skompromitował proces renderowania, na potencjalną ucieczkę z sandboxa za pomocą spreparowanej strony HTML. (Poziom ważności Chromium: wysoki)

Użycie po zwolnieniu w V8 w Google Chrome przed wersją 151.0.7922.137 pozwoliło zdalnemu atakującemu na wykonanie dowolnego kodu w sandboxie za pomocą spreparowanej strony HTML. (Poziom ważności Chromium: wysoki)