Katalog podatności CVE

Marmite do wersji 0.4.2 zawiera podatność typu path traversal w serwerze deweloperskim uruchamianym przez --serve, która pozwala nieuwierzytelnionym atakującym na odczyt dowolnych plików. Funkcja handle_request w src/server.rs nie odrzuca segmentów .. po dekodowaniu procentowym i połączeniu ścieżki żądania z folderem wyjściowym, co umożliwia atakującym żądanie zakodowanych sekwencji traversal w celu uzyskania dostępu do plików czytelnych przez proces marmite.

PX4 Autopilot do wersji 1.17.0 zawiera podatność na niekontrolowaną alokację na stosie w komendzie testowej file2, która nie sprawdza parametru rozmiaru fragmentu zapisu. Atakujący z dostępem do powłoki mogą podać bardzo dużą wartość opcji -c, co prowadzi do przepełnienia stosu i awarii kontrolera lotu.

PX4 Autopilot do wersji 1.17.0 zawiera podatność na dereferencję pustego wskaźnika w komendzie sd_stress, gdzie parametr liczby bajtów -b jest parsowany bez walidacji przed przekazaniem do malloc() i memset(). Atakujący z dostępem do powłoki, w tym przez MAVLink, mogą podać nieprawidłowe wartości liczby bajtów, co powoduje awarię kontrolera lotu.

OpenClaw przed wersją 2026.9.4 zawiera podatność na nieprawidłową autoryzację w metodzie mcp.app.view, która pozwala operatorom z zakresem tylko do odczytu na wykonywanie narzędzi MCP App wymagających zakresu operator.write. Atakujący z tokenami operator.read mogą uzyskać samodzielny bilet z mcp.app.view i wykorzystać go w punkcie końcowym widoku aplikacji MCP do wywoływania narzędzi zmieniających stan bez odpowiednich kontroli autoryzacji.

OpenClaw przed wersją 2026.9.5 zawiera podatność na nieprawidłową autoryzację w lokalnej liście dozwolonych mediów bramy, która łamie izolację systemu plików między sesjami w piaskownicy. Sesje w piaskownicy lub niezaufane treści mogą spowodować, że brama będzie czytać pliki z sesji sąsiednich lub współdzielonych katalogów roboczych przez funkcje potoku mediów, które nie ograniczają odczytów do aktywnej sesji.

Klient MQTT NetX Duo wycieka pakiet przenoszący uszkodzoną wiadomość PUBLISH. Każda uszkodzona wiadomość PUBLISH kosztuje jeden pakiet lub łańcuch pakietów z puli odbiorczej sterownika sieciowego i nic go nie zwraca. Osoba atakująca, która może dostarczyć kilkadziesiąt takich wiadomości, wyczerpuje pulę i zatrzymuje cały ruch sieciowy przychodzący na urządzenie aż do jego ponownego uruchomienia.

Klient WebSocket w NetX Duo resetuje kursor odmaskowania do pierwszego NX_PACKET przy każdej iteracji przez łańcuch pakietów, podczas gdy górna granica pętli należy do bieżącego pakietu. W standardowym układzie puli pakietów zamaskowana ramka serwera podzielona na dwa pakiety powoduje, że pętla XOR przechodzi przez nieużywany obszar ładunku pierwszego pakietu i dalej przez blok kontrolny NX_PACKET drugiego pakietu. Czterobajtowy klucz maskujący WebSocket kontroluje zapisywane bajty, więc uszkodzenie jest wybierane przez atakującego, a nie przypadkowe.

Gdy NetX Secure jest zbudowany z opcją `NX_SECURE_KEY_CLEAR`, każdy rekord TLS wysyłany w aktywnej sesji jest wymazywany po przekazaniu do TCP. W tym momencie warstwa TCP jest właścicielem łańcucha pakietów i mogła już zwolnić go do puli pakietów. Wymazywanie zapisuje zera w pakietach, które są wolne lub używane przez inny wątek, a gdy wskaźniki ponownie użytego pakietu nie opisują już starych danych, długość wymazywania powoduje niedomiar i wykracza poza koniec puli pakietów.

NetX Secure TLS akceptuje pusty rekord danych aplikacji bez weryfikacji kodu uwierzytelniającego wiadomości. W funkcji `_nx_secure_verify_mac` odszyfrowany rekord aplikacji, którego długość jest równa uzgodnionemu rozmiarowi MAC, jest traktowany jako prawidłowy i zwraca sukces po przesunięciu numeru sekwencji odbioru. Otrzymany MAC nigdy nie jest generowany ani porównywany. Puste rekordy danych aplikacji TLS są legalne i często emitowane przez implementacje TLS 1.0 jako łagodzenie ataku BEAST.

W funkcji `_nx_secure_x509_asn1_tlv_block_parse()` w NetX Secure występuje odczyt poza granicami bufora. Funkcja odczytuje bajt tagu ASN.1 przed sprawdzeniem, czy bufor zawiera co najmniej jeden bajt, co przy zerowej długości prowadzi do odczytu o jeden bajt poza końcem bufora. Podatność dotyczy parsowania certyfikatów X.509 dostarczanych przez zdalnego klienta podczas uzgadniania TLS.

Nieuprzywilejowany moduł ThreadX chroniony pamięcią może spowodować, że jądro odczyta i zapisze pamięć pod wybranymi przez siebie adresami w trybie uprzywilejowanym, a następnie użyć tego do wyczyszczenia bitu włączenia MPU i usunięcia własnej izolacji. Menedżer modułów decydował, czy uprzywilejowana usługa może wyłuskać adres obiektu, pytając tylko, czy adres ten znajduje się poza modułem. Pula obiektów menedżera znajduje się poza każdym modułem, więc test był spełniony przez adres przesunięty do wnętrza jednej z własnych uprzywilejowanych alokacji modułu, co nie oznacza żadnego obiektu. Bajty, które taki adres przedstawia jako blok kontrolny, to bajty, które moduł umieścił tam za pomocą zwykłych usług tworzenia i ustawiania, więc identyfikator bloku kontrolnego na ich początku mógł być odczytany jako dowolny typ wybrany przez moduł, a test identyfikatora warstwy `_txe_` się zgadzał. Zgłoszony łańcuch używa tego do osiągnięcia uprzywilejowanego `memset` w zakresie wybranym przez atakującego.

Zamontowanie obrazu pamięci NAND kontrolowanego przez atakującego (`lx_nand_flash_open()`) wyzwala nieograniczony zapis poza zakresem na stercie w parserze metadanych warstwy translacji NAND w LevelX, który nadpisuje wskaźnik funkcji sterownika w bloku kontrolnym, co daje demonstrowane przejęcie przepływu sterowania — RIP ustawiony na pełną 8-bajtową wartość wybraną przez atakującego (zweryfikowaną rejestrem). Dodatkowo dwa odczyty poza zakresem. Wszystko odtworzone wiernie pod ASan na HEAD `9f1cfdc`. (Nagłówek dotkniętego parsera metadanych stwierdza: "Niektóre fragmenty wygenerowane przez Copilot (Sonnet 4.6)" — parser wygenerowany przez AI z niesprawdzaną liczbą na flashu.)

Funkcja `gx_binres_theme_load()` określa rozmiar bufora motywu na podstawie żądanego motywu i przydziela go nawet wtedy, gdy zasób nie zawiera motywu o tym identyfikatorze. Identyfikator motywu równy lub większy od liczby motywów zadeklarowanych w zasobie otrzymuje bufor o zerowym rozmiarze. Następnie przebieg ładowania przechodzi poza koniec tabeli motywów, traktuje to, co następuje, jako nagłówek motywu i zapisuje strukturę `GX_THEME` oraz jej tabele do tego zerowego bufora.

Dwa parsery uzgadniania TLS/DTLS po stronie klienta w NetX Secure odczytują pola z komunikatu dostarczonego przez serwer przed sprawdzeniem, czy komunikat jest wystarczająco długi, aby je zawierać. Oba są ograniczonymi odczytami poza zakresem na zdalnie osiągalnej ścieżce, osiągalnymi z klienta TLS lub DTLS łączącego się ze złośliwym lub nieprawidłowym serwerem.

FTP: Pasywne połączenie danych nie jest powiązane z uwierzytelnionym równorzędnym kontrolerem. Oznacza to, że połączenie danych w trybie pasywnym może być ustanowione z innym hostem niż ten, który przeprowadził uwierzytelnienie, co może prowadzić do nieautoryzowanego dostępu do danych.

Nieograniczone parsowanie opcji IPCP w PPP powoduje zatrzymanie pracownika i odczyt poza zakresem. Podatność ta może prowadzić do awarii usługi lub wycieku informacji.

Odczyt poza zakresem z powodu niezweryfikowanej długości listy atrybutów MSRP. Podatność ta może prowadzić do awarii lub wycieku informacji.

Dereferencja pustego wskaźnika podczas usuwania jedynego atrybutu MSRP. Podatność ta może prowadzić do awarii systemu.

Podatność typu NULL Pointer Dereference występująca przy wyczerpaniu tablicy atrybutów MSRP. Wyczerpanie tablicy prowadzi do odwołania się do wskaźnika NULL, co może spowodować awarię aplikacji.

W ścieżce IPv4 PASV klient FTP akceptuje dowolny adres przesłany w odpowiedzi serwera `227`. Walidacja obejmuje jedynie parsowanie i wartości niezerowe, więc złośliwy serwer może wskazać dowolny adres i skierować tam klienta.