Vulnerabilidades

HCL AION está afectado por una vulnerabilidad donde las imágenes de oferta no están firmadas digitalmente. La falta de firma de imágenes puede permitir el uso de imágenes no verificadas o manipuladas, lo que podría llevar a riesgos de seguridad como el compromiso de la integridad o un comportamiento no deseado en el sistema.

en OpenHarmony v5.1.0 y versiones anteriores permiten a un atacante local ejecución de código arbitrario en aplicaciones preinstaladas mediante escritura fuera de límites. Esta vulnerabilidad puede ser explotada solo en escenarios restringidos.

Este problema afecta a Apache Spark: antes de 3.5.7 y 4.0.1. Se recomienda a los usuarios actualizar a la versión 3.5.7 o 4.0.1 y posteriores, que corrige el problema.<br /> <br /> Resumen<br /> <br /> Apache Spark 3.5.4 y versiones anteriores contienen una vulnerabilidad de ejecución de código en la interfaz de usuario web de Spark History debido a una deserialización de Jackson excesivamente permisiva de los datos del registro de eventos. Esto permite a un atacante con acceso al directorio de registros de eventos de Spark inyectar cargas útiles JSON maliciosas que desencadenan la deserialización de clases arbitrarias, lo que permite la ejecución de comandos en el host que ejecuta el Spark History Server.<br /> <br /> Detalles<br /> <br /> La vulnerabilidad surge porque el Spark History Server utiliza la deserialización polimórfica de Jackson con @JsonTypeInfo.Id.CLASS en objetos SparkListenerEvent, lo que permite a un atacante especificar nombres de clase arbitrarios en el JSON del evento. Este comportamiento permite instanciar clases no deseadas, como org.apache.hive.jdbc.HiveConnection, que pueden realizar llamadas de red u otras acciones maliciosas durante la deserialización.<br /> <br /> El atacante puede explotar esto inyectando contenido JSON manipulado en los archivos de registro de eventos de Spark, que el History Server luego deserializa al iniciar o al cargar los registros de eventos. Por ejemplo, el atacante puede forzar al History Server a abrir una conexión JDBC a un servidor remoto controlado por el atacante, demostrando la capacidad de inyección de comandos remota.<br /> <br /> Prueba de concepto:<br /> <br /> 1. Ejecute Spark con el registro de eventos habilitado, escribiendo en un directorio con permisos de escritura (spark-logs).<br /> <br /> 2. Inyecte el siguiente JSON al principio de un archivo de registro de eventos:<br /> <br /> {<br /> <br /> "Event": "org.apache.hive.jdbc.HiveConnection",<br /> "uri": "jdbc:hive2://:/",<br /> "info": {<br /> "hive.metastore.uris": "thrift://:"<br /> }<br /> }<br /> <br /> 3. Inicie el Spark History Server con los registros apuntando al directorio modificado.<br /> <br /> 4. El Spark History Server inicia una conexión JDBC al servidor del atacante, confirmando la inyección.<br /> <br /> Impacto<br /> <br /> Un atacante con acceso de escritura a los registros de eventos de Spark puede ejecutar código arbitrario en el servidor que ejecuta el History Server, comprometiendo potencialmente todo el sistema.

en OpenHarmony v5.1.0 y versiones anteriores permiten a un atacante local la ejecución de código arbitrario en aplicaciones preinstaladas a través de una escritura fuera de límites. Esta vulnerabilidad puede ser explotada solo en escenarios restringidos.

En OpenHarmony v5.1.0 y versiones anteriores permiten a un atacante local ejecución de código arbitrario en aplicaciones preinstaladas mediante el uso de un tipo incompatible. Esta vulnerabilidad puede ser explotada solo en escenarios restringidos.

En OpenHarmony v5.0.3 y versiones anteriores permiten a un atacante local provocar una entrada de información indebida. Esta vulnerabilidad puede ser explotada solo en escenarios restringidos.

Expiración de sesión insuficiente en LAPSWebUI de Truesec anterior a la versión 2.4 permite a un atacante con acceso a una estación de trabajo escalar sus privilegios mediante la divulgación de la contraseña de administrador local.

La funcionalidad de cierre de sesión no operativa en LAPSWebUI de Truesec antes de la versión 2.4 permite a un atacante con acceso a una estación de trabajo escalar sus privilegios mediante la divulgación de la contraseña de administrador local.

Los dispositivos Tinycontrol como tcPDU y los Controladores LAN LK3.5, LK3.9 y LK4 permiten a un usuario con bajos privilegios leer la contraseña de un administrador accediendo directamente a un recurso específico inaccesible a través de una interfaz gráfica.<br /> <br /> Este problema ha sido solucionado en las versiones de firmware: 1.36 (para tcPDU), 1.67 (para LK3.5 - versiones de hardware: 3.5, 3.6, 3.7 y 3.8), 1.75 (para LK3.9 - versión de hardware 3.9) y 1.38 (para LK4 - versión de hardware 4.0).

El almacenamiento en caché del navegador de contraseñas LAPS en LAPSWebUI de Truesec antes de la versión 2.4 permite a un atacante con acceso a una estación de trabajo escalar sus privilegios mediante la divulgación de contraseñas de administrador local.

Una vulnerabilidad de inyección de comandos existe en las versiones de mlflow/mlflow anteriores a la v3.7.0, específicamente en el archivo &amp;#39;mlflow/sagemaker/__init__.py&amp;#39; en las líneas 161-167. La vulnerabilidad surge de la interpolación directa de nombres de imágenes de contenedores proporcionados por el usuario en comandos de shell sin una sanitización adecuada, los cuales son luego ejecutados usando &amp;#39;os.system()&amp;#39;. Esto permite a los atacantes ejecutar comandos arbitrarios al proporcionar entrada maliciosa a través del parámetro &amp;#39;--container&amp;#39; de la CLI. El problema afecta a los entornos donde se utiliza MLflow, incluyendo configuraciones de desarrollo, pipelines de CI/CD y despliegues en la nube.

Vulnerabilidad de inyección de comandos y ejecución remota de código en claude-hovercraft executeClaudeCode. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en instalaciones afectadas de claude-hovercraft. La autenticación no es requerida para explotar esta vulnerabilidad.<br /> <br /> La falla específica existe dentro de la implementación del método executeClaudeCode. El problema resulta de la falta de validación adecuada de una cadena proporcionada por el usuario antes de usarla para ejecutar una llamada al sistema. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto de la cuenta de servicio. Fue ZDI-CAN-27785.