Vulnerabilidades

Una vulnerabilidad fue encontrada en ZhiCms 4.0 y clasificada como crítica. La función índice del archivo app/manage/controller/setcontroller.php es afectada por esta vulnerabilidad. La manipulación del argumento nombre del sitio conduce a la inyección de código. Es posible lanzar el ataque de forma remota. El exploit ha sido divulgado al público y puede utilizarse. VDB-255270 es el identificador asignado a esta vulnerabilidad.

Se encontró una vulnerabilidad en OpenBMB XAgent 1.0.0. Ha sido declarada crítica. Una función desconocida del componente Privileged Mode es afectada por esta vulnerabilidad. La manipulación conduce a un problema de zona de pruebas. El ataque debe abordarse localmente. El exploit ha sido divulgado al público y puede utilizarse. A esta vulnerabilidad se le asignó el identificador VDB-255265.

En mz-automation libiec61850 v1.4.0, se detectó una desreferencia de puntero NULL en la función mmsServer_handleFileCloseRequest.c de src/mms/iso_mms/server/mms_file_service.c. La vulnerabilidad se manifiesta como SEGV y provoca que la aplicación falle.

Wasmi es un intérprete de WebAssembly eficiente y liviano centrado en sistemas integrados y restringidos. En el intérprete WASMI, surgirá una escritura de búfer fuera de los límites si el host llama o reanuda una función Wasm con más parámetros que el límite predeterminado (128), ya que superará el valor de la pila. Esto no afecta las llamadas de Wasm a Wasm, solo del host a Wasm. Esta vulnerabilidad fue parcheada en la versión 0.31.1.

JWCrypto implementa las especificaciones JWK, JWS y JWE utilizando criptografía Python. Antes de la versión 1.5.6, un atacante podía provocar un ataque de denegación de servicio al pasar un token JWE malicioso con una alta tasa de compresión. Cuando el servidor procese este token, consumirá mucha memoria y tiempo de procesamiento. La versión 1.5.6 corrige esta vulnerabilidad limitando la longitud máxima del token.

Apollo Router es un router de gráficos escrito en Rust para ejecutar un supergrafo federado que utiliza Apollo Federation. Las versiones 0.9.5 hasta 1.40.2 están sujetas a una vulnerabilidad de tipo Denegación de servicio (DoS). Al recibir payloads HTTP comprimidos, las versiones afectadas del router evalúan la opción de configuración `limits.http_max_request_bytes` después de descomprimir el payload comprimido en su totalidad. Si las versiones afectadas del router reciben payloads altamente comprimidos, esto podría resultar en un consumo significativo de memoria mientras se expande el payload comprimido. La versión 1.40.2 del router tiene una solución para la vulnerabilidad. Aquellos que no puedan actualizar pueden implementar mitigaciones en servidores proxy o balanceadores de carga ubicados frente a su flota de router (por ejemplo, Nginx, HAProxy o servicios WAF nativos de la nube) creando límites en el tamaño de carga del cuerpo HTTP.

Deno es un tiempo de ejecución de JavaScript, TypeScript y WebAssembly. En la versión 1.39.0, el uso de descriptores de archivos sin formato en `op_node_ipc_pipe()` conduce al cierre prematuro de descriptores de archivos arbitrarios, lo que permite volver a abrir la entrada estándar como un recurso diferente, lo que da como resultado la omisión de la solicitud de permiso. El nodo child_process IPC depende del lado JS para pasar el descriptor de archivo IPC sin formato a `op_node_ipc_pipe()`, que devuelve un ID de `IpcJsonStreamResource` asociado con el descriptor de archivo. Al cerrar el recurso, el descriptor del archivo sin formato se cierra junto. El uso de descriptores de archivos sin formato en `op_node_ipc_pipe()` conduce al cierre prematuro de descriptores de archivos arbitrarios. Esto permite cerrar y volver a abrir la entrada estándar (fd 0) para un recurso diferente, lo que permite omitir la solicitud de permiso silenciosa. Esto es explotable por un atacante que controla el código ejecutado dentro de un tiempo de ejecución de Deno para obtener la ejecución de código arbitrario en la máquina host, independientemente de los permisos. Se sabe que este error es explotable. Existe un exploit funcional que logra la ejecución de código arbitrario al evadir solicitudes de permisos cero, abusando además del hecho de que la API de caché carece de comprobaciones de permisos del sistema de archivos. El ataque se puede realizar de forma silenciosa ya que stderr también se puede cerrar, suprimiendo todas las salidas de aviso. La versión 1.39.1 corrige el error.

Deno es un tiempo de ejecución de JavaScript, TypeScript y WebAssembly. A partir de la versión 1.36.2 y antes de la versión 1.40.3, el uso de `*const c_void` y `ExternalPointer` inherentemente inseguros conduce al acceso libre de uso a la estructura subyacente, lo que resulta en la ejecución de código arbitrario. El uso de `*const c_void` y `ExternalPointer` inherentemente inseguros conduce a use-after-free a la estructura subyacente, que es explotable por un atacante que controla el código ejecutado dentro de un tiempo de ejecución de Deno para obtener la ejecución de código arbitrario en la máquina host independientemente de permisos. Se sabe que este error es explotable tanto para implementaciones `*const c_void` como `ExternalPointer`. La versión 1.40.3 soluciona este problema.

Deno es un tiempo de ejecución de JavaScript, TypeScript y WebAssembly. A partir de la versión 1.35.1 y antes de la versión 1.36.3, una vulnerabilidad en el tiempo de ejecución de compatibilidad de Node.js de Deno permite la contaminación de datos entre sesiones durante lecturas asincrónicas simultáneas de flujos de Node.js provenientes de sockets o archivos. El problema surge de la reutilización de un búfer global (BUF) en stream_wrap.ts utilizado como optimización del rendimiento para limitar las asignaciones durante estas operaciones de lectura asincrónicas. Esto puede provocar que los datos destinados a una sesión sean recibidos por otra sesión, lo que podría provocar daños en los datos y comportamientos inesperados. Esto afecta a todos los usuarios de Deno que usan la capa de compatibilidad de node.js para la comunicación de red u otras transmisiones, incluidos los paquetes que pueden requerir librerías de node.js indirectamente. La versión 1.36.3 contiene un parche para este problema.

Deno es un tiempo de ejecución de JavaScript, TypeScript y WebAssembly con valores predeterminados seguros. A partir de la versión 1.32.1 y antes de la versión 1.41 de la librería deno_runtime, la solicitud de permiso creada con fines malintencionados puede mostrar el mensaje de permiso falsificado insertando una secuencia de escape ANSI rota en el contenido de la solicitud. Deno está eliminando cualquier secuencia de escape ANSI del mensaje de permiso, pero los permisos otorgados al programa se basan en los contenidos que contienen las secuencias de escape ANSI. Cualquier programa Deno puede falsificar el contenido del mensaje de permiso interactivo insertando un código ANSI roto, lo que permite que un programa Deno malicioso muestre la ruta del archivo o el nombre del programa incorrecto al usuario. La versión 1.41 de la librería deno_runtime contiene un parche para el problema.

Grav es un sistema de gestión de contenidos (CMS). Antes de la versión 1.7.43, los usuarios que podían escribir una página podían usar la función "frontmatter" debido a una validación de permisos insuficiente y una validación de nombre de archivo inadecuada. Esto puede provocar la ejecución remota de código. La versión 1.7.43 soluciona este problema.

Deno es un tiempo de ejecución de JavaScript, TypeScript y WebAssembly. A partir de la versión 1.8.0 y antes de la versión 1.40.4, Deno verifica incorrectamente que el nombre de host de un especificador de importación sea igual o hijo del nombre de host de un token, lo que puede causar que los tokens se envíen a servidores a los que no deberían enviarse. Un token de autenticación destinado a `example[.]com` puede enviarse a `notexample[.]com`. Cualquiera que utilice DENO_AUTH_TOKENS e importe código potencialmente no confiable se verá afectado. La versión 1.40.0 contiene un parche para este problema