Vulnerabilidades

OpenRefine es una potente herramienta gratuita de código abierto para trabajar con datos desordenados. Antes de la versión 3.7.5, una vulnerabilidad de ejecución remota de código permitía a cualquier usuario no autenticado ejecutar código en el servidor. La versión 3.7.5 tiene un parche para este problema.

SHIRASAGI es un sistema de gestión de contenidos. Antes de la versión 1.18.0, SHIRASAGI era vulnerable a un problema de normalización posterior a Unicode. Esto sucede cuando se realiza una validación lógica o una verificación de seguridad antes de una normalización Unicode. El carácter Unicode equivalente a un carácter resurgiría después de la normalización. La solución consiste inicialmente en realizar la normalización Unicode y luego eliminar todos los espacios en blanco y luego comprobar si hay una cadena en blanco. Este problema se solucionó en la versión 1.18.0.

JumpServer es un host bastión de código abierto y un sistema profesional de auditoría de seguridad de operación y mantenimiento. A partir de la versión 3.0.0 y anteriores a las versiones 3.5.5 y 3.6.4, las repeticiones de sesiones se pueden descargar sin autenticación. Las repeticiones de sesiones almacenadas en S3, OSS u otro almacenamiento en la nube no se ven afectadas. El control de permisos de la API `/api/v1/terminal/sessions/` está broken y se puede acceder a él de forma anónima. Clases de permiso SessionViewSet establecidas en `[RBACPermission | IsSessionAssignee]`, la relación es o, por lo que se permitirá cualquier permiso coincidente. Las versiones 3.5.5 y 3.6.4 tienen una solución. Después de actualizar, visite la API `$HOST/api/v1/terminal/sessions/?limit=1`. El código de respuesta http esperado es 401 ("not_authenticated").

*** Pendiente de traducción *** Rejected reason: Further research determined the issue is not a vulnerability.

GeoNode es una plataforma de código abierto que facilita la creación, el intercambio y el uso colaborativo de datos geoespaciales. Existe una vulnerabilidad SSRF a partir de la versión 3.2.0, que pasa por alto los controles existentes en el software. Esto puede permitir a un usuario solicitar servicios internos para un SSRF de lectura completa, devolviendo cualquier dato de la red interna. La aplicación utiliza una lista blanca, pero se puede omitir la lista blanca. La omisión engañará a la aplicación diciéndole que el primer host es una dirección incluida en la lista blanca, pero el navegador usará `@` o `%40` como credencial para el geoservidor del host en el puerto 8080, lo que devolverá los datos a ese host en la respuesta. La versión 4.1.3.post1 es la primera versión disponible que contiene un parche.

Jetty es un servidor web y motor de servlet basado en Java. Las versiones 9.4.21 a 9.4.51, 10.0.15 y 11.0.15 son vulnerables a una autenticación débil. Si un `OpenIdAuthenticator` de Jetty usa el `LoginService` anidado opcional, y ese `LoginService` decide revocar a un usuario ya autenticado, entonces la solicitud actual seguirá tratando al usuario como autenticado. Luego, la autenticación se borra de la sesión y las solicitudes posteriores no se tratarán como autenticadas. Por lo tanto, se podría permitir que una solicitud en una sesión previamente autenticada omita la autenticación después de haber sido rechazada por "LoginService". Esto afecta los usos de jetty-openid que han configurado un "LoginService" anidado y donde ese "LoginService" será capaz de rechazar usuarios previamente autenticados. Las versiones 9.4.52, 10.0.16 y 11.0.16 tienen un parche para este problema.

Se encontró una falla en el servicio Kubernetes para portátiles en RHODS, donde no impide que los pods de otros espacios de nombres y aplicaciones realicen solicitudes a la API de Jupyter. Esta falla puede provocar la exposición del contenido del archivo y otros problemas.

Se encontró una falla en el complemento Network Observability para la consola OpenShift. A menos que la configuración de Loki authToken esté configurada en modo FORWARD, la autenticación ya no se aplica, lo que permite que cualquier usuario que pueda conectarse a la consola OpenShift en un clúster de OpenShift recupere flujos sin autenticación.

Se encontró una falla en OpenStack. Varios componentes muestran contraseñas de texto sin formato en /var/log/messages durante la ejecución de la actualización de OpenStack overcloud, lo que genera un problema de divulgación de información sensible.

Wasmtime es un standalone en tiempo de ejecución para WebAssembly. Las versiones de Wasmtime desde 10.0.0 hasta las versiones 10.02, 11.0.2 y 12.0.1 contienen una mala compilación de la instrucción WebAssembly `i64x2.shr_s` en plataformas x86_64 cuando la cantidad de desplazamiento es un valor constante mayor que 32. Solo x86_64 es afectado por lo que todos los demás objetivos no se ven afectados por esto. La mala compilación da como resultado que la instrucción produzca un resultado incorrecto, es decir, los 32 bits bajos del segundo carril del vector se derivan de los 32 bits bajos del segundo carril del vector de entrada en lugar de los 32 bits altos. El impacto principal de este problema es que cualquier programa WebAssembly que utilice `i64x2.shr_s` con una cantidad de desplazamiento constante mayor que 32 puede producir un resultado incorrecto. Este problema no es un escape del entorno limitado de WebAssembly. La ejecución de los programas invitados de WebAssembly seguirá comportándose correctamente con respecto al espacio aislado de la memoria y el aislamiento del host. No obstante, Wasmtime considera el comportamiento que no cumple con las especificaciones como un problema de seguridad. Este problema se descubrió mediante la confusión del generador de código Cranelift de Wasmtime. Las versiones 10.0.2, 11.0.2 y 12.0.2 de Wasmtime están parcheadas para que ya no tengan esta mala compilación. Este problema solo afecta a los hosts x86_64 y el único workaround es buscar este patrón en los módulos wasm, lo cual no es trivial, o deshabilitar la propuesta SIMD para WebAssembly. Los usuarios anteriores a 10.0.0 no se ven afectados por esta vulnerabilidad.

Discourse es una plataforma de debate de código abierto. Antes de la versión 3.1.1 de la rama `stable` y la versión 3.2.0.beta1 de las ramas `beta` y `tests-passed`, un usuario malintencionado podía agregar una 2FA o una clave de seguridad con un nombre cuidadosamente elaborado a su cuenta. y provocar una denegación de servicio para otros usuarios. El problema se solucionó en la versión 3.1.1 de la rama "estable" y en la versión 3.2.0.beta1 de las ramas "beta" y "ests-passed". No se conocen workarounds.

Discourse es una plataforma de debate de código abierto. Antes de la versión 3.1.1 de la rama "estable" y la versión 3.2.0.beta1 de las ramas "beta" y "ests-passed", la importación de un tema remoto cargaba sus activos en la memoria sin imponer límites de tamaño de archivo o número de archivos. El problema se solucionó en la versión 3.1.1 de la rama "estable" y en la versión 3.2.0.beta1 de las ramas "beta" y "ests-passed". No se conocen workarounds.