Vulnerabilidades

El puerto de los módulos MMU del Cortex-A7 valida un búfer proporcionado por el llamador traduciendo **una sola dirección**: el primer byte. El gestor de módulos común entrega a su comprobación de rango la instancia del módulo, la dirección de inicio y el tamaño completo en bytes; la implementación del Cortex-A7…

Un hilo lógico de un módulo ThreadX en modo usuario hace que el pool de objetos compartido del Module Manager consuma dos asignaciones, no una. El módulo solicita un bloque de control `TX_THREAD` mediante `txm_module_object_allocate`; a continuación, `_txm_module_manager_thread_create` realiza una segunda asignación…

Un módulo de ThreadX elige `object_size` al llamar a `txm_module_object_allocate`. El Module Manager suma a ese tamaño su propia cabecera privada de 16 bytes y solicita el resultado al pool de objetos **sin comprobar la suma**. Un tamaño cercano al valor máximo de un `ULONG` provocaba un desbordamiento aritmético: el…

El despachador de creación de block-pool del Module Manager demostró que dos palabras `ALIGN_TYPE` del array de parámetros extra que suministra un módulo con protección de memoria se encontraban dentro de los datos del módulo, y a continuación utilizó los índices 0 a 3 de dicho array. Una de las dos palabras no…

Un módulo de ThreadX asigna los bloques de control de sus objetos del kernel desde el pool de objetos del Module Manager, y puede solicitar que se le devuelva esa memoria por dirección mediante `txm_module_object_deallocate`. El gestor la liberaba fuera cual fuera su contenido, incluido un bloque de control que el…

El gestor de módulos (Module Manager) validaba un solo byte del nombre de búsqueda de un módulo protegido en memoria y después recorría tanto del mismo como el módulo declarara, en modo privilegiado y con el contador de expropiación (preemption count) del kernel incrementado. Ambos despachadores de búsqueda están…

Un módulo de ThreadX llega al servicio de eliminación de un objeto del kernel a través de la capa de despacho del Module Manager, que hacía una sola pregunta sobre el puntero: si el objeto está fuera del código y de los datos propios del módulo. Esa es la política para *usar* un objeto, y usar un objeto que un módulo…

El servidor HTTP del complemento web desreferencia y libera un puntero no inicializado cuando detecta un desbordamiento por defecto (underflow) de Content-Length al procesar una petición PUT. La condición es alcanzable por un cliente remoto sin autenticar mediante una única petición malformada.

El analizador X.509 de NetX Secure acepta una clave pública RSA de cualquier tamaño, pero todas las rutas de verificación de firmas descifran en búferes de tamaño fijo dimensionados para el valor predeterminado de 4096 bits de `NX_CRYPTO_MAX_RSA_MODULUS_SIZE`. Un certificado que contenga un módulo mayor provoca una…

El servidor HTTP del complemento Web busca campos de cabecera en todo el paquete de la solicitud, en lugar de detenerse al final de la sección de cabeceras. Por tanto, un nombre de campo de cabecera colocado en el cuerpo de la solicitud se notifica al servidor como si fuera una cabecera, lo que permite a un cliente…

El analizador del mensaje Certificate de TLS 1.3 en NetX Secure decrementa la longitud del mensaje para saltar un byte de contexto sin antes comprobar que el mensaje tiene un byte que saltar. Un mensaje Certificate de longitud cero hace que la longitud sin signo se desborde hasta `0xFFFFFFFF`, lo que deja vacía de…

Una comprobación de límites ausente en el analizador del mensaje Certificate de TLS 1.3 de NetX Secure permite a un servidor TLS 1.3 malicioso provocar un desbordamiento por defecto de un entero sin signo y, a continuación, una lectura fuera de límites en el heap en cualquier par que procese un mensaje Certificate…

`_gx_multi_line_text_view_display_info_get()` lee un byte más allá del final del búfer de texto de la aplicación cuando la cadena que recibe termina en un retorno de carro (`\r`). La lectura fuera de límites también puede hacer que los llamadores avancen su índice más allá del final de la cadena, lo que provoca una…

Faltan comprobaciones de autorización en chttpd en Apache CouchDB 3.5.2 y anteriores en todas las plataformas, lo que permite que cualquier solicitud lea el contenido completo de una base de datos _user o _replicator con prefijo a través de un endpoint de API no autorizado. El uso de bases de datos del sistema con…

La deserialización binaria insegura en chttpd de Apache CouchDB 3.5.2 y versiones anteriores, en todas las plataformas, permite a un usuario autenticado provocar una denegación de servicio (DoS) mediante el agotamiento de la memoria. Se recomienda a los usuarios actualizar a la versión 3.5.3, que corrige este problema.

Falta un mecanismo de corte (circuit-breaker) en el replicador de Apache CouchDB 3.5.2 y versiones anteriores, en todas las plataformas, que permite al propietario de un origen o destino de replicación provocar una denegación de servicio (DoS) mediante la creación de un bucle infinito de redirecciones HTTP. Se…

Una rutina de descompresión gzip sin límites en chttpd de Apache CouchDB 3.5.2 y anteriores, en todas las plataformas, permite que cualquier cliente remoto provoque una denegación de servicio (DoS) mediante el agotamiento de la memoria. Se recomienda a los usuarios actualizar a la versión 3.5.3, que corrige este…

Un valor de configuración en tiempo de ejecución sin validar en Apache CouchDB 3.5.2 y versiones anteriores, en todas las plataformas, permite a un administrador del servidor CouchDB ejecutar comandos de shell arbitrarios como el usuario del sistema operativo de CouchDB. Se recomienda a los usuarios actualizar a la…

SuggestArr anterior a la versión 3.0.0 contiene una vulnerabilidad de omisión de autenticación en su modo de autenticación local_bypass, donde enforce_authentication() en api_service/auth/middleware.py confía en el valor request.remote_addr controlado por el cliente, que se deriva de la cabecera X-Forwarded-For…

VPL (Virtual Programming Lab) para Moodle anterior a la 5.0.0 contiene una vulnerabilidad de XSS reflejado (cross-site scripting) que permite a atacantes remotos inyectar script mediante los parámetros filename1/filename2 sin codificar en similarity/diff.php. Los atacantes pueden elaborar un enlace a diff.php con un…

Networknt light-4j desde la 2.1.5 hasta la 2.4.0 (sin incluir esta) contiene una vulnerabilidad de bypass de autenticación en BasicAuthHandler que permite a atacantes sin autenticar iniciar sesión como usuarios delegados en LDAP/AD. Los atacantes pueden enviar una cabecera Basic Authorization con un nombre de usuario…

OpenImageIO anterior a 3.0.20.0, 3.1.x anterior a 3.1.15.0 y 3.2.x anterior a 3.2.0.3-beta1 contiene un desbordamiento de entero en cineon::Codec::Read que dimensiona por defecto el búfer de líneas de escaneo, lo que provoca una lectura fuera de límites en el heap. Los atacantes pueden proporcionar un archivo Cineon…

HarfBuzz desde la 8.0.0 hasta la 14.6.0 contiene una vulnerabilidad de desreferencia de puntero NULL en las importaciones del host del shaper experimental de WebAssembly buffer_set_contents, face_create y font_set_coords. Los atacantes pueden proporcionar una fuente manipulada cuyo módulo wasm incrustado pasa…

HarfBuzz desde la 8.0.0 hasta la 14.6.0 contiene una vulnerabilidad de escritura fuera de límites en el shaper experimental de WebAssembly, debido a que la importación font_glyph_to_string tiene una firma de WAMR incorrecta. Los atacantes pueden proporcionar una fuente manipulada cuyo módulo wasm sitúa el búfer de…

Froxlor anterior a la 2.3.15 contiene una vulnerabilidad de seguimiento de enlaces simbólicos en Statistics::makeChownWithNewStats que permite a los clientes autenticados apropiarse de directorios arbitrarios del host aprovechando el cron de tráfico ejecutado como root. Los atacantes pueden sustituir el directorio de…