Gjoko Krstic

Viber for iOS through 29.4.0.24 fails to validate the logical screen width and height in received GIF headers, allowing attackers to crash the app. Attackers can send a crafted GIF with zero dimensions that triggers an uncaught NSInternalInconsistencyException, aborting the app with SIGABRT when opened.

** UNSUPPORTED WHEN ASSIGNED ** Improper restriction of recursive entity references in DTDs ('XML entity expansion') vulnerability in Apache JClouds. This issue affects Apache JClouds: all versions. As this project is retired, we do not plan to release a version that fixes this issue. Users are recommended to find an alternative or restrict access to the instance to trusted users. NOTE: This vulnerability only affects products that are no longer supported by the maintainer.

**UNSUPPORTED WHEN ASSIGNED**  Unbounded allocation in XML parsing in Apache Vysper; all versions, may lead to an out of memory condition. This issue affects all versions of Apache Vysper. Apache Vysper is an XMPP (Jabber) server library. As this project is retired, we do not plan to release a version that fixes this issue. Users are recommended to find an alternative.

LDAPCache and LDAPBackingEngine build LDAP search filters for user and role lookups by substituting placeholders `%u`, `%dn`, and `%fqdn` into administrator-configured filter templates `userFilter` and `roleFilter`. The software fails to properly escape characters required by RFC 4515, specifically `*`, `(`, `)`, and `NUL`. A crafted login name containing these characters can alter the structure of the resulting filter, potentially turning an equality match into a wildcard match or closing and reopening filter clauses. This can lead to the search returning unintended LDAP entries, resulting in over-granted roles or affecting which account a login resolves to. This issue is specifically reproducible through the `GSSAPILdapLoginModule` via the `NameCallback` name and through the `LDAPBackingEngine` `listRoles()` function using `principal.getName()`, as these paths do not apply prior escaping.

An improper link resolution issue exists in the `tar` source plugin when running on Python versions prior to 3.12. This allows malicious source tarballs to write files on the host system with the privileges of the user running BuildStream by using symlinks during the source fetching process. Symlinks are symbolic links, which are files that point to another file or directory.

توجد حالات تضارب بيانات متعددة في ملف `ftpserv.c`. يمكن لمهاجم مجهول غير مصدق عليه أن يتسبب في حدوث سلوك غير محدد عن طريق إرسال أمر LIST متبوعًا بأمر ABOR. يحدث هذا لأن مؤشر الترابط التحكمي يغلق واصفات `data socket` و`file fd` بينما تقوم مؤشرات الترابط العاملة بالوصول في الوقت نفسه إلى هذه الحقول نفسها داخل الدالة `worker thread cleanup()`. ونتيجة لذلك، قد يعيد نظام التشغيل تخصيص هذه الوصفات القديمة للملفات، والتي قد تستخدمها خيوط العمل بعد ذلك على موارد غير ذات صلة، مما قد يؤدي إلى حدوث هجوم رفض الخدمة.

توجد حالة تنافس في الدالة `worker thread cleanup()` في ملف ftpserv.c. ويحدث ذلك عندما يقوم مهاجمون عن بُعد غير مصدّقين بتحفيز وصول غير متزامن إلى الحالة المشتركة لكل اتصال دون قفل الميوتكس المطلوب. من خلال إرسال أمر لنقل البيانات مثل LIST يتبعه مباشرةً أمر ABOR، يمكن للمهاجم استغلال عدم التزامن في السياق المشترك وإعادة استخدام معرّف الخيط المنفصل. يؤدي ذلك إلى زعزعة استقرار الخدمة الخلفية أو تعطلها، مما ينتج عنه رفض الخدمة.

تستخدم البرامج الثابتة تشفير XOR ضعيفًا مكونًا من بايت واحد مع مفتاح ثابت لإخفاء ملف النسخ الاحتياطي للتكوين. وهذا يسمح للمهاجمين غير المصادق عليهم بعكس التشفير واستعادة الأسرار المخزنة في نص عادي من ملف النسخ الاحتياطي `Router.cfg`. تشمل المعلومات المكشوفة كلمات مرور إدارة الويب وtelnet، ومفاتيح WPA/WPA2 المشتركة مسبقًا، وبيانات اعتماد PPPoE و3G/APN، ومعرّفات بطاقة SIM مثل `IMSI` و`IMEI`.

A server-side request forgery (SSRF) issue exists when the optional Node-RED plugin is installed. Unauthenticated attackers can force the device to issue arbitrary blind HTTP requests to internal or external hosts by providing a malicious callback URL. This is possible due to a lack of destination validation and the use of the default passphrase `opendoor`.

A mass assignment flaw allows unauthenticated attackers to overwrite sensitive configuration settings by supplying arbitrary parameter names in HTTP requests. This enables the manipulation of sensitive values such as the `passphrase` and `listening port`. Additionally, the absence of adequate request validation allows these actions to be performed via cross-site request forgery, a technique where a user is tricked into executing unwanted actions on a web application in which they are currently authenticated.

توجد مشكلة في المكون الإضافي الاختياري `cli control` تسمح للمهاجمين غير المصادق عليهم أو أولئك الذين يستخدمون تزوير الطلبات عبر المواقع بتنفيذ أوامر تعسفية في نظام التشغيل. ويتم ذلك عن طريق تخزين حمولة ضارة عبر نقطة نهاية HTTP الخاصة بالمكون الإضافي. ويتم تشغيل التنفيذ عند تنشيط محطة الري المرتبطة، مستغلاً عدم وجود حماية بعبارة مرور أو استخدام عبارة المرور الافتراضية `opendoor` لتشغيل الأوامر على المضيف.

تكشف وحدة التحكم في إدارة المباني Honeywell IQ4x عن واجهة التفاعل بين الإنسان والآلة (HMI) القائمة على الويب بالكامل دون مصادقة في إعداداتها الافتراضية من المصنع. وعندما لا يتم تكوين وحدة المستخدم، يتم تعطيل الأمان حسب التصميم، ويعمل النظام في سياق «ضيف النظام» (System Guest)، مما يمنح امتيازات القراءة/الكتابة لأي شخص يمكنه الوصول إلى واجهة HTTP. ولا يتم فرض المصادقة إلا بعد إنشاء مستخدم ويب من خلال وظيفة `U.htm`، التي تعمل على تمكين وحدة المستخدم ديناميكيًا. ونظرًا لإمكانية الوصول إلى هذه الوظيفة قبل المصادقة، يمكن للمستخدم عن بُعد إنشاء حساب جديد يتمتع بأذونات قراءة/كتابة إدارية، مما يؤدي إلى تمكين وحدة المستخدم وفرض المصادقة باستخدام بيانات اعتماد يسيطر عليها المهاجم. ويمكن لهذا الإجراء أن يمنع بشكل فعال المشغلين الشرعيين من الوصول إلى التكوين والإدارة المحلية وعبر الويب.

تسمح البرامج الثابتة (الفيرموير) لسلسلة أجهزة Tattile Smart+ وVega وBasic، الإصدارات 1.181.5 وما قبلها، بالوصول غير المصرح به إلى تدفقات بروتوكول البث في الوقت الحقيقي (RTSP). يمكن للمهاجم الاتصال بخدمة RTSP دون تقديم بيانات اعتماد صالحة والوصول إلى البث المباشر للفيديو والصوت، مما يؤدي إلى تسرب بيانات المراقبة.

يتم تزويد عائلات الأجهزة ببيانات اعتماد افتراضية لا يلزم تغييرها أثناء التهيئة. يمكن للمهاجم الذي يتمكن من الوصول إلى واجهة الإدارة استخدام بيانات الاعتماد الافتراضية هذه للحصول على صلاحيات إدارية، مما قد يتيح الوصول غير المصرح به إلى إعدادات الجهاز وبياناته.

تستخدم الأجهزة المتأثرة رمز مصادقة (`X-User-Token`) بفترة صلاحية غير كافية. يمكن للمهاجم الذي يحصل على رمز مصادقة صالح، على سبيل المثال، عن طريق الاعتراض أو الكشف عن السجلات أو إعادة استخدام الرمز في نظام مشترك، أن يستمر في المصادقة على واجهة الإدارة حتى يتم إلغاء الرمز. وهذا يتيح الوصول غير المصرح به إلى وظائف وبيانات الجهاز.

يتأثر خادم eNet SMART HOME بمشكلة تتعلق برفع مستوى الامتيازات. تسمح عمليات التحقق غير الكافية من التفويض في طريقة `setUserGroup` JSON-RPC لمستخدم ذي امتيازات محدودة (UG USER) برفع امتيازاته إلى مجموعة UG ADMIN. ويتم ذلك عن طريق إرسال طلب POST مُعدّ بعناية إلى نقطة نهاية واجهة برمجة التطبيقات (API) `/jsonrpc/management`، مع تحديد اسم المستخدم الخاص به. يؤدي الاستغلال الناجح لهذه الثغرة إلى منح صلاحيات إدارية، بما في ذلك القدرة على تعديل إعدادات الأجهزة وإعدادات الشبكة.

يتأثر خادم eNet SMART HOME بمشكلة تتعلق ببيانات الاعتماد الافتراضية. يتم تزويد الخادم ببيانات اعتماد افتراضية («user:user»، «admin:admin») تظل نشطة بعد التثبيت والتكوين الأولي دون الحاجة إلى تغيير كلمة المرور. وهذا يسمح للمهاجمين غير المصادق عليهم بالحصول على وصول إداري إلى وظائف التكوين والتحكم الحساسة في المنزل الذكي.

يحتوي برنامج خادم eNet SMART HOME على ثغرة تتمثل في عدم وجود عمليات التحقق من التفويض في طريقة JSON-RPC `deleteUserAccount`. وهذا يسمح لمستخدم عادي تمت مصادقته (UG USER) بحذف حسابات مستخدمين أخرى، باستثناء حساب المسؤول المدمج. لا يطبق التطبيق التحكم في الوصول القائم على الأدوار لهذه الوظيفة. يمكن للمهاجم إرسال طلب POST مصمم خصيصًا إلى نقطة نهاية واجهة برمجة التطبيقات (API) `/jsonrpc/management`، مع تحديد `username` المراد حذفه، دون الحاجة إلى امتيازات عالية أو تأكيد إضافي. المعلمة المعرضة للخطر هي `username`.

يحتوي البرنامج على ثغرة في التفويض في طريقة JSON-RPC `resetUserPassword`. يمكن للمستخدم المصادق عليه ذي الامتيازات المنخفضة (UG USER) إعادة تعيين كلمات مرور أي حساب، بما في ذلك الحسابات ذات الامتيازات UG ADMIN و UG SUPER ADMIN، دون معرفة كلمة المرور الحالية. ويتم ذلك عن طريق إرسال طلب JSON-RPC مصمم خصيصًا إلى نقطة نهاية واجهة برمجة التطبيقات (API) `/jsonrpc/management`. يتيح الاستغلال الناجح للمهاجم استبدال بيانات الاعتماد الحالية، مما يؤدي إلى الاستيلاء على الحساب والحصول على صلاحيات إدارية كاملة مع تصعيد مستمر للامتيازات.

يحتوي JUNG Smart Visu Server الإصدار 1.1.1050 على ثغرة تتعلق بالتلاعب برأس طلب الويب، مما يسمح للمهاجمين غير المصادق عليهم باستبدال عناوين URL للطلبات عن طريق إدخال قيم عشوائية في رأس `X-Forwarded-Host`. يمكن للمهاجمين التلاعب بالطلبات الممررة لتوليد استجابات ملوثة، مما قد يؤدي إلى تسميم ذاكرة التخزين المؤقت (cache poisoning)، والتصيد الاحتيالي (phishing)، وإعادة توجيه المستخدمين إلى نطاقات ضارة. تتعلق هذه الثغرة الأمنية بالتعاطي غير الملائم مع رؤوس HTTP فيما يتعلق بصيغة البرامج النصية.