Mark Esler

تم تعريف `OnCallNotificationActivity` على أنه مُصدَّر في ملف `AndroidManifest.xml` دون وجود حارس أذونات. وهذا يسمح لتطبيق ضار مُثبَّت بشكل مشترك بتشغيل النشاط باستخدام إضافات Intent التي يتحكم فيها المهاجم: `on call page content`، والتي يتم عرضها كنص على شاشة القفل بملء الشاشة؛ و`page id`، المستخدمة لوضع عامل ”Acknowledge“ (التأكيد) في قائمة الانتظار؛ و`on call page intent`، وهو Intent قابل للنقل (Parcelable). عندما ينقر المستخدم على زر «Acknowledge»، يرسل التطبيق طلب «Acknowledge» مزورًا إلى الخلفية باستخدام جلسة عمل الضحية المصادق عليها لـ `page id` المحدد. بالإضافة إلى ذلك، يتم تشغيل Intent الذي يتحكم فيه المهاجم من عملية Datadog عبر `startActivity()`، مما يتيح الوصول إلى مكونات التطبيق غير المصدرة من خلال نمط «confused-deputy». كما تتيح هذه النشاط عرض شاشة القفل وإيقاظ الجهاز، وهو ما يمكن استخدامه لأغراض الهندسة الاجتماعية. تتطلب هذه المشكلة تثبيت تطبيق ضار على الجهاز وجود جلسة Datadog نشطة.

يربط التطبيق معرّف UUID الخاص بالمستخدم في Datadog — وهو معرّف ثابت لكل مستخدم — بمعرّف تثبيت Firebase الخاص بالجهاز على الخادم الخلفي لـ Google، وذلك عن طريق استدعاء `FirebaseCrashlytics.setUserId` عند نجاح عملية تسجيل الدخول. ثم يتم إعادة توجيه الاستثناءات غير الملتقطة إلى Firebase Crashlytics عبر الدالة `recordException()`، مع إرفاق تتبعات المكدس ومسارات التنقل بنفس معرّف UUID. وتحدث هذه العملية دون وجود بوابة موافقة مرئية أو آلية إلغاء الاشتراك المتاحة للمستخدم، مما يجعل معرّف UUID وبيانات الأعطال مرئية داخل Firebase Crashlytics.

تم تعريف نشاط المشغل `AppActivity` على أنه مُصدَّر مع `launchMode=”singleTask“` ويفتقر إلى آلية حماية الأذونات. يستدعي التطبيق `Intent.getUserSession()` أثناء `onCreate` و`onNewIntent`، مما يؤدي إلى فك تسلسل `UserSession` التي تحتوي على هوية المستخدم، ورموز الوصول والتحديث الخاصة بـ OAuth، والمضيف، والمؤسسة، ومركز البيانات، والأذونات من إضافات الحزمة (Bundle extras) ضمن مساحة الاسم `com.datadog.app.*`. يمكن لتطبيق ضار مُثبَّت بشكل مشترك استدعاء المشغل باستخدام إضافات جلسة عمل عشوائية، مما يسمح للمهاجم بحقن جلسة عمل وإجراء تسجيل دخول تلقائي باستخدام هوية يختارها المهاجم. يقوم مُعد الجلسة بإرجاع حالة «جاهز» (Ready) دون الاتصال بالخلفية إذا لم يتم وضع علامة على رمز الوصول المُحقن على أنه منتهي الصلاحية، مما يعني عدم حدوث فحص داخلي للرمز من جانب الخادم قبل تسجيل الدخول التلقائي. ويؤدي ذلك إلى مشكلة «التشويش على الحساب» حيث يتم تحويل تطبيق الضحية إلى جلسة يتحكم فيها المهاجم.

تخزن قاعدتا بيانات SQLite المدعومتان بـ Room محتوىً حساسًا في نص عادي. تحتوي قاعدة البيانات `LocalNotificationDatabase` على عناوين الإشعارات، والرسائل، والمستلمين، والخدمات، والعلامات، والروابط المباشرة الخاصة بنوبات العمل أو الحوادث. أما قاعدة البيانات `SearchRecentDatabase` فتخزن سجل البحث الكامل للمستخدم داخل التطبيق. يتم تخزين قواعد البيانات هذه كملفات نصية عادية في المجلد `/data/data/com.datadog.app/databases/`. يمكن لأي جهة قادرة على تجاوز بيئة الحماية (sandbox) الخاصة بالتطبيق — مثلًا من خلال الأجهزة التي تم عمل روت لها، أو إعدادات `android:allowBackup` غير الصحيحة، أو الوصول المادي إلى الجهاز، أو الحصول على البيانات بطريقة تحليلية — قراءة هذه المعلومات الحساسة من الناحية التشغيلية.

يتم تصدير `BubbleChatActivity` بدون حارس أذونات ويقبل نية SEND ذات `mimeType` من النوع text/plain. يقرأ النشاط `conversation id` من إضافات النية (Intent extras)، وعند استدعاء الدالة `onDestroy()`، يقوم بتشغيل `BubbleChatNotification.dismiss()` إذا لم تكن هناك جلسة نشطة قيد المعالجة تتطابق مع `conversation id` المقدم. تقوم هذه العملية بإلغاء معرّف الإشعار 9201 دون قيد أو شرط، وهو ما يتوافق مع إشعار دردشة Bits AI المبرمج بشكل ثابت، عبر `NotificationManager.cancel` دون التحقق من هوية المتصل أو ملكيته لـ `conversation id`. ونتيجةً لذلك، يمكن لأي تطبيق مُثبَّت جنبًا إلى جنب ولا يمتلك أي أذونات أن يُشغِّل `BubbleChatActivity` باستخدام `conversation id` عشوائي لإغلاق إشعار دردشة Bits AI على الجهاز دون إشعار. لا تؤدي هذه المشكلة إلى تسرب البيانات، حيث إن محتوى الدردشة محمي بمصادقة الخادم.

يتم تصدير ستة أنشطة لتكوين أدوات التطبيق (App Widget) — وهي IncidentWidgetActivity وMonitorSavedViewWidgetActivity وOnCallShiftsWidgetActivity وOnCallPagesWidgetActivity وSloWidgetActivity وDashboardWidgetActivity — دون وجود آلية حماية للأذونات. تستخدم هذه الأنشطة معرّف `AppWidgetManager.EXTRA APPWIDGET ID` المقدم من المتصل لتحميل جلسة عمل مخزنة وتسجيل الدخول تلقائيًا باسم المستخدم عندما لا يتم تحديد وجهة الرابط العميق. ونظرًا لأن معرّفات عناصر واجهة المستخدم في Android عبارة عن أعداد صحيحة متسلسلة صغيرة، يمكن لتطبيق ضار مُثبَّت بشكل مشترك استخدام الهجوم بالقوة الغاشمة على هذه القيمة لتحديد عنصر واجهة المستخدم المُهيأ على جهاز الضحية. في حالة العثور على تطابق، يُفتح النشاط في المقدمة ضمن جلسة عمل الضحية، ويقوم بعرض بيانات البنية التحتية الحية. يؤدي هذا إلى إنشاء قناة جانبية مرئية يمكن من خلالها كشف البيانات عبر تسجيل الشاشة أو خدمات إمكانية الوصول أو التقاط لقطة شاشة، على الرغم من أن التطبيق المستدعي لا يمكنه قراءة البيانات برمجيًا.

Уязвимость таблиц предоставления прав Grant Table гипервизора Xen связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию или вызвать отказ в обслуживании

Уязвимость таблиц предоставления прав Grant Table гипервизора Xen связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию или вызвать отказ в обслуживании

The issue is related to the Modules::ScanDeps library, which does not properly sanitize input. This can allow an attacker to execute arbitrary shell commands. A local attacker could exploit this by passing unsanitized input to the library, potentially allowing them to run commands as root.

The issue is related to an uncontrolled search path element in the needrestart utility. Exploitation of this issue may allow an attacker to execute arbitrary code in the context of the root user by manipulating the `RUBYLIB` environment variable. This can be achieved by tricking needrestart into running the Ruby interpreter with an attacker-controlled `RUBYLIB` variable.

The needrestart utility, versions prior to 3.8, contains a flaw due to improper handling of the `PYTHONPATH` environment variable. This allows local attackers to execute arbitrary code with root privileges by manipulating the `PYTHONPATH` during Python interpreter initialization. The vulnerability stems from an uncontrolled search path element. A publicly available exploit exists for this issue. The vulnerability affects systems running Ubuntu and Debian.

The issue is related to a race condition that allows local attackers to execute arbitrary code as root by tricking needrestart into running a fake Python interpreter. This is achieved by winning a race condition and substituting the system's real Python interpreter with a malicious one. The initial security fix introduced a regression, which was subsequently resolved.

The issue is related to needrestart passing unsanitized data to a library, which expects safe input. This could allow a local attacker to execute arbitrary shell commands with root privileges.

A local attacker who can register user names could spoof another user's ID and gain their privileges due to insufficient randomization of user IDs. The issue arises from the `GenerateID` method, which assigns user IDs as a pure function of the user name, and the set of UIDs is too small for pseudo-random assignment to work. This allows an adversary to register multiple users with colliding IDs or register a single user whose ID collides with a target user's. The attacker can bypass the uniqueness check by engineering a situation where the system administrator purges `/var/cache`, targeting a system account whose UID is in `authd`'s range, or targeting an account that hasn't logged into a specific system in more than 6 months.

Name of the Vulnerable Software and Affected Versions: Authd PAM module versions prior to 0.3.5 Description: The issue is related to errors in privilege management, allowing a remote attacker to gain access to another user's account by executing commands such as `su`, `sudo`, or `ssh` and modifying their transactions. This can enable broker-managed users to impersonate any other user managed by the same broker and perform any PAM operation with it, including authenticating as them. Recommendations: For Authd PAM module versions prior to 0.3.5, update to version 0.3.5 or later to resolve the issue. As a temporary workaround, consider restricting the use of `su`, `sudo`, and `ssh` commands to minimize the risk of exploitation. Additionally, ensure that tools such as `su`, `sudo`, and `ssh` are updated to versions that include the necessary fixes, such as `su` version that will include https://github.com/util-linux/util-linux/pull/3206, `ssh` version that will include https://github.com/openssh/openssh-portable/pull/521, and `sudo` version that will include https://github.com/sudo-project/sudo/pull/412.

Name of the Vulnerable Software and Affected Versions: juju versions prior to 2.9.51 juju versions prior to 3.1.10 juju versions prior to 3.3.7 juju versions prior to 3.4.6 juju versions prior to 3.5.4 Description: The issue concerns an abstract UNIX domain socket used for juju introspection, which is available without authentication locally to network namespace users. This enables denial of service attacks. Specifically, on a juju controller agent, denial of service can be performed by using the "/leases/revoke" endpoint, which can cause availability issues. On a juju machine agent hosting units, disabling the unit component can be performed using the "/units" endpoint with a "stop" action. Recommendations: For versions prior to 2.9.51, update to version 2.9.51 or later. For versions prior to 3.1.10, update to version 3.1.10 or later. For versions prior to 3.3.7, update to version 3.3.7 or later. For versions prior to 3.4.6, update to version 3.4.6 or later. For versions prior to 3.5.4, update to version 3.5.4 or later. As a temporary workaround, consider restricting access to the "/leases/revoke" and "/units" endpoints to minimize the risk of exploitation.

Name of the Vulnerable Software and Affected Versions: juju versions prior to 2.9.51 juju versions prior to 3.1.10 juju versions prior to 3.3.7 juju versions prior to 3.4.6 juju versions prior to 3.5.4 Description: The juju hook tool's abstract UNIX domain socket is vulnerable. When combined with an attack of `JUJU CONTEXT ID`, any user on the local system with access to the default network namespace may connect to the `/var/lib/juju/agents/unit-xxxx-yyyy/agent.socket` and perform actions that are normally reserved to a juju charm. Recommendations: For versions prior to 2.9.51, update to version 2.9.51 or later. For versions prior to 3.1.10, update to version 3.1.10 or later. For versions prior to 3.3.7, update to version 3.3.7 or later. For versions prior to 3.4.6, update to version 3.4.6 or later. For versions prior to 3.5.4, update to version 3.5.4 or later.

The `JUJU CONTEXT ID` is a predictable authentication secret. On a Juju machine or Juju charm container, an unprivileged user in the same network namespace can connect to an abstract domain socket and guess the `JUJU CONTEXT ID` value. This gives the unprivileged user access to the same information and tools as the Juju charm. The `JUJU CONTEXT ID` has components including the application name, unit number, current hook, and a uint63 decimal number. The random number generator used is not cryptographically secure, making it highly predictable. There is no rate limiting on the abstract domain socket, allowing an unprivileged user to try multiple connections.

An issue was discovered in Juju that resulted in the leak of the sensitive context ID, which allows a local unprivileged attacker to access other sensitive data or relation accessible to the local charm. A potential exploit where a user can run a bash loop attempting to execute hook tools. If running while another hook is executing, we log an error with the context ID, making it possible for the user to then use that ID in a following call successfully. This means an unprivileged user can access anything available via a hook tool such as config, relation data and secrets.

The issue is related to an uncontrolled search path element in wpa supplicant, allowing a local unprivileged attacker to escalate privileges to the user that wpa supplicant runs as, usually root. Membership in the netdev group or access to the dbus interface of wpa supplicant allows an unprivileged user to specify an arbitrary path to a module to be loaded by the wpa supplicant process. The estimated number of potentially affected devices is in the millions.