Sonicnew

يحتوي نظام b2 الخلفي على مشكلة تعرض لبيانات الاعتماد حيث يتم تسريب رمز تفويض الحساب النشط ومفاتيح SSE-C (التشفير من جانب الخادم باستخدام مفاتيح يوفرها العميل) أثناء عمليات إعادة التوجيه عبر HTTP من مضيفات `--b2-download-url`. يمكن للمهاجم التقاط رمز B2 بنص واضح من خلال مراقبة إعادة توجيه خفض مستوى HTTPS-إلى-HTTP على نفس المضيف، أو الحصول على مفاتيح تشفير العميل SSE-C من خلال عمليات إعادة التوجيه عبر مضيفات مختلفة.

تسمح الدالة `BmpRleDecoder.decode()` في `src/PIL/BmpImagePlugin.py` لهروبات delta RLE BMP وتشغيلات الوضع المطلق المصممة خصيصاً بإلحاق بيانات تتجاوز `dest length` المتبقي لعدم وجود حد لكل فرع. يمكن أن يضيف delta حوالي 255 صفاً من الصورة في تكرار واحد. وبناءً على ذلك، يمكن لملف صغير الحجم بعرض مسموح به كبير أن يوسع bytearray البيانات إلى مئات الميجابايت أو أكثر، مما يؤدي إلى حجب الخدمة بسبب استنفاد الذاكرة.

تقوم الدالة `SpiderImageFile.seek()` في `src/PIL/SpiderImagePlugin.py` بإعادة تحليل إطار مكدس SPIDER لاحق واستبدال `self. size` دون إعادة تشغيل الدالة `Image. decompression bomb check()`. يسمح هذا لملف صغير بتجاوز فحص `Image.open()` الأولي باستخدام إطار أول آمن، ثم التصريح عن أبعاد كبيرة جدًا في إطار وضع F لاحق. يمكن أن يؤدي تحميل هذا الإطار إلى تخصيص حوالي أربعة بايت لكل بكسل يحدده المهاجم، مما قد يستهلك عدة جيجابايت من الذاكرة.

A connection configured to permit `mac=none` can negotiate it with a MAC-requiring CTR or CBC block cipher because the selection logic validates `needs mac()` only when MAC selection fails. A remote peer can send a packet with a decrypted length of zero, causing the `russh/src/cipher/mod.rs` file to shrink the previously read block before indexing `buffer.buffer[16..]`, which results in a panic and terminates the connection task.

The `client read authenticated` function in `russh/src/client/encrypted.rs` forwards several channel subtypes—including CHANNEL DATA, CHANNEL EXTENDED DATA, CHANNEL EOF, CHANNEL CLOSE, CHANNEL OPEN FAILURE, CHANNEL SUCCESS, CHANNEL FAILURE, and CHANNEL REQUEST (specifically exit-status, exit-signal, and xon-xoff)—to public `client::Handler` callbacks. This occurs without verifying if the `ChannelId` belongs to a channel that the client actually opened and established. Consequently, a malicious SSH server could send lifecycle events for predicted, unopened, unconfirmed, or released channel identifiers, leading to application panics or the corruption of exit-code tracking and command completion.

An unbounded per-connection queue growth flaw exists in the `HttpServerCodec`. The codec tracks the HTTP method of unanswered pipelined requests; while the first 32 entries are bit-packed into a single long, subsequent entries are added to the `methodOverflowQueue` (an `ArrayDeque` with no size limit or rejection path). A remote, unauthenticated attacker can exploit this by pipelining HTTP/1.1 requests on a single connection and withholding reads to prevent responses from being flushed. This action allows the queue to grow without bound, leading to unbounded heap growth and a denial of service.