Tod Beardsley

A specially crafted malformed search query could return results from outside a user's organization. Log analysis of runZero's hosted environment found only testing of the issue and no adversary traffic. This issue was fixed in version 5.1.261013.1.

يسمح برنامج `wsserver` (daemon) الذي يعمل بصلاحيات الجذر (root) ويربط جلسات الطرفية، للعميل المتصل بتنفيذ أوامر 임의 على الجهاز بصلاحيات الجذر. يحدث هذا لأن البرنامج يقوم ببناء أمر shell باستخدام حقول WebSocket التي يوفرها العميل ويمررها إلى دالتي `system()` و `popen()` دون اقتباس أو هروب أو التحقق من مجموعة الأحرف. بالإضافة إلى ذلك، لا يقوم مسار جلسة المفتاح العام الخاص بالبرنامج بالتحقق من جلسة الجهاز.

تقوم عملية إدارة الأجهزة في openUBMC بمعالجة استجابات PLDM-over-MCTP و NCSI-over-MCTP من الأجهزة الموجودة على الناقل بشكل غير صحيح. تقوم ثلاثة برامج تحليل استجابة في مكتبات النقل المشتركة بطرح حجم ثابت للترويسة أو حقل محجوز من طول الاستجابة الذي يوفره الجهاز دون إجراء فحص للحد الأدنى. إذا كانت الاستجابة قصيرة جدًا، فإن فرق الطول غير الموقع يلتف إلى قيمة كبيرة جدًا، مما يؤدي إلى قيام برنامج التحليل بقراءة الذاكرة بعيدًا جدًا عن ذاكرة التخزين المؤقت للاستجابة. تؤثر هذه المشكلة على فئة التحكم PLDM الأساسية وبرنامج تشغيل NCSI الخاص بشركة Huawei، مما يجعلها قابلة للوصول من خلال أي نقطة نهاية PLDM أو بطاقة واجهة شبكة Huawei على ناقل الإدارة الداخلي.

يقوم البرنامج بتعيين مجموعة امتيازات كاملة للهويات الوهمية التي تمثل المتصلين ببروتوكول SNMP. يتيح ذلك لمستخدم SNMP مصرح له ولكن بصلاحيات منخفضة استدعاء عمليات الخلفية المحددة بهوية إدارية. تحدث هذه المشكلة في `route mapper/account.lua` داخل الدالة `get user privilege()` التي تعيد مجموعة كاملة من تسعة امتيازات لمجموعة `special users` التي تتضمن المستخدم الوهمي `SNMPv1 v2c`.

يقوم البرنامج بالتحقق من توقيع RSA لصورة البرنامج الثابت (firmware) باستخدام مفتاح عام مخزن في الملف `/conf/public.pem`. يمكن لعميل Redfish مصرح له يمتلك صلاحيات `firmware-update` الكتابة فوق هذا الملف من خلال إجراء `UpdateService.UploadSignKey` لأن النظام يتحقق فقط من أن اسم الملف ينتهي بـ `.pem`. يسمح هذا للمهاجم باستبدال مرساة الثقة بمفتاح مخصص، ومن ثم تثبيت صورة برنامج ثابت خبيثة موقعة بالمفتاح الخاص المطابق. يفتقر النظام إلى جذر ثقة عتادي، مثل Platform Firmware Resilience (PFR)، لاكتشاف استبدال المفتاح.

يأتي openUBMC بمفتاح USM SNMPv3 افتراضي يستخدم قيمة واحدة لكل من المصادقة والخصوصية. نظرًا لأن هذه المفاتيح ثابتة في بناء المصدر المفتوح وليست فريدة لكل وحدة، يمكن للمهاجم استعادتها للمصادقة على طلبات SNMPv3 وفك تشفير حركة المرور. تتضمن المشكلة المتغيرين `AuthenticationKey` و `EncryptionKey` المحددين في ملفي `manifest/build/customization/default password.lua` و `account/manufacture/default password.lua`. لا يتم تدوير هذه المفاتيح عند إعادة تعيين كلمة مرور المسؤول، مما يجعلها تستمر بعد إعداد الحساب. وبما أن الوصول إلى SNMP مرتبط بصلاحيات إدارة الجهاز الكاملة، فقد يسمح ذلك بإعادة تعيين النظام وتحديثات البرنامج الثابتة غير المصرح بها.

A logic flaw in the IPMI implementation of OpenBMC allows the authorization context of an active session to be replaced with a target account. This occurs while the original integrity and encryption keys remain active, enabling privilege escalation without the need for re-authentication. This implementation is used by several downstream vendors, including NVIDIA and H3C.

A logic flaw in the IPMI implementation allows an unauthenticated client to force the RAKP Message 1 handler to return before the authentication object's constructor defaults are overwritten. Consequently, the IPMI service accepts a RAKP Message 3 where the HMAC is calculated using a predictable `bmcRandomNum` and a constant 20-byte `userKey` initialized as '0penBmc'. This issue affects OpenBMC and downstream vendors using phosphor-net-ipmid as their IPMI stack, including NVIDIA and H3C.

يحدث تعرض لمجموعات غير مهيأة عندما تقوم الدالة `f lseek()` بتمديد الملفات إلى ما بعد نهاية الملف (EOF) دون ملء المجموعات المخصصة حديثًا بالقيم الصفرية. تعد هذه المشكلة من حالات «استخدام موارد غير مهيأة»، حيث يفشل النظام في مسح الذاكرة أو مساحة التخزين قبل استخدامها، مما قد يؤدي إلى كشف البيانات الحساسة التي تم تخزينها مسبقًا في تلك الكتل.

يحدث انخفاض في قيمة عدد صحيح (underflow) أثناء عمليات القراءة والكتابة المتداخلة على أنظمة الملفات المجزأة. تنشأ هذه المشكلة بسبب تجاوز حدود الطرح غير الموقّع في الدالتين `f read()` و`f write()` عند تقييم الشرط `fp->sect - sect < cc`، مما يؤدي إلى تخطي ذاكرة التخزين المؤقتة القذرة القديمة.

يحدث تجاوز سعة عدد صحيح في الدالة `mount volume()` أثناء معالجة نظام الملفات FAT32 عندما يتم تكرار العملية `fasize *= fs->n fats`. وهذا يسمح للمهاجم بالتحكم في بيانات تعريف حجم الملف، مما يؤدي إلى أطوال قراءة غير آمنة للمتصلين في المراحل اللاحقة. يمكن استغلال هذه المشكلة عبر صور FAT مصممة خصيصًا على أجهزة USB أو بطاقات SD لتنفيذ تعليمات برمجية عشوائية على الأجهزة المدمجة، بما في ذلك تلك التي تستخدم ESP-IDF وSTM32Cube وZephyr وArduPilot. بالإضافة إلى ذلك، يمكن التوصيل عن بُعد عبر OTA أو قنوات التحديث. وقد تم إثبات الاستغلال الفعلي لهذه الثغرة على جهاز كاميرا.

يحدث تجاوز سعة المخزن المؤقت القائم على المكدس في الدالة `f getlabel()`. تنشأ هذه المشكلة بسبب الثقة في طول تسمية exFAT `XDIR NumLabel` دون فرض الحدود القصوى المحددة في المواصفات.

توجد مشكلة عند استخدام المسح GPT مع `FF LBA64 = 1`، حيث يتم اشتقاق عدد حلقات غير محدود من حقل رأس GPT `GPTH PtNum`. قد يؤدي ذلك إلى عمليات مسح طويلة للغاية أو غير محدودة فعليًا أثناء عملية التثبيت، مما ينتج عنه حلقة ذات شرط خروج غير قابل للتحقيق.

توجد مشكلة في معالجة أسماء الملفات الطويلة عند تمكين LFN (أسماء الملفات الطويلة). يمكن أن يصل طول المتغير `fno.fname` إلى 255 حرفًا، ويقوم العديد من المستدعين بنسخ هذه البيانات إلى مخازن مؤقتة قصيرة ثابتة دون إجراء فحوصات للحدود، مما يؤدي إلى تجاوز سعة المخزن المؤقت. يحدث تجاوز سعة المخزن المؤقت عندما يكتب برنامج بيانات إلى كتلة من الذاكرة تزيد عن السعة المخصصة لها.

توجد مشكلة القسمة على الصفر في منطق مزامنة exFAT. تحدث هذه المشكلة أثناء عمليات الكتابة أو المزامنة عندما تؤدي البيانات الوصفية المصممة خصيصًا إلى أن ينتج عن الحساب `n fatent - 2` النتيجة صفر. القسمة على الصفر هي حالة يحاول فيها البرنامج قسمة عدد على الصفر، مما يؤدي عادةً إلى تعطل النظام أو فشل التطبيق.

يؤدي عدم كفاية التحقق من صحة رمز التحدي ACME وفقًا لمعيار RFC 8555 أثناء معالجة ملف التحدي إلى السماح لرمز تم إنشاؤه بشكل خبيث بالتأثير على استخدام المسار المحلي أو اسم الملف. يمكن للمهاجم القادر على تقديم استجابات تحدي ACME — مثلًا من خلال نقطة نهاية CA تم اختراقها أو عن طريق التلاعب بمسار الاستجابة — تحقيق تأثيرات كتابة الملفات غير المصرح بها وعبور المسار. يحدث هذا عادةً مع امتيازات مرتفعة ويمكن أن يؤدي إلى حقن الأوامر عن بُعد. هذا مثال على التحكم الخارجي في اسم الملف أو المسار، حيث يحدد مدخل خارجي المسار الذي يستخدمه التطبيق.

تقبل خدمة Aqara Board على نقطة النهاية ”op-test.aqara.com“ حمولات أوامر MQTT تعسفية وتقوم بإعادة توجيهها إلى وسيط HiveMQ التابع للمنصة دون مصادقة. هذا النقص في المصادقة لوظيفة حاسمة يسمح بحقن أوامر MQTT غير مصدقة. وعندما يقترن ذلك بثغرات أخرى، يمكن أن يؤدي ذلك إلى الاستيلاء الكامل عن بُعد على الأجهزة المتأثرة.

The Aqara IAM/SSO Gateway at the endpoint 'gw-builder.aqara.com' uses a hardcoded OAuth client credential. This flaw can be combined with other issues to allow a fully unauthenticated remote takeover of affected devices.

تُعرِّض بوابة IAM/SSO الموجودة على ’gw-builder.aqara.com‘ أوراكل AES غير خاضع للمصادقة، مما يسمح بإجراء عمليات AES ثنائية الاتجاه باستخدام مفتاح التوقيع الخاص بالمنصة. ويحدث ذلك بسبب عدم وجود مصادقة لوظيفة حاسمة واستخدام خوارزمية تشفير معيبة أو محفوفة بالمخاطر.

🚨 CVE-2026-50082 The Aqara Cloud Developer Portal (developer.aqara.com) issued a developer token to any email address supplied by the attacker. This is an instance of "CWE-306: Missing Authentication for Critical Function" with an estimated CVSS of CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N (6.5 Medium). When combined with CVE-2026-50083, CVE-2026-50084, and CVE-2026-50085, any otherwise-unauthenticated attacker could execute a full takeover of affected devices. 🎖@cveNotify