Zwcrazythursday

تقوم الدالة `rtmp i connect()` بتمرير وسيط اتصال RTMP الأول إلى `amf0 object get()` دون التحقق مما إذا كانت قيمة AMF (تنسيق رسالة الإجراء) عبارة عن كائن. إذا تم تقديم سلسلة نصية أو رقم بدلاً من كائن AMF، يتم تفسير بايتات الاتحاد من الرسالة على أنها مؤشرات عقدة ويتم إلغاء مرجعها. يمكن لأي عميل لديه وصول إلى الشبكة إلى مستمع `mod rtmp` مفعل إرسال أمر اتصال مشوه قبل تسجيل الدخول، مما يؤدي إلى قراءة غير صالحة تتسبب في تعطل النظام وإنهاء جميع المكالمات النشطة. يتم تعطيل وحدة `mod rtmp` افتراضيًا في الإصدار والتكوين القياسيين.

يفتقر `Q.931 party-number parser` في `chan ooh323` إلى معالجة صحيحة لعناصر Q.931 المشوهة في `OOH323 request` مما قد يؤدي إلى تعطل نظام Asterisk. تحدث هذه المشكلة لأن إصلاحاً سابقاً لم يتم نقله إلى الإصدارات التي تلي الإصدار 20. يتطلب الاستغلال أن يكون برنامج تشغيل القناة الإضافي `chan ooh323` قد تم تجميعه وتثبيته بشكل صريح، وأن يكون المنفذ الخاص به متاحاً للوصول العام.

يمكن لمهاجم مصرح له بصلاحيات القراءة فقط لـ `Asterisk REST Interface (ARI)` تنفيذ عمليات كتابة من خلال `REST-over-WebSocket`. يسمح هذا التجاوز في التفويض بتحميل `arbitrary module path` وتنفيذ عن بُعد للكود بشكل مشروط. يتطلب هذا الأمر أن يكون خادم ويب HTTP الخاص بـ Asterisk مفعلاً ويمكن الوصول إليه، وأن يمتلك المهاجم بالفعل بيانات اعتماد ARI صالحة للقراءة فقط.

يوجد استخدام غير محدود للدالة `sscanf` في `res pjsip pubsub` عند تحليل حقل `Message-Account` في رسالة `MWI NOTIFY`. يسمح هذا لمهاجم غير مصرح له بإرسال حزمة مصممة بعناية تتسبب في تجاوز سعة مخزن المؤقت للمكدس (stack buffer overflow) وتؤدي إلى تلف النقل الأساسي، مما يعطل جميع وظائف SIP بشكل دائم. يتطلب استعادة التشغيل الكامل إعادة تشغيل Asterisk.

تحدث عملية كتابة خارج الحدود في وحدة `chan unistim` أثناء معالجة أرقام `DIALPAGE` مما قد يؤدي إلى تجاوز سعة حقل `phone number` وتوقف النظام عن العمل عند إرسال حزمة طلب واردة مصممة بعناية. يتطلب ذلك تحميل وحدة `chan unistim` وتكوينها باستخدام `UNISTIM UDP port` يمكن للمهاجم الوصول إليه. بالإضافة إلى ذلك، يجب على المهاجم التسجيل كـ `phone MAC` مهيأ أو استخدام مسار إنتاج/تزويد تلقائي يسمح للعميل بالوصول إلى الصفحة الرئيسية.

توجد مشكلة في حقن أوامر نظام التشغيل حيث تمنح قائمة التحكم في الوصول (ACL) للقراءة وصولاً واسعاً عبر ubus إلى docker.* و docker.container.*، مما يعرض طريقة `docker.container.ttyd start`. يقوم معالج `run ttyd` بإنشاء أمر شل باستخدام المتغيرات `id` و`cmd` و`uid` من الطلب ويمرره إلى الدالة `system()` دون وضع علامات اقتباس مناسبة أو تنفيذ بنمط argv في سياق جذر rpcd. يمكن لمهاجم تمت مصادقته ولديه أذونات قراءة في قائمة التحكم في الوصول (ACL) حقن أحرف خاصة بشل في هذه المتغيرات، مثل `id`، لتنفيذ أوامر تعسفية كجذر عبر طلب HTTP POST إلى نقطة النهاية `/ubus`.

تحدث مشكلة في حزمة luci-app-samba4 لأن قوائم التحكم في الوصول (ACLs) الخاصة بالقراءة تمنح أذونات تنفيذ الملفات على `/usr/sbin/smbd`. وهذا يسمح للمستخدمين المفوضين الذين تمت مصادقتهم بتنفيذ برنامج Samba الخفي باستخدام معلمات سطر الأوامر التي يتحكم فيها المستدعي. ومن خلال إدخال خيارات Samba عامة عشوائية، مثل الأمر message، يمكن للمهاجم تشغيل تنفيذ الأوامر بامتيازات الجذر عند معالجة رسائل بروتوكول SMB.

يوجد عيب في تصعيد الامتيازات حيث تُمنح جلسة LuCI/rpcd التي تتمتع بقائمة تحكم في الوصول (ACL) للكتابة لـ luci-app-travelmate حق الوصول للكتابة على مستوى التكوين (UCI) لتكوين travelmate. على الرغم من أن واجهة المستخدم تقصر اختيار البرنامج النصي للتسجيل التلقائي على /etc/travelmate/*.login، إلا أن هذا مجرد تقييد في الواجهة الأمامية. تقوم خدمة travelmate الخلفية، التي تعمل بصفة الجذر (root)، بقراءة قيم UCI الأولية `script` و`script args` وتنفيذ المسار عند الوصول إلى فرع تسجيل الدخول التلقائي لبوابة التسجيل (captive-portal) `f check()` في ملف travelmate-functions.sh. يمكن للمهاجم الذي يمتلك أذونات كتابة مفوضة تغيير `script` إلى /bin/sh وتوفير معلمات خاضعة للتحكم في `script args` لتنفيذ أوامر تعسفية بصفة الجذر (root).