Łukasz Bawolski

O controle de acesso inadequado na funcionalidade de anotação permite que usuários autenticados criem e divulguem comentários sem autorização. As APIs 'addAnnotation' e 'listAnnotation' realizam uma verificação de propriedade quando o UUID de uma entidade é especificado, mas não respeitam o resultado corretamente. Consequentemente, qualquer usuário autenticado pode escrever anotações ou visualizar anotações existentes em uma entidade que não lhe pertence, bastando fornecer o `UUID`.

Um problema de Injeção de Comando de SO existe no plugin do provedor de backup NAS. Os endpoints de API 'addBackupRepository' e 'updateBackupRepository' aceitam opções de comando não sanitizadas para o repositório de backup. Uma conta de operador maliciosa pode explorar isso para injetar comandos arbitrários que são executados no host do hipervisor KVM quando qualquer conta subsequentemente realiza a restauração de um backup.

Um locatário autenticado pode realizar Server-Side Request Forgery (SSRF) ao registrar um template que aponta para um arquivo metalink malicioso contendo alvos internos, permitindo que a VM de Armazenamento Secundário recupere e persista esses dados. Além disso, um locatário com a função de Usuário padrão pode obter Execução Remota de Código (RCE) como root no host do hipervisor KVM. Isso ocorre quando um usuário registra um template de VM com a variável `directDownload` definida como true e uma URL apontando para um arquivo .metalink; o servidor de gerenciamento busca o XML e despacha o download para o agente KVM sem revalidar as URLs internas contra a lista de permissões de esquema.

Um problema no plugin de autenticação LDAP permite que usuários autenticados acessem informações sensíveis ao listar provedores LDAP. Qualquer usuário com acesso à API 'listLdapConfigurations', que por padrão está disponível para todas as funções padrão, pode listar as configurações de LDAP.

Ocorre uma falha de codificação ou escape inadequado de saída na interface do usuário ao utilizar a funcionalidade de Redefinição de Senha da Instância (Instance Reset Password). Isso resulta em um problema de Cross-Site Scripting (XSS), onde scripts maliciosos podem ser injetados em páginas da web visualizadas por outros usuários.

Ocorre Injeção de Comando na funcionalidade de execução e obtenção de diagnósticos para VMs do sistema e roteadores virtuais. Um usuário autenticado com as permissões necessárias pode executar comandos arbitrários em instâncias de VM do sistema e Roteador Virtual, operando como root ou como o usuário diagnostics-process. Isso pode levar ao comprometimento total da instância e, potencialmente, permitir a movimentação lateral dentro da infraestrutura gerenciada, incluindo o acesso ao tráfego de rede dos convidados. Os endpoints de API afetados são `getDiagnosticsData` e `runDiagnostics`, que são restritos a contas com a função de Administrador por padrão.

Um problema no módulo Webhook permite a exposição de informações sensíveis a atores não autorizados durante o processo de listagem e exclusão de entregas.

O Kenik Camera management Panel é afetado por um problema de path traversal. Isso permite que um invasor não autenticado envie uma requisição GET contendo um caminho de arquivo arbitrário para ler arquivos armazenados no servidor. Path traversal é uma falha que permite que invasores acessem arquivos e diretórios que estão armazenados fora da pasta raiz da web.