Andersk

**Nome do software vulnerável e versões afetadas** Versões do Zulip Server anteriores à 5.6 **Descrição** O problema ocorre ao exibir mensagens com imagens remotas incorporadas. Normalmente, o Zulip carrega a pré-visualização da imagem por meio de um servidor proxy go-camo. No entanto, um invasor com capacidade de enviar mensagens poderia incluir uma URL manipulada que induzisse o servidor a incorporar diretamente uma referência a uma imagem remota. Isso poderia permitir que o invasor deduzisse o endereço IP do visualizador e informações de impressão digital do navegador. **Recomendações** Para versões anteriores à 5.6, atualize para o Zulip Server 5.6 para resolver o problema. Como solução alternativa temporária, considere desativar as visualizações de imagens e links para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Zulip Server versões 5.4 e anteriores **Descrição** O problema decorre de uma verificação de autorização incorreta no Zulip Server, permitindo que um membro de uma organização crie uma chamada de API que conceda privilégios de administrador da organização a um de seus bots. Membros que não possuem bots e não têm permissão para criá-los não podem explorar essa vulnerabilidade. **Recomendações** Para as versões 5.4 e anteriores do Zulip Server, atualize para o Zulip Server 5.5 para corrigir o problema. Como solução alternativa temporária, um administrador da organização pode restringir a permissão `Quem pode criar bots` apenas aos administradores e alterar a propriedade dos bots existentes.

**Nome do software vulnerável e versões afetadas** Versões do Zulip Server de junho de 2021 até o ramo principal anterior a 01/03/2022 **Descrição** A vulnerabilidade afeta a página de tópicos recentes do Zulip Server, onde um invasor poderia explorar uma vulnerabilidade de cross-site scripting criando um nome completo malicioso para sua conta e enviando mensagens para um tópico com vários participantes. Se uma vítima abrir uma dica de ferramenta com overflow que inclua esse nome completo, isso poderia acionar a execução de código JavaScript controlado pelo invasor. **Recomendações** Para as versões do Zulip Server de junho de 2021 até o ramo principal antes de 01/03/2022, atualize do ramo principal para uma versão de 01/03/2022 ou posterior para implementar a correção. Como solução alternativa temporária, considere restringir o acesso à página de tópicos recentes ou desativar o recurso de dica de ferramenta com overflow até que a atualização seja aplicada.

**Name of the Vulnerable Software and Affected Versions** BarnOwl versions prior to 1.0.5 owl version 2.1.11 **Description** The issue involves multiple buffer overflows that allow remote attackers to execute arbitrary code. This can be achieved through various vectors, including a crafted zcrypt message related to zcrypt.c, and a reply command on a message with a Zephyr Cc: list, related to zwrite.c. **Recommendations** For BarnOwl versions prior to 1.0.5, update to version 1.0.5 or later to resolve the issue. For owl version 2.1.11, update to a version later than 2.1.11 to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** ndiswrapper versions prior to 1.53-r1 **Description** The issue affects the ndiswrapper package in Gentoo Linux and the Linux kernel 2.6, allowing remote attackers to execute arbitrary code by sending packets over a local wireless network with long ESSIDs, potentially compromising confidentiality, integrity, and availability of protected information. **Recommendations** For ndiswrapper versions prior to 1.53-r1, update to version 1.53-r1 or later to resolve the issue. As a temporary workaround, consider restricting access to wireless networks to minimize the risk of exploitation.