Asadbek Fatullayev

ION-DTN before 4.2.1-a.1 contains a denial of service vulnerability that allows unauthenticated remote attackers to crash the ION process by sending a BPv7 bundle with a zero-length payload. The canonicalizePayloadBlock() function in bpsec util.c passes bundle->payload.length to zco clone() without validating it against zero, causing a failed CHKZERO assertion that triggers sm Abort() and terminates the process with SIGABRT before any HMAC verification occurs, requiring no valid key or credential to exploit.

**Nome do Software Vulnerável e Versões Afetadas** Pangolin versões anteriores a 1.22.0 **Description** Existe uma falha de bypass de autenticação que permite que atacantes não autenticados acessem recursos protegidos. Ao fornecer um parâmetro de URL controlado pelo atacante ao endpoint de autenticação de link de compartilhamento, o identificador de recurso esperado é omitido da chamada de verificação de token. Um atacante com um único link de compartilhamento válido para qualquer recurso pode se autenticar em recursos arbitrários em diferentes organizações, ignorando SSO, senhas de recurso, códigos PIN, listas de permissão de e-mail e autenticação de cabeçalho. **Recommendations** Atualize o Pangolin para a versão 1.22.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** diboot-core (versões afetadas não especificadas) **Descrição** O endpoint POST '/common/load-related-data' resolve nomes de campos fornecidos pelo chamador para qualquer coluna @TableField de qualquer entidade e retorna esses valores para todas as linhas, sem uma lista de permissões de campos ou entidades. A função de guarda de segurança `relatedDataSecurityCheck()` retorna true incondicionalmente, permitindo que qualquer usuário autenticado, incluindo contas sem funções, leia campos secretos anotados com @JsonIgnore, como `IamAccount.authSecret` e `IamAccount.secretSalt` de todas as contas, ou outros campos secretos arbitrários. Como o sistema utiliza o MD5 de duas iterações do Shiro com um salt de 8 caracteres, que é facilmente quebrável offline, a divulgação de hashes de senhas de administrador pode levar ao controle administrativo total. Este endpoint é exigido pelo frontend oficial diboot-admin-ui. No ramo de desenvolvimento, este mecanismo foi renomeado para attachMore*, mas a função `attachMoreSecurityCheck()` também retorna true incondicionalmente. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Dinky versão 1.2.5 **Description** O endpoint POST '/download/uploadFromRsByLocal' não valida o parâmetro `path`, que é passado diretamente para as funções `new File(path)` e `file.transferTo(dest)`. Isso permite que um invasor escreva arquivos arbitrários usando a conta de serviço do Dinky. O endpoint é excluído do interceptor Sa-Token e depende de um valor `dinkyToken` codificado no código para autenticação, que é enviado em cada implantação. Em instalações padrão do Docker, a aplicação roda na porta 8888 com permissões permissivas em /opt/dinky, permitindo a sobrescrita de ativos estáticos, scripts de inicialização e o classpath da aplicação. Isso pode levar à execução de código arbitrário via classpath-shadowing na próxima reinicialização da JVM. **Recommendations** Para a versão 1.2.5, restrinja o acesso ao endpoint '/download/uploadFromRsByLocal' ou evite usar o parâmetro `path` até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Dinky versão 1.2.5 **Descrição** A função `getAll()` no `SysConfigController` contém uma anotação `@SaIgnore` em nível de método que ignora a verificação de segurança `@SaCheckLogin` em nível de classe. Isso permite que chamadores remotos não autenticados acessem o endpoint `GET /api/sysConfig/getAll` sem verificação de sessão ou função. Consequentemente, a configuração completa do sistema é exposta, incluindo credenciais sensíveis em texto claro, como `sys.env.settings.dinkyToken`, `sys.ldap.settings.userPassword`, `sys.resource.settings.oss.accessKey`, `sys.resource.settings.oss.secretKey` e `sys.dolphinscheduler.settings.token`. Essa exposição inclui padrões pré-configurados em instalações novas e credenciais de terceiros configuradas por operadores. Além disso, a divulgação do `dinkyToken` compromete a segurança do endpoint `POST /download/uploadFromRsByLocal`. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Restrinja o acesso ao endpoint `GET /api/sysConfig/getAll` para minimizar o risco de exploração.