Gjoko Krstic

Viber for iOS through 29.4.0.24 fails to validate the logical screen width and height in received GIF headers, allowing attackers to crash the app. Attackers can send a crafted GIF with zero dimensions that triggers an uncaught NSInternalInconsistencyException, aborting the app with SIGABRT when opened.

** UNSUPPORTED WHEN ASSIGNED ** Improper restriction of recursive entity references in DTDs ('XML entity expansion') vulnerability in Apache JClouds. This issue affects Apache JClouds: all versions. As this project is retired, we do not plan to release a version that fixes this issue. Users are recommended to find an alternative or restrict access to the instance to trusted users. NOTE: This vulnerability only affects products that are no longer supported by the maintainer.

**UNSUPPORTED WHEN ASSIGNED**  Unbounded allocation in XML parsing in Apache Vysper; all versions, may lead to an out of memory condition. This issue affects all versions of Apache Vysper. Apache Vysper is an XMPP (Jabber) server library. As this project is retired, we do not plan to release a version that fixes this issue. Users are recommended to find an alternative.

LDAPCache e LDAPBackingEngine constroem filtros de pesquisa LDAP para busca de usuários e funções substituindo os marcadores `%u`, `%dn` e `%fqdn` em modelos de filtro configurados pelo administrador `userFilter` e `roleFilter`. O software não escapa corretamente os caracteres exigidos pela RFC 4515, especificamente `*`, `(`, `)`, e `NUL`. Um nome de login manipulado contendo esses caracteres pode alterar a estrutura do filtro resultante, potencialmente transformando uma correspondência de igualdade em uma correspondência de curinga ou fechando e reabrindo cláusulas de filtro. Isso pode fazer com que a pesquisa retorne entradas LDAP indesejadas, resultando na concessão excessiva de funções ou afetando a qual conta um login é resolvido. Este problema é especificamente reproduzível através do `GSSAPILdapLoginModule` via `NameCallback` name e através da função `listRoles()` do `LDAPBackingEngine` usando `principal.getName()`, pois esses caminhos não aplicam a codificação prévia.

Um problema de resolução inadequada de links existe no plugin de fonte `tar` ao ser executado em versões do Python anteriores a 3.12. Isso permite que tarballs de fontes maliciosas gravem arquivos no sistema host com os privilégios do usuário que executa o BuildStream, utilizando symlinks durante o processo de busca de fontes. Symlinks são links simbólicos, que são arquivos que apontam para outro arquivo ou diretório.

Múltiplas condições de corrida de dados existem no arquivo `ftpserv.c`. Um invasor anônimo não autenticado pode causar comportamento indefinido ao enviar um comando LIST seguido por um comando ABOR. Isso ocorre porque a thread de controle fecha os descritores `data socket` e `file fd` enquanto as threads de trabalho operam simultaneamente nos mesmos campos na função `worker thread cleanup()`. Consequentemente, o sistema operacional pode reatribuir esses descritores de arquivo obsoletos, que as threads de trabalho podem então utilizar em recursos não relacionados, resultando em uma potencial negação de serviço.

Uma condição de corrida existe na função `worker thread cleanup()` do arquivo ftpserv.c. Isso ocorre quando invasores remotos não autenticados acionam o acesso não sincronizado ao estado compartilhado por conexão sem o bloqueio de mutex necessário. Ao enviar um comando de transferência de dados, como LIST, seguido imediatamente por ABOR, um invasor pode explorar a falta de sincronização no contexto compartilhado e o reuso de ID de thread desvinculada. Isso leva à desestabilização ou falha do daemon, resultando em uma negação de serviço.

O firmware utiliza uma cifra XOR de byte único fraca com uma chave estática para ofuscar o arquivo de backup de configuração. Isso permite que invasores não autenticados revertam a cifra e recuperem segredos armazenados em texto simples a partir do arquivo de backup `Router.cfg`. As informações expostas incluem senhas de administração web e telnet, chaves pré-compartilhadas WPA/WPA2, credenciais PPPoE e 3G/APN, e identificadores de SIM, como `IMSI` e `IMEI`.

Um problema de server-side request forgery (SSRF) ocorre quando o plugin opcional Node-RED está instalado. Atacantes não autenticados podem forçar o dispositivo a emitir requisições HTTP cegas arbitrárias para hosts internos ou externos ao fornecer uma URL de callback maliciosa. Isso é possível devido à falta de validação de destino e ao uso da senha padrão `opendoor`.

Uma falha de atribuição em massa permite que atacantes não autenticados sobrescrevam configurações sensíveis ao fornecer nomes de parâmetros arbitrários em requisições HTTP. Isso possibilita a manipulação de valores sensíveis, como a `passphrase` e a `listening port`. Além disso, a ausência de validação adequada de requisições permite que essas ações sejam realizadas via cross-site request forgery, uma técnica onde um usuário é enganado para executar ações indesejadas em uma aplicação web na qual ele está autenticado.

Existe um problema no plugin opcional `cli control` que permite que atacantes não autenticados ou que utilizem falsificação de solicitação cross-site (CSRF) executem comandos arbitrários do sistema operacional. Isso é feito armazenando um payload malicioso através do endpoint HTTP do plugin. A execução é disparada ao ativar a estação de irrigação associada, explorando a ausência de proteção por senha ou o uso da senha padrão `opendoor` para executar comandos no host.

The Honeywell IQ4x building management controller exposes its full web-based Human Machine Interface (HMI) without authentication in its factory-default configuration. When no user module is configured, security is disabled by design, and the system operates under a System Guest context, granting read/write privileges to anyone who can access the HTTP interface. Authentication is only enforced after a web user is created through the `U.htm` function, which dynamically enables the user module. Because this function is accessible before authentication, a remote user can create a new account with administrative read/write permissions, enabling the user module and imposing authentication under attacker-controlled credentials. This action can effectively prevent legitimate operators from accessing local and web-based configuration and administration.

O firmware das famílias de dispositivos Tattile Smart+, Vega e Basic, versões 1.181.5 e anteriores, permite acesso não autorizado aos fluxos do Protocolo de Streaming em Tempo Real (RTSP). Um atacante pode conectar-se ao serviço RTSP sem fornecer credenciais válidas e acessar transmissões de vídeo e áudio ao vivo, levando à divulgação de dados de vigilância.

As famílias de dispositivos são fornecidas com credenciais padrão que não precisam ser alteradas durante a configuração. Um invasor que acesse a interface de gerenciamento pode usar essas credenciais padrão para obter acesso administrativo, potencialmente permitindo acesso não autorizado à configuração e aos dados do dispositivo.

Os dispositivos afetados implementam um token de autenticação (`X-User-Token`) com expiração insuficiente. Um atacante que obtiver um token válido, por exemplo, por meio de interceptação, exposição de logs ou reuso de token em um sistema compartilhado, pode continuar a autenticar na interface de gerenciamento até que o token seja revogado. Isso permite acesso não autorizado às funções e dados do dispositivo.

O servidor eNet SMART HOME é afetado por um problema de elevação de privilégios. Verificações insuficientes de autorização no método `setUserGroup` JSON-RPC permitem que um usuário com privilégios limitados (UG USER) eleve seus privilégios para o grupo UG ADMIN. Isso é feito ao enviar uma requisição POST elaborada para o endpoint da API `/jsonrpc/management`, especificando seu próprio nome de usuário. A exploração bem-sucedida concede capacidades administrativas, incluindo a capacidade de modificar configurações de dispositivos e configurações de rede.

O servidor eNet SMART HOME é afetado por um problema de credenciais padrão. O servidor é fornecido com credenciais padrão ('user:user', 'admin:admin') que permanecem ativas após a instalação e configuração inicial sem exigir alteração de senha. Isso permite que atacantes não autenticados obtenham acesso administrativo às funções sensíveis de configuração e controle da casa inteligente.

O software do servidor eNet SMART HOME possui uma falha na qual as verificações de autorização estão ausentes no método JSON-RPC `deleteUserAccount`. Isso permite que um usuário padrão autenticado (UG USER) remova outras contas de usuário, com exceção da conta de administrador integrada. A aplicação não implementa o controle de acesso baseado em funções para esta funcionalidade. Um atacante pode enviar uma requisição POST especialmente elaborada ao endpoint da API `/jsonrpc/management`, especificando um `username` a ser excluído, sem necessitar de privilégios elevados ou confirmação adicional. O parâmetro vulnerável é `username`.

O software contém uma falha de autorização no método JSON-RPC `resetUserPassword`. Um usuário autenticado com baixos privilégios (UG USER) pode redefinir as senhas de qualquer conta, incluindo aquelas com privilégios UG ADMIN e UG SUPER ADMIN, sem conhecer a senha atual. Isso é realizado enviando uma requisição JSON-RPC especialmente elaborada ao endpoint da API `/jsonrpc/management`. A exploração bem-sucedida permite que um atacante sobrescreva credenciais existentes, resultando na tomada de controle da conta e acesso administrativo completo com escalonamento persistente de privilégios.

O JUNG Smart Visu Server versão 1.1.1050 apresenta uma falha de manipulação de cabeçalho de requisição que permite que atacantes não autenticados substituam URLs de requisição ao injetar valores arbitrários no cabeçalho `X-Forwarded-Host`. Atacantes podem manipular requisições intermediadas para gerar respostas contaminadas, o que pode levar a envenenamento de cache, phishing e redirecionamento de usuários para domínios maliciosos. A vulnerabilidade envolve a neutralização inadequada de cabeçalhos HTTP para sintaxe de scripts.