He Wei

O traversal de caminho e a falta de autorização na fonte cloud-storage permitem que um invasor remoto não autenticado exfiltre arquivos do host para buckets externos do Google Cloud Storage e sobrescreva arquivos locais arbitrários. Isso é realizado por meio de parâmetros de invocação de ferramenta manipulados.

Existe uma condição de corrida de tempo de verificação ao tempo de uso (toctou), que permite que um invasor autorizado eleve privilégios localmente. Uma condição de corrida TOCTOU ocorre quando um programa verifica o estado de um recurso e depois age sobre esse recurso, mas o estado muda entre a verificação e o uso.

Iniciar o daemon do BuildKit com a flag `--cdi-disabled` pode causar um pânico no daemon quando as builds tentam utilizar dispositivos Container Device Interface (CDI). O CDI é uma especificação que permite que containers acessem dispositivos de hardware especializados. Esta condição pode ser desencadeada acidentalmente ou de forma maliciosa.

Um invasor não autenticado que controla um registro ou fonte de blob de layout OCI pode fornecer conteúdos de blob que não correspondem ao digesto alegado. Isso permite que um snapshot seja armazenado em cache sob o digesto incorreto e posteriormente reutilizado por uma compilação vítima posterior, comprometendo a integridade da entrada de compilação.

Ocorre uma leitura fora dos limites devido a uma verificação de limites insuficiente, o que pode permitir que um aplicativo cause a negação de serviço. Uma leitura fora dos limites é uma condição em que um programa lê dados além do fim ou antes do início do buffer pretendido.

Um problema de bypass de autenticação e confusão de audiência existe no componente de provedor Google OAuth. Quando um authService do Google é inicializado com `mcpEnabled`: true, mas carece de uma audiência ou `clientId` explicitamente definidos, o pipeline ValidateMCPAuth para tokens opacos ignora completamente a validação de audiência. Como resultado, o toolbox aceitará qualquer token de acesso Google OAuth válido, mesmo aqueles emitidos para aplicações de ecossistema não relacionadas, concedendo a clientes não autorizados acesso a ferramentas protegidas e backends de dados.

Uma autorização incorreta no endpoint de invocação de ferramentas da API HTTP direta permite que um invasor não autenticado invoque ferramentas protegidas pelo recurso scopeRequired. Isso ocorre quando as solicitações de invocação de ferramentas são enviadas por meio de endpoints HTTP legados enquanto a flag `--enable-api` está ativa.

Existe uma falha de autorização inadequada e bypass de limite de segurança no componente da ferramenta bigquery-execute-sql. O sistema utiliza a API de dry-run do BigQuery para impor restrições de conjunto de dados; no entanto, ocorre uma falha de lógica fail-open quando a API retorna um array vazio para construtos especializados, permitindo que atacantes autenticados ignorem as verificações de validação de `allowedDatasets`. Isso possibilita a extração de esquemas DDL (Data Definition Language) estruturais para conjuntos de dados explicitamente excluídos via INFORMATION SCHEMA e o acesso a dados de linhas federadas downstream via conexões EXTERNAL QUERY.

Um problema de alocação de recursos no componente de manipulador HTTP permite que um invasor não autenticado cause a negação de serviço (DoS). O manipulador do endpoint '/mcp' lê cargas úteis recebidas diretamente na memória do sistema usando um loop de buffer irrestrito `io.ReadAll()` sem aplicar restrições defensivas, como `http.MaxBytesReader` ou a aplicação de Content-Length pré-lido. Um invasor pode consumir a memória disponível do host ao enviar um único corpo de requisição HTTP massivo até que o processo seja encerrado por um erro de Out-Of-Memory (OOM), que ocorre quando o sistema não consegue alocar mais memória para o processo.

Um problema de autorização incorreta permite que um administrador de organização direcione contas de administrador do site dentro da mesma organização usando a funcionalidade de e-mail administrativo. O sistema não exclui contas com a função de administrador do site das consultas de destinatários, permitindo que um administrador de organização execute ações de gerenciamento de conta privilegiadas, como iniciar um fluxo de redefinição de senha, contra contas de privilégios mais altos. A exploração bem-sucedida pode levar à tomada de controle da conta, escalonamento de privilégios e comprometimento total da confidencialidade, integridade e disponibilidade da instância. O invasor deve estar autenticado como um administrador de organização na mesma organização que o administrador do site alvo.