Huzaifa Sidhpurwala

Os métodos de fábrica do JAXB dependiam exclusivamente de `FEATURE SECURE PROCESSING` para evitar a resolução de Entidades Externas de XML (XXE). Em implementações JAXP onde esse recurso sozinho não bloqueia a resolução de entidades externas, um invasor que consiga desmarshalizar XML não confiável através do JAXB pode ler arquivos locais via XXE out-of-band. XXE é um tipo de ataque que ocorre quando um parser XML processa incorretamente referências de entidades externas dentro de um documento XML.

Um problema de seguimento de link simbólico (symlink following) existe no proxy de migração do `virt-handler` do KubeVirt. Durante a migração ao vivo, o `virt-handler` utiliza `net.Dial()` para se conectar a sockets Unix dentro do pod `virt-launcher` de destino via caminhos `/proc/<pid>/root/` sem proteção contra links simbólicos. Como esses caminhos de socket residem em diretórios pertencentes ao qemu e graváveis pelo usuário `virt-launcher`, um invasor com permissões de edição de namespace e `pods/exec` pode substituir um socket de proxy de migração por um link simbólico apontando para o socket CRI-O do host. Como o `virt-handler` é executado como root no namespace de montagem do host, os alvos de links simbólicos absolutos são resolvidos em relação ao sistema de arquivos do host. O proxy `io.Copy` bidirecional então retransmite bytes controlados pelo invasor para o runtime do container, permitindo o comprometimento total do nó.

Uma falha foi encontrada no gerador de anotações de rede. Quando um locatário cria uma VirtualMachineInstance com uma configuração de rede Multus, o valor de `networkName` é gravado literalmente na anotação `v1.multus-cni.io/default-network` do pod lançador sem validação de formato ou sanitização. Embora strings vazias sejam rejeitadas, o sistema não realiza a validação do formato DNS-1123, detecção de JSON ou rejeição de caracteres especiais. Quando o recurso Beta `ExternalNetResourceInjection` está habilitado, a busca por Network Attachment Definition (NAD) é ignorada. Isso permite que um locatário com permissões `kubevirt.io:edit` injete um array `NetworkSelectionElement` formatado em JSON. Consequentemente, o Multus no nó processa esse JSON e anexa o pod lançador à anexo de rede especificado em qualquer namespace, permitindo acesso de rede entre namespaces e personificação de IP/MAC em segmentos de rede normalmente segregados de cargas de trabalho de locatários.

Uma falha existe no proxy de migração onde a configuração de `spec.configuration.migrations.disableTLS` como true no recurso personalizado do KubeVirt faz com que o virt-handler de destino vincule um ouvinte TCP simples em todas as interfaces (0.0.0.0/::) em uma porta aleatória. Este ouvinte não possui autenticação, lista de permissões de pares ou token de handshake, e faz o proxy diretamente para o socket de controle virtqemud do virt-launcher de destino. Um invasor com um pod na rede do cluster pode se conectar a este ouvinte para executar comandos RPC do libvirt não filtrados contra a máquina virtual de outro locatário. Os impactos potenciais incluem a leitura da memória e configuração da VM, a modificação do estado da VM via QMP (QEMU Machine Protocol) ou a destruição da VM. A configuração de uma rede de migração dedicada via `migrations.network` não mitiga isso, pois o endereço de vínculo do ouvinte permanece 0.0.0.0.

Uma falha existe no servidor virtio-serial de métricas descendentes. O servidor utiliza a função `textproto.Reader.ReadLine()` para ler solicitações de convidados, que armazena a entrada indefinidamente até que um caractere de nova linha seja encontrado, sem limite de comprimento ou prazo de leitura. Um invasor com acesso a um convidado de VM configurado com o dispositivo virtio-serial de métricas descendentes pode enviar um fluxo contínuo de bytes para o dispositivo. Isso resulta em alocação de memória ilimitada no processo `virt-handler`, levando a uma condição de Out-Of-Memory (OOM) que encerra o processo e causa a negação de serviço.

Uma falha de server-side request forgery (SSRF) foi encontrada no manipulador de port-forward do `virt-api`. Ao processar uma solicitação de port-forward para uma VirtualMachineInstance (VMI), o `virt-api` lê o IP de destino de `vmi.Status.Interfaces[0].IP` e o passa diretamente para a função `net.Dial()` sem validação. Para VMIs que utilizam vinculações de rede não mascaradas (bridge ou secondary-only), este IP é reportado pelo agente guest QEMU executado dentro da VM e é totalmente controlável pelo proprietário da VM. Um invasor com permissões `kubevirt.io:edit` pode criar uma VM com um agente guest modificado que reporte um endereço IP arbitrário e, em seguida, solicitar um port-forward para estabelecer um túnel TCP bidirecional a partir da posição de rede interna do cluster do `virt-api` para qualquer destino roteável, ignorando o isolamento de NetworkPolicy.

Uma falha existe no tratamento de cache de rede do virt-handler do KubeVirt. A função `WriteToCachedFile()` grava dados em um caminho enraizado no launcher usando `os.WriteFile` e `os.Chown` sem proteção contra links simbólicos (symlinks). Um usuário com acesso ao contêiner virt-launcher pode criar um link simbólico no caminho do arquivo de cache, fazendo com que o virt-handler siga o link, sobrescreva um arquivo arbitrário do host com conteúdo JSON e altere a propriedade do arquivo.

Uma falha foi encontrada no servidor de notificação de domínio do virt-handler do KubeVirt. Os manipuladores gRPC `HandleDomainEvent()` e `HandleK8SEvent()` derivam a identidade da VMI (namespace/nome) exclusivamente do corpo da requisição, sem validá-la em relação à origem da conexão. Como nenhum marcador de identidade é propagado do socket de pipe por VMI, utilizado por cada pod virt-launcher, para os manipuladores do servidor, um processo virt-launcher comprometido pode enviar eventos de ciclo de vida de domínio forjados para qualquer outra VMI agendada no mesmo nó. Isso faz com que o virt-handler atualize erroneamente o estado dessa VMI e interrompa o gerenciamento de seu ciclo de vida.

Uma falha foi encontrada no pacote `safepath` utilizado pelo `virt-handler`. A função `OpenAtNoFollow()` utiliza `O PATH|O NOFOLLOW` para obter um descritor de arquivo para uma folha de caminho; no entanto, operações subsequentes resolvem o caminho via `/proc/self/fd/N` usando chamadas de sistema que seguem links. Quando a folha é um link simbólico, o kernel o desreferencia, anulando a proteção pretendida. Um invasor com acesso a um pod `virt-launcher` pode explorar isso para redirecionar as conexões de socket IPC do `virt-handler`, incluindo o socket de notificação usado para eventos de ciclo de vida de domínio de VM. Ao sequestrar este socket, o invasor pode injetar eventos de domínio arbitrários no `virt-handler`, fazendo com que ele execute ações de ciclo de vida incorretas, corrompa o estado da VM na API do Kubernetes ou trave, resultando em negação sustentada dos serviços de gerenciamento de VM para todas as máquinas virtuais no nó afetado. Além disso, a mesma falha de seguimento de link simbólico permite que o `virt-handler` aplique alterações de permissão ou propriedade de arquivo em caminhos do host não pretendidos.

O problema está relacionado a uma falha de contorno de ACL no Pacemaker, que poderia permitir que um invasor com uma conta local no cluster e no grupo haclient utilizasse a comunicação IPC diretamente com vários daemons, realizando tarefas que seriam impedidas pelas ACLs se fossem executadas pela configuração. Isso poderia potencialmente levar ao acesso não autorizado a informações confidenciais ou causar uma negação de serviço.

The issue is related to the libtremor library, which has a flaw similar to a previously known issue. This library is utilized by Firefox on Android and ARM platforms as a replacement for libvorbis.

The issue is related to a stack-based buffer overflow in the `evutil parse sockaddr port` function, which can be exploited by attackers to cause a denial of service, resulting in a segmentation fault. This can be achieved by providing a long string in brackets in the `ip as string` argument. The vulnerability allows remote attackers to disrupt service.

The issue is caused by a buffer overflow in the ASN.1 implementation, allowing remote attackers to execute arbitrary code or cause a denial of service via a crafted ANY field in serialized data. This can lead to memory corruption. The vulnerability is related to the misinterpretation of large universal tags as negative zero values in ANY structures.

The issue allows remote authenticated users to retain access by leveraging a stale nonce when Digest authentication is used.

The issue is related to multiple integer overflows in the `th read` function in `lib/block.c` in libtar, which can lead to a denial of service (crash) and possibly allow remote attackers to execute arbitrary code via a long name or link in an archive, triggering a heap-based buffer overflow. Exploitation of this issue can be done remotely and may result in the disruption of confidentiality, integrity, and availability of protected information.

The issue allows remote authenticated users to gain privileges by leveraging the FILE privilege to create files as the MySQL administrator, when configured to assign the FILE privilege to users who should not have administrative privileges. The vendor disputes this issue, stating that it is only a vulnerability when the administrator does not follow recommendations in the product's installation documentation.

The issue allows remote attackers to enumerate valid usernames by generating different error messages with different time delays depending on whether a user name exists.

A heap-based buffer overflow issue allows remote authenticated users to cause a denial of service, resulting in memory corruption and crash, and possibly execute arbitrary code. This can be demonstrated using various database commands, including `USE`, `SHOW TABLES`, `DESCRIBE`, `SHOW FIELDS FROM`, `SHOW COLUMNS FROM`, `SHOW INDEX FROM`, `CREATE TABLE`, `DROP TABLE`, `ALTER TABLE`, `DELETE FROM`, `UPDATE`, and `SET PASSWORD`.

The issue is a stack-based buffer overflow in the `acl get` function, allowing remote authenticated users to execute arbitrary code via a long argument to the GRANT FILE command.

The issue allows local users to potentially obtain sensitive information due to world-readable permissions in initramfs images created by dracut.sh.