Mark Esler

A `OnCallNotificationActivity` está declarada como exportada no `AndroidManifest.xml` sem uma guarda de permissão. Isso permite que um aplicativo malicioso coinstalado inicie a atividade usando extras de Intent controlados pelo invasor: `on call page content`, que é renderizado como texto de tela cheia na tela de bloqueio; `page id`, usado para enfileirar um worker de Reconhecimento (Acknowledge) de chamada; e `on call page intent`, um Intent Parcelable. Quando o usuário toca no botão Acknowledge, o aplicativo envia uma solicitação de Reconhecimento forjada para o backend usando a sessão autenticada da vítima para o `page id` especificado. Além disso, o Intent controlado pelo invasor é iniciado a partir do processo do Datadog via `startActivity()`, permitindo o acesso a componentes não exportados do aplicativo através de um padrão de confused-deputy. A atividade também habilita a exibição na tela de bloqueio e desperta o dispositivo, o que pode ser usado para engenharia social. Este problema requer que um aplicativo malicioso esteja coinstalado no dispositivo e que haja uma sessão ativa do Datadog.

O aplicativo associa o UUID do usuário do Datadog—um identificador estável por usuário—ao ID de instalação do Firebase do dispositivo no backend do Google, chamando `FirebaseCrashlytics.setUserId` após o login bem-sucedido. Exceções não capturadas são então encaminhadas para o Firebase Crashlytics através da função `recordException()`, anexando rastros de pilha (stack traces) e breadcrumbs ao mesmo UUID. Esse processo ocorre sem um portal de consentimento visível ou mecanismo de opt-out para o usuário, tornando o UUID e os dados de falha visíveis no Firebase Crashlytics.

A atividade de inicialização `AppActivity` é declarada como exportada com `launchMode="singleTask"` e não possui uma guarda de permissão. O aplicativo invoca `Intent.getUserSession()` durante o `onCreate` e `onNewIntent`, que desserializa um `UserSession` contendo a identidade do usuário, tokens de acesso e atualização OAuth, host, organização, datacenter e permissões a partir de extras de Bundle sob o namespace `com.datadog.app.*`. Um aplicativo malicioso coinstalado pode invocar o inicializador com extras de sessão arbitrários, permitindo que o invasor injete uma sessão e realize um login automático sob uma identidade escolhida pelo invasor. O preparador de sessão retorna um estado Ready sem contatar o backend se o token de acesso injetado não for sinalizado como expirado, o que significa que nenhuma introspecção de token no servidor ocorre antes do auto-login. Isso resulta em um problema de confusão de conta, onde o aplicativo da vítima é alternado para uma sessão controlada pelo invasor.

Dois bancos de dados SQLite baseados em Room armazenam conteúdo sensível em texto simples. O `LocalNotificationDatabase` contém títulos de notificação, mensagens, destinatários, serviços, tags e links profundos de incidentes ou on-call. O `SearchRecentDatabase` armazena todo o histórico de pesquisas do usuário no aplicativo. Esses bancos de dados são armazenados como arquivos de texto simples em `/data/data/com.datadog.app/databases/`. Um agente capaz de burlar o sandbox do aplicativo—como por meio de dispositivos com root, configurações incorretas de `android:allowBackup`, acesso físico ao dispositivo ou aquisição forense—pode ler essas informações operacionalmente sensíveis.

A `BubbleChatActivity` está exportada sem uma guarda de permissão e aceita um intent SEND com `mimeType` text/plain. A atividade lê um `conversation id` dos extras do Intent e, ao chamar a função `onDestroy()`, aciona `BubbleChatNotification.dismiss()` sempre que nenhuma sessão ativa no processo corresponde ao `conversation id` fornecido. Este processo cancela incondicionalmente a notificação ID 9201, que corresponde à notificação de chat do Bits AI codificada, via `NotificationManager.cancel`, sem validar a identidade do chamador ou a propriedade do `conversation id`. Consequentemente, um aplicativo coinstalado sem permissões pode iniciar a `BubbleChatActivity` usando um `conversation id` aleatório para descartar silenciosamente a notificação de chat do Bits AI no dispositivo. Este problema não resulta em exposição de dados, pois o conteúdo do chat é protegido por autenticação no servidor.

Seis atividades de configuração de App Widget—IncidentWidgetActivity, MonitorSavedViewWidgetActivity, OnCallShiftsWidgetActivity, OnCallPagesWidgetActivity, SloWidgetActivity e DashboardWidgetActivity—estão exportadas sem uma guarda de permissão. Essas atividades utilizam um `AppWidgetManager.EXTRA APPWIDGET ID` fornecido pelo chamador para carregar uma sessão armazenada e realizar o login automático como o usuário quando nenhum destino de deep-link é resolvido. Como os IDs de widgets do Android são inteiros sequenciais pequenos, um aplicativo malicioso coinstalado pode realizar brute-force nesse valor para identificar um widget configurado no dispositivo da vítima. Se uma correspondência for encontrada, a atividade abre em primeiro plano sob a sessão da vítima, renderizando dados de infraestrutura em tempo real. Isso cria um canal lateral visual onde os dados podem ser expostos via gravação de tela, serviços de acessibilidade ou captura de tela, embora o aplicativo chamador não possa ler os dados programaticamente.

Уязвимость таблиц предоставления прав Grant Table гипервизора Xen связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию или вызвать отказ в обслуживании

Уязвимость таблиц предоставления прав Grant Table гипервизора Xen связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию или вызвать отказ в обслуживании

O problema está relacionado à biblioteca Modules::ScanDeps, que não sanitiza adequadamente as entradas. Isso pode permitir que um invasor execute comandos de shell arbitrários. Um invasor local poderia explorar essa vulnerabilidade passando entradas não sanitizadas para a biblioteca, o que poderia permitir que ele executasse comandos como root.

A vulnerabilidade está relacionada a um elemento de caminho de busca não controlado no utilitário needrestart. A exploração dessa vulnerabilidade pode permitir que um invasor execute código arbitrário no contexto do usuário root, manipulando a variável de ambiente `RUBYLIB`. Isso pode ser feito induzindo o needrestart a executar o interpretador Ruby com uma variável `RUBYLIB` controlada pelo invasor.

O utilitário needrestart, versões anteriores à 3.8, contém uma falha devido ao tratamento inadequado da variável de ambiente `PYTHONPATH`. Isso permite que invasores locais executem código arbitrário com privilégios de root manipulando a variável `PYTHONPATH` durante a inicialização do interpretador Python. A vulnerabilidade decorre de um elemento de caminho de pesquisa não controlado. Existe um exploit publicamente disponível para este problema. A vulnerabilidade afeta sistemas que executam Ubuntu e Debian.

O problema está relacionado a uma condição de corrida que permite que invasores locais executem código arbitrário como root, induzindo o needrestart a executar um interpretador Python falso. Isso é conseguido ao vencer a condição de corrida e substituir o interpretador Python real do sistema por um malicioso. A correção de segurança inicial introduziu uma regressão, que foi posteriormente resolvida.

O problema está relacionado ao fato de o needrestart passar dados não sanitizados para uma biblioteca que espera entradas seguras. Isso poderia permitir que um invasor local executasse comandos de shell arbitrários com privilégios de root.

Um invasor local capaz de registrar nomes de usuário poderia falsificar a identificação de outro usuário e obter seus privilégios devido à aleatorização insuficiente das identificações de usuário. O problema decorre do método `GenerateID`, que atribui identificações de usuário como uma função pura do nome de usuário, e o conjunto de UIDs é pequeno demais para que a atribuição pseudoaleatória funcione. Isso permite que um adversário registre vários usuários com IDs conflitantes ou registre um único usuário cujo ID entre em conflito com o de um usuário alvo. O invasor pode contornar a verificação de exclusividade criando uma situação em que o administrador do sistema limpe `/var/cache`, visando uma conta do sistema cujo UID esteja no intervalo do `authd`, ou visando uma conta que não tenha feito login em um sistema específico há mais de 6 meses.

Nome do software vulnerável e versões afetadas: Versões do módulo PAM Authd anteriores à 0.3.5 Descrição: O problema está relacionado a erros no gerenciamento de privilégios, permitindo que um invasor remoto obtenha acesso à conta de outro usuário ao executar comandos como `su`, `sudo` ou `ssh` e modificar suas transações. Isso pode permitir que usuários gerenciados por um broker se passem por qualquer outro usuário gerenciado pelo mesmo broker e realizem qualquer operação PAM com ele, incluindo a autenticação como esse usuário. Recomendações: Para versões do módulo PAM Authd anteriores à 0.3.5, atualize para a versão 0.3.5 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o uso dos comandos `su`, `sudo` e `ssh` para minimizar o risco de exploração. Além disso, certifique-se de que ferramentas como `su`, `sudo` e `ssh` estejam atualizadas para versões que incluam as correções necessárias, como a versão do `su` que incluirá https://github.com/util-linux/util-linux/pull/3206, a versão do `ssh` que incluirá https://github.com/openssh/openssh-portable/pull/521 e a versão do `sudo` que incluirá https://github.com/sudo-project/sudo/pull/412.

Nome do software vulnerável e versões afetadas: versões do juju anteriores à 2.9.51 versões do juju anteriores à 3.1.10 versões do juju anteriores à 3.3.7 versões do juju anteriores à 3.4.6 versões do juju anteriores à 3.5.4 Descrição: O problema diz respeito a um soquete de domínio UNIX abstrato usado para introspecção do juju, que está disponível localmente sem autenticação para usuários do namespace de rede. Isso possibilita ataques de negação de serviço. Especificamente, em um agente controlador do juju, a negação de serviço pode ser realizada usando o endpoint “/leases/revoke”, o que pode causar problemas de disponibilidade. Em um agente de máquina do juju que hospeda unidades, a desativação do componente da unidade pode ser realizada usando o endpoint “/units” com uma ação “stop”. Recomendações: Para versões anteriores à 2.9.51, atualize para a versão 2.9.51 ou posterior. Para versões anteriores à 3.1.10, atualize para a versão 3.1.10 ou posterior. Para versões anteriores à 3.3.7, atualize para a versão 3.3.7 ou posterior. Para versões anteriores à 3.4.6, atualize para a versão 3.4.6 ou posterior. Para versões anteriores à 3.5.4, atualize para a versão 3.5.4 ou posterior. Como solução temporária, considere restringir o acesso aos endpoints “/leases/revoke” e “/units” para minimizar o risco de exploração.

Nome do software vulnerável e versões afetadas: versões do juju anteriores à 2.9.51 versões do juju anteriores à 3.1.10 versões do juju anteriores à 3.3.7 versões do juju anteriores à 3.4.6 versões do juju anteriores à 3.5.4 Descrição: O soquete de domínio UNIX abstrato da ferramenta juju hook está vulnerável. Quando combinado com um ataque de `JUJU CONTEXT ID`, qualquer usuário no sistema local com acesso ao namespace de rede padrão pode se conectar ao `/var/lib/juju/agents/unit-xxxx-yyyy/agent.socket` e realizar ações que normalmente são reservadas a um charm do juju. Recomendações: Para versões anteriores à 2.9.51, atualize para a versão 2.9.51 ou posterior. Para versões anteriores à 3.1.10, atualize para a versão 3.1.10 ou posterior. Para versões anteriores à 3.3.7, atualize para a versão 3.3.7 ou posterior. Para versões anteriores à 3.4.6, atualize para a versão 3.4.6 ou posterior. Para versões anteriores à 3.5.4, atualize para a versão 3.5.4 ou posterior.

O `JUJU CONTEXT ID` é um segredo de autenticação previsível. Em uma máquina Juju ou contêiner de charm do Juju, um usuário sem privilégios no mesmo namespace de rede pode se conectar a um soquete de domínio abstrato e adivinhar o valor do `JUJU CONTEXT ID`. Isso dá ao usuário sem privilégios acesso às mesmas informações e ferramentas que o charm do Juju. O `JUJU CONTEXT ID` possui componentes que incluem o nome do aplicativo, o número da unidade, o gancho atual e um número decimal uint63. O gerador de números aleatórios utilizado não é criptograficamente seguro, tornando-o altamente previsível. Não há limitação de taxa no soquete de domínio abstrato, permitindo que um usuário sem privilégios tente múltiplas conexões.

Foi descoberta uma falha no Juju que resultou no vazamento do ID de contexto confidencial, o que permite que um invasor local sem privilégios acesse outros dados confidenciais ou relações acessíveis ao charm local. Existe uma vulnerabilidade potencial em que um usuário pode executar um loop bash na tentativa de executar ferramentas de hook. Se isso ocorrer enquanto outro hook estiver em execução, registramos um erro com o ID de contexto, possibilitando que o usuário utilize esse ID com sucesso em uma chamada subsequente. Isso significa que um usuário sem privilégios pode acessar qualquer coisa disponível por meio de uma ferramenta hook, como configuração, dados de relação e segredos.

O problema está relacionado a um elemento de caminho de pesquisa não controlado no wpa supplicant, permitindo que um invasor local sem privilégios escale privilégios para o usuário sob o qual o wpa supplicant é executado, geralmente o root. A pertença ao grupo netdev ou o acesso à interface dbus do wpa supplicant permite que um usuário sem privilégios especifique um caminho arbitrário para um módulo a ser carregado pelo processo wpa supplicant. O número estimado de dispositivos potencialmente afetados é de milhões.