Masamuneee

O executor de fluxo de trabalho registra credenciais de repositório de artefatos em texto simples durante operações de artefatos. Isso ocorre porque o driver de log passa a estrutura `ArtifactDriver` completa para o logger estruturado, expondo campos sensíveis como `AccessKey`, `SecretKey`, `SessionToken` e `ServerSideCustomerKey` para S3, `AccessKey`, `SecretKey` e `SecurityToken` para OSS, e `ServiceAccountKey` para GCS. Qualquer usuário com permissões de RBAC do Kubernetes para ler logs de pods de fluxo de trabalho pode extrair essas credenciais.

O `Net::IMAP::ResponseReader` apresenta complexidade de tempo quadrática ao processar respostas grandes que contenham inúmeros literais de string. Um servidor mal-intencionado pode enviar respostas especialmente criadas que forçam o `ResponseReader` a reanalisar todo o buffer de resposta crescente para cada literal, levando ao consumo excessivo de CPU e a um ataque de negação de serviço. Essa complexidade algorítmica permite que o problema ignore as proteções de `max response size`, pois uma resposta pode permanecer abaixo do limite de tamanho e ainda assim gerar altos custos de CPU. Como o processo retém o Global VM lock durante a análise, outras threads são significativamente impactadas.

Argo Workflows, an open source container-native workflow engine for Kubernetes, has an issue where Workflow templates endpoints allow any client to retrieve WorkflowTemplates and ClusterWorkflowTemplates. A request with an `Authorization: Bearer nothing` token can expose sensitive template content, including embedded Secret manifests. The issue stems from how informers use the server’s rest config, reading using server service account privileges. A proof-of-concept demonstrates the ability to leak template data, including secrets, artifact locations, service account usage, environment variables, and resource manifests.

O Argo Workflows apresenta uma vulnerabilidade de cross-site scripting (XSS) armazenado na listagem de diretório de artefatos. Isso permite que o autor de um workflow execute JavaScript arbitrário no navegador de outro usuário sob a origem do Argo Server, potencialmente permitindo ações na API com os privilégios da vítima. O problema decorre da resposta da listagem de diretório em `server/artifacts/artifact server.go`, que renderiza nomes de objetos diretamente no HTML sem escape adequado. Os nomes dos objetos são controlados pelo atacante quando um workflow grava arquivos em um diretório de artefato de saída. O código vulnerável está localizado em `fmt.Fprintf` dentro do arquivo especificado. Um atacante pode criar um workflow malicioso que produz um artefato HTML elaborado contendo um script. Ao enviar um link profundo para esse artefato a uma vítima, o atacante pode executar o script no navegador da vítima, permitindo potencialmente que realize ações na API do Argo Server com as permissões da vítima, como ler informações de workflows ou criar/excluir workflows.

O componente `Rack::Directory` tinha uma verificação de caminho que usava uma correspondência de prefixo de string no caminho expandido. Uma solicitação elaborada, como `/../root example/`, poderia contornar a raiz configurada se o caminho de destino compartilhasse um prefixo com a string raiz, possivelmente permitindo a listagem de diretórios fora da raiz pretendida. Isso ocorre porque a verificação `File.expand path(File.join(root, path info)).start with?(root)` não impõe um limite de caminho. Por exemplo, se a raiz do servidor for `/var/www/root`, um caminho como `/var/www/root backup` poderia passar na verificação. Isso poderia levar à divulgação de informações por meio da listagem de diretórios quando o `Rack::Directory` é exposto a clientes não confiáveis e um diretório compartilha o prefixo da raiz.

Um servidor IMAP malicioso pode desencadear um ataque de negação de serviço computacional no processo do cliente durante a autenticação usando `SCRAM-SHA1` ou `SCRAM-SHA256`. Ao enviar uma contagem de iterações PBKDF2 arbitrariamente grande na primeira mensagem do servidor, o servidor força o cliente a executar uma chamada `OpenSSL::KDF.pbkdf2 hmac()` dispendiosa. Como esta função é uma extensão C bloqueante que retém o Global VM Lock do Ruby (um mecanismo que garante que apenas uma thread execute código Ruby por vez), ela pode congelar toda a VM Ruby e bloquear todas as threads por vários minutos, dependendo do hardware e da versão do OpenSSL.

Um invasor man-in-the-middle pode fazer com que a função `starttls()` retorne sucesso sem realmente estabelecer uma conexão TLS. Isso ocorre quando um invasor injeta uma resposta OK etiquetada com uma etiqueta previsível antes que o cliente termine de enviar o comando, fazendo com que o comando seja concluído antes que o manipulador de resposta seja registrado. Isso resulta em um ataque de remoção de STARTTLS (STARTTLS stripping), onde o socket permanece não criptografado, levando à transmissão em texto claro de informações sensíveis.

A falha permite negação de serviço por exaustão de memória quando o Net::IMAP lê as respostas do servidor. Um servidor malicioso pode enviar uma contagem de bytes "literal", que é lida automaticamente pela thread de recebimento do cliente, fazendo com que o leitor de resposta aloque memória para o número de bytes indicado pela resposta do servidor. Isso pode afetar conexões inseguras e servidores com bugs, não confiáveis ou comprometidos.

O problema decorre do componente `Rack::Static` não realizar a sanitização adequada dos caminhos fornecidos pelo usuário antes de servir arquivos, permitindo que sequências codificadas de travessia de caminho sejam utilizadas para acessar arquivos fora do diretório designado de arquivos estáticos. Isso pode resultar na exposição de arquivos localizados sob o diretório `root:` especificado.

O problema diz respeito ao middleware Rack::Sendfile, que registra em log valores não sanitizados do cabeçalho X-Sendfile-Type. Um atacante pode explorar isso injetando sequências de escape, como caracteres de nova linha, no cabeçalho, resultando em injeção de log.

Uma vulnerabilidade crítica afeta o processamento do arquivo /user/add cart.php, onde a manipulação do argumento `id/qty` resulta em Injeção de SQL. O ataque pode ser iniciado remotamente.