Michał Majchrowicz

O utilitário prezip-bin contém um estouro de buffer baseado em heap no descompressor localizado em prog/prezip.c. O descompressor não valida adequadamente o espaço do buffer, permitindo que um arquivo compactado especialmente criado desencadeie operações de leitura e gravação fora dos limites no heap. Essa corrupção de memória pode levar ao travamento do processo se um usuário for convencido a processar um arquivo malicioso.

Um problema de truncamento de inteiro existe na função `WritableDict::add()` dentro do arquivo modules/speller/default/writable.cpp. Ao carregar uma lista de palavras pessoal, o software armazena o comprimento da palavra como um único byte, o que causa o truncamento de palavras cujos comprimentos sejam múltiplos de 256. Esse comportamento leva à corrupção do heap, permitindo que um invasor cause a negação de serviço ao convencer um usuário a processar uma lista de palavras pessoal especialmente elaborada.

Uma leitura fora dos limites existe na função `ReadOnlyDict::load()` em `readonly ws.cpp`. O problema ocorre ao carregar um arquivo de dicionário binário .rws, pois o software utiliza campos de deslocamento do cabeçalho do arquivo como índices de byte em um buffer de heap sem validar seus limites. Um agente remoto pode explorar isso convencendo um usuário a executar a aplicação com um arquivo de dicionário especialmente criado, fornecido através das flags `--master` ou `--dict-dir`, ou por meio de opções de configuração. Isso pode resultar na divulgação de memória do heap ou em uma negação de serviço causada pelo travamento da aplicação.

Uma injeção de argumento local é possível através da funcionalidade de terminação de processos. O software passa o nome do processo diretamente para o comando `pkill` sem a devida sanitização. Um invasor local pode criar um processo com um nome começando com `--` (por exemplo, incluindo o UID de um usuário alvo). Se um usuário executando a aplicação invocar o recurso de interrupção nesse processo, o `pkill` interpretará o nome manipulado como uma opção de linha de comando, resultando na terminação de todos os processos pertencentes ao usuário alvo.

O software é suscetível a injeção de CSV durante o processo de exportação de dados para arquivos CSV. Isso ocorre porque a aplicação falha ao sanitizar o conteúdo de células que começam com caracteres especiais de fórmula, como `=`, `+`, `-` ou `@`. Um invasor local pode explorar isso criando um processo com um nome manipulado começando com `=`, o que injeta fórmulas maliciosas na saída do CSV. Essas fórmulas são executadas quando uma vítima abre o arquivo resultante em um aplicativo de planilha.

A aplicação é suscetível ao seguimento de links simbólicos (symlink following) quando a flag `--devel` está ativa. Isso ocorre porque o software abre um arquivo de log sem a flag `O NOFOLLOW`, que é uma instrução de nível de sistema que impede a aplicação de seguir links simbólicos. Um invasor local pode criar um link simbólico no caminho esperado do arquivo de log que aponte para um arquivo sensível, levando a aplicação a truncar e sobrescrever o arquivo alvo com dados de log. O impacto é maior se a aplicação for executada com privilégios elevados.

O GNU wget está suscetível a uma negação de serviço em sua funcionalidade de autenticação FTP OPIE/S-KEY. O problema ocorre porque o software utiliza um número de sequência fornecido pelo servidor, proveniente da linha de desafio FTP, como uma contagem de iterações para um loop de derivação de chave MD5 sem validar um limite superior. Um servidor FTP malicioso ou um invasor de rede capaz de interceptar o tráfego pode enviar um desafio OPIE manipulado com um número de sequência próximo a `INT MAX`, forçando o aplicativo a realizar aproximadamente 2,1 bilhões de computações MD5. Isso resulta na suspensão do aplicativo por um período significativo. A opção `--timeout` é ineficaz, pois se aplica apenas ao E/S de rede e não ao processamento da CPU.

Existe uma Referência Direta Insegura a Objeto (IDOR) em endpoints relacionados a fotos de perfil. Um usuário autenticado pode fornecer o `member id` de outro usuário em uma requisição POST para o endpoint de álbum de perfil para excluir permanentemente a foto de perfil desse usuário, independentemente de o alvo ser um aluno, instrutor ou administrador.

A funcionalidade de atualização de perfil é suscetível a Cross-Site Request Forgery (CSRF), uma falha em que uma aplicação web não verifica se uma requisição foi intencionalmente iniciada pelo usuário. Um atacante pode criar um site malicioso que, ao ser acessado por um usuário autenticado, envia uma requisição forjada ao sistema. Devido à falta de implementação adequada de tokens CSRF, a aplicação processa a requisição, permitindo que o atacante modifique os campos de perfil do usuário.

Existe um Cross Site Scripting (XSS) Armazenado na funcionalidade de registro. Um invasor pode registrar uma nova conta e injetar um payload de JavaScript no campo `phone`. Quando um usuário autenticado visita o perfil público do invasor, o template do perfil exibe o valor de `phone` sem a codificação de saída, fazendo com que o navegador execute o payload e potencialmente permitindo o roubo do cookie de sessão do usuário.

Existe uma falha de bypass de autorização onde um usuário autenticado com baixos privilégios, como um aluno matriculado em um curso, pode enviar requisições diretamente para os endpoints de importação do backend. Isso permite a importação não autorizada de testes e questões dentro de um curso. Os endpoints afetados são os endpoints de Importação de Testes e Questões.

Um problema de Path Traversal existe na funcionalidade de extração de arquivos ZIP. Um invasor com privilégios de instrutor pode fazer o upload e extrair um arquivo ZIP especialmente criado para gravar arquivos fora do diretório pretendido. Isso permite a colocação de um arquivo `.phtml` executável no servidor na raiz da web, levando à execução remota de código com privilégios do servidor web no servidor subjacente.

Existe uma falha de bypass de autenticação na funcionalidade de auto-login. Embora exista uma verificação de validação de token, os valores necessários para essa validação permanecem não inicializados em caminhos de código específicos. Um invasor não autenticado que determine o identificador e a data e hora de registro de um usuário pode gerar um token válido e se autenticar como qualquer usuário existente, incluindo administradores, sem saber a senha.

Um administrador autenticado pode realizar Server-Side Request Forgery (SSRF) por meio de funcionalidades de importação. Isso permite que o servidor faça requisições para endpoints HTTP internos arbitrários, serviços de metadados de nuvem ou arquivos locais usando o wrapper `file://`, desde que o ambiente PHP permita wrappers de URL. SSRF é uma falha onde um invasor induz uma aplicação no lado do servidor a fazer requisições para um local não pretendido.

Uma vulnerabilidade de path traversal existe no visualizador de logs de erro. Esta falha permite que um invasor com privilégios administrativos acesse arquivos arbitrários fora do diretório de logs pretendido, podendo levar ao acesso não autorizado a arquivos sensíveis e outros recursos acessíveis ao processo do servidor web. Path traversal é uma técnica utilizada para acessar arquivos e diretórios armazenados fora da pasta raiz da web através da manipulação de variáveis que referenciam arquivos com sequências dot-dot-slash (../).

Um invasor autenticado pode realizar um ataque de Cross-Site Scripting (XSS) Refletido através do parâmetro `popup` no endpoint 'preview.php'. Ao injetar aspas duplas no parâmetro `popup`, o invasor pode sair do valor do atributo e anexar um novo manipulador de evento, como `onload`. Embora o arquivo 'preview top.php' sanitize esses parâmetros, isso não impede o XSS no frameset pai renderizado pelo próprio 'preview.php'.

O módulo Gameme permite que usuários autenticados façam upload de arquivos de qualquer tipo e extensão sem restrições. Como os arquivos são armazenados em um local acessível via web antes da validação do conteúdo, um invasor com um `course id` válido (frequentemente `course id=0` para o contexto global) pode fazer o upload de um script malicioso executável no servidor. A requisição desse arquivo via HTTP resulta na execução remota de código com os privilégios do usuário do processo do servidor web.

Existe um Cross-Site Scripting (XSS) Refletido na funcionalidade de restauração. Isso ocorre quando um invasor fornece uma URL especialmente elaborada que, se aberta por uma vítima, executa JavaScript arbitrário no navegador da vítima. O XSS Refletido é um tipo de ataque onde um script malicioso é refletido de uma aplicação web para o navegador da vítima.

Uma vulnerabilidade de path traversal permite que um usuário autenticado acesse arquivos de outros diretórios de cursos. Isso ocorre quando a opção de configuração `AT FORCE GET FILE` está habilitada, podendo levar ao acesso não autorizado a arquivos e à divulgação da estrutura do sistema de arquivos. Path traversal é uma falha que permite a um invasor acessar arquivos e diretórios armazenados fora da pasta raiz da web.

A funcionalidade de confirmação de conta gera tokens de confirmação de e-mail previsíveis devido ao uso de valores insuficientemente aleatórios relacionados ao registro do usuário. Um invasor capaz de prever esses valores pode adivinhar tokens de ativação válidos para ativar uma conta não confirmada sem acessar a caixa de entrada de e-mail da vítima.