Msatdt

O PackageKit é uma camada de abstração D-Bus usada para gerenciar pacotes em diferentes distribuições e arquiteturas. Existe uma condição de corrida de tempo de verificação e tempo de uso (TOCTOU) no tratamento de sinalizadores de transação, que permite que um usuário local sem privilégios instale pacotes RPM arbitrários como root sem autenticação, levando à escalação de privilégios locais. Este problema, apelidado de Pack2TheRoot, pode ser acionado através do comando `pkcon install`. A falha envolve três bugs em `src/pk-transaction.c`: 1. A função `InstallFiles()` sobrescreve incondicionalmente `transaction->cached transaction flags` com sinalizadores fornecidos pelo chamador, mesmo que a transação já esteja em execução. 2. A função `pk transaction set state()` rejeita silenciosamente transições de estado regressivas (como de `RUNNING` para `WAITING FOR AUTH`), permitindo que a transação prossiga com sinalizadores corrompidos. 3. O callback ocioso do agendador lê `transaction->cached transaction flags` no momento do despacho, e não no momento da autorização, fazendo com que o backend execute os sinalizadores do invasor. A exploração pode causar uma falha de asserção no daemon PackageKit, resultando em um travamento visível nos logs do sistema.

O Kanboard é um software de gerenciamento de projetos baseado na metodologia Kanban. Nas versões afetadas, as sessões continuam acessíveis mesmo após o término de sua validade. O Kanboard implementa um manipulador de sessão personalizado (`app/Core/Session/SessionHandler.php`) para armazenar os dados da sessão em um banco de dados. Quando um `session id` é fornecido, o Kanboard consulta os dados da tabela SQL `sessions`. No entanto, ele não verifica corretamente se um determinado `session id` já excedeu seu tempo de vida (`expires at`). Assim, uma sessão cujo tempo de vida já seja `> time()` ainda é consultada no banco de dados e, portanto, considerada um login válido. A função `SessionHandlerInterface::gc` implementada, que remove sessões inválidas, é chamada apenas com uma certa probabilidade, com base nas configurações `session.gc divisor`, `session.gc probability` e `session.gc maxlifetime`. Na imagem oficial do Kanboard para Docker, esses valores padrão são: `session.gc probability=1`, `session.gc divisor=1000`. Assim, uma sessão expirada é encerrada apenas com uma probabilidade de 1/1000.

Nome do software vulnerável e versões afetadas: Versões do Kanboard anteriores à 1.2.42 Descrição: A vulnerabilidade está relacionada à restrição incorreta de um caminho de diretório com acesso limitado no software de gerenciamento de projetos Kanboard. Isso pode permitir que um invasor remoto leia e exclua arquivos arbitrários do servidor. Um administrador autenticado do Kanboard pode explorar essa vulnerabilidade enviando um banco de dados SQLite modificado por meio de um recurso dedicado, definindo links de arquivos arbitrários ao abusar de traversals de caminho e acionando um download de arquivo. Isso permite que o invasor baixe todos os arquivos legíveis no contexto das permissões do aplicativo Kanboard. Recomendações: Para versões anteriores à 1.2.42, atualize para a versão 1.2.42 para corrigir o problema. Como solução alternativa temporária, considere restringir o acesso ao banco de dados SQLite `project has files` e ao recurso de upload de arquivos para minimizar o risco de exploração. Evite usar a entrada `path` no banco de dados SQLite `project has files` até que o problema seja resolvido.

Nome do software vulnerável e versões afetadas: Versões do Kanboard anteriores à 1.2.42 Descrição: A vulnerabilidade diz respeito ao software de gerenciamento de projetos Kanboard, que se baseia na metodologia Kanban. Um administrador autenticado do Kanboard pode executar código PHP arbitrário no servidor devido a uma vulnerabilidade de traversal de caminho. Isso pode ser feito através do upload de um arquivo sqlite.db modificado, o que permite que um invasor controle o caminho do arquivo carregado pelo aplicativo. O invasor deve ser capaz de colocar um arquivo chamado `translations.php` no sistema, potencialmente por meio de um servidor FTP anônimo ou outro aplicativo que permita o upload de arquivos. Uma vez que o arquivo esteja no local, o invasor pode criar um arquivo de configurações sqlite.db que utilize o traversal de caminho para apontar para o diretório onde o arquivo `translations.php` está armazenado, obtendo, por fim, a execução de código após importar o arquivo sqlite.db criado. Recomendações: Para versões anteriores à 1.2.42, atualize para a versão 1.2.42 para mitigar o risco de exploração. Como solução temporária, considere restringir o acesso ao arquivo `translations.php` e desativar quaisquer recursos que permitam o upload de arquivos para o sistema até que a atualização seja aplicada. Evite usar a configuração `application language` na tabela `settings` para carregar idiomas da interface do usuário de fontes não confiáveis.