Niels Teusink

O `RequestHandlerComponent` decodifica automaticamente corpos de requisição XML em todas as requisições de escrita. Existe um erro de lógica na biblioteca `Xml::build()` em sua condição de guarda `readFile` devido à precedência de operadores do PHP, o que permite que o ramo HTTPS ignore a verificação `readFile`. Consequentemente, um corpo de requisição contendo uma URL HTTPS simples é tratado como um localizador e buscado pelo servidor. Como o endpoint `/cspReport` aceita tipos de conteúdo XML e não requer autenticação, um invasor remoto pode enviar uma requisição POST com um corpo XML manipulado para forçar o servidor a emitir requisições HTTPS externas para alvos arbitrários. Isso pode ser utilizado para sondar serviços internos, disparar ações em endpoints HTTPS internos ou realizar reconhecimento baseado em tempo do ambiente de rede.

Os scripts de instalação para Debian 12, Debian 13, Ubuntu 24.04 e RHEL 9.4 criam um arquivo de log em `/var/log/misp install.log` e um pipe nomeado (FIFO) em `/var/log/misp install.log.pipe` para capturar a saída. Esses arquivos contêm informações sensíveis, incluindo a senha de administrador gerada, senhas do banco de dados, senha do GPG e senha do supervisor. Como o arquivo de log é criado usando o comando `tee` e o FIFO é criado via `mkfifo` sem modos explícitos, ambos herdam o umask padrão do sistema, tornando-os legíveis por qualquer usuário. Isso permite que qualquer usuário local sem privilégios leia as credenciais. Além disso, o instalador não remove o arquivo de log antes da criação, o que poderia permitir que um link simbólico preexistente em `/var/log` redirecionasse a gravação para um local arbitrário.

Um problema de cross-site scripting (XSS) refletido existe no formulário de confirmação de exportação de pesquisa REST de eventos. O template de visualização `app/View/Events/ajax/eventRestSearchExportConfirmationForm.ctp` renderiza uma lista de IDs de eventos fornecida via URL em uma literal de string JavaScript delimitada por aspas simples usando a função `json encode()` do PHP sem flags de codificação hexadecimal. Como o `json encode()` não escapa aspas simples por padrão, um invasor pode injetar um caractere de aspa simples para encerrar a string e executar JavaScript arbitrário na sessão do navegador de um usuário autenticado que navegue para uma URL manipulada. Isso afeta os temas Default e UiBeta. A exploração bem-sucedida pode levar ao sequestro de sessão, ações não autorizadas ou exfiltração de dados sensíveis da sessão.

Uma falha no mecanismo de despacho de tarefas em segundo plano permite a execução remota de código com os privilégios do usuário web. O problema ocorre porque os argumentos das tarefas em segundo plano são passados diretamente como o `argv` do processo de console do CakePHP. A função `ShellDispatcher:: parsePaths()` verifica o `argv` em busca de chaves de caminho, como `-app`, `--app`, `-working`, `--working`, `-root`, `--root`, `-webroot` e `--webroot`, utilizando o elemento seguinte como a raiz da aplicação. Especificamente, o endpoint 'events/contact' encaminha os campos `message` e `person` para os argumentos da tarefa sem validação. Um invasor pode definir o campo `person` como uma chave reservada e o campo `message` como uma URI `phar://` (um wrapper de arquivo PHP) apontando para um arquivo malicioso. Isso faz com que o bootstrap do CakePHP inclua o arquivo `Config/core.php` de dentro do arquivo, executando código PHP arbitrário. Isso permite a exfiltração de dados, persistência e movimentação lateral dentro do host.

**Nome do software vulnerável e versões afetadas: Dispositivos Zyxel USG versão 4.60 Descrição: O problema diz respeito a uma conta não documentada `zyfwp` com uma senha imutável que pode ser encontrada em texto simples no firmware dos dispositivos Zyxel USG. Essa conta permite que alguém faça login no servidor SSH ou na interface web com privilégios de administrador. A senha dessa conta é `PrOw!aN fXp`. Há um aumento significativo nas tentativas de acesso a esse backdoor SSH conhecido usando essas credenciais não documentadas. Recomendações: Para dispositivos Zyxel USG versão 4.60, considere desativar a conta `zyfwp` até que um patch esteja disponível. Restrinja o acesso ao servidor SSH e à interface web para minimizar o risco de exploração. Evite usar a conta `zyfwp` e sua senha associada `PrOw!aN fXp` até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

The issue is related to errors in processing files with .LNK (or .PIF) extensions. Exploitation of this issue can allow a remote attacker to execute arbitrary code using a specially crafted .LNK (or .PIF) file. This can occur when Windows Explorer improperly handles icon display for such files. The issue has been demonstrated in the wild and was originally reported for malware leveraging vulnerabilities in Siemens WinCC SCADA systems. An estimated number of affected devices is not provided, but the issue has been observed in real-world incidents. Technical details include the exploitation of `Windows Shell` in Microsoft Windows, where a crafted (1) `.LNK` or (2) `.PIF` shortcut file is not properly handled during icon display.

Name of the Vulnerable Software and Affected Versions: SquirrelMail versions prior to 1.4.18 NaSMail versions prior to 1.7 Description: The issue allows remote attackers to execute arbitrary commands via shell metacharacters in a `username` string that is used by the `ypmatch` program. This is due to a problem in the `map yp alias` function in `functions/imap general.php`. Recommendations: For SquirrelMail versions prior to 1.4.18, update to version 1.4.18 or later to resolve the issue. For NaSMail versions prior to 1.7, update to version 1.7 or later to resolve the issue. As a temporary workaround, consider restricting the input for the `username` string to prevent the use of shell metacharacters until a patch is available.

Name of the Vulnerable Software and Affected Versions: SquirrelMail versions prior to 1.4.18 NaSMail versions prior to 1.7 Description: The issue allows remote attackers to inject arbitrary web script or HTML, which can lead to cross-site scripting (XSS) attacks. This is possible through various vectors, including certain encrypted strings in e-mail headers related to contrib/decrypt headers.php, PHP SELF, and the query string. Recommendations: For SquirrelMail versions prior to 1.4.18, update to version 1.4.18 or later to resolve the issue. For NaSMail versions prior to 1.7, update to version 1.7 or later to resolve the issue. As a temporary workaround, consider restricting access to the contrib/decrypt headers.php module and limiting the use of PHP SELF and query strings in affected API endpoints until a patch is available.

Name of the Vulnerable Software and Affected Versions: GrabIt versions 1.7.2 Beta 3 and earlier Description: The issue is related to a stack-based buffer overflow in the NZB importer feature. This can be exploited by remote attackers through a crafted DTD reference in a DOCTYPE element in an NZB file, allowing them to execute arbitrary code. Recommendations: For GrabIt versions 1.7.2 Beta 3 and earlier, consider disabling the NZB importer feature until a patch is available to prevent potential exploitation.

Name of the Vulnerable Software and Affected Versions: Firefox version 1.0.3 Description: The issue allows remote web sites on the browser's whitelist to execute arbitrary Javascript with chrome privileges. This can lead to arbitrary code execution on the system when combined with other vulnerabilities. The exploitation can be demonstrated using a javascript: URL as the package icon and a cross-site scripting (XSS) attack on a vulnerable whitelist site. Recommendations: For Firefox version 1.0.3, consider restricting access to the `install` function until a patch is available. As a temporary workaround, avoid using the `javascript:` URL scheme for package icons to minimize the risk of exploitation.

Name of the Vulnerable Software and Affected Versions: Firefox version 1.0.3 Description: The issue allows remote attackers to execute arbitrary Javascript in other domains. This is achieved by using an IFRAME and causing the browser to navigate to a previous javascript: URL, which can lead to arbitrary code execution. Recommendations: For Firefox version 1.0.3, update to a newer version to mitigate the risk.

The issue allows remote attackers to execute arbitrary SQL and gain privileges. This is achieved via the `search id` parameter in the "search.php" file.