Sinsinology

Uma falha de escalonamento de privilégios locais existe no serviço Fiv devido a um método perigoso exposto. Um invasor que já obteve a capacidade de executar código de baixo privilégio no sistema pode aproveitar esse problema para elevar seus privilégios e executar código arbitrário com permissões de root.

Atacantes adjacentes à rede podem executar código arbitrário em dispositivos afetados sem a necessidade de autenticação. A falha reside no serviço SSH devido ao uso de credenciais fixas (hard-coded), permitindo a execução de código no contexto do usuário `telechips`.

Uma falha de injeção de comandos de SO na API dos produtos Progress ADC permite que um invasor remoto não autenticado execute comandos arbitrários como root no dispositivo LoadMaster. O problema decorre de entradas não sanitizadas em múltiplos endpoints de comando. Especificamente, a função `escape quotes()` no endpoint `/accessv2` utiliza `malloc()` em vez de `calloc()`, resultando em memória heap não inicializada, e falha ao adicionar um terminador nulo à string de saída. Isso permite que um invasor leia além do limite do buffer e injete comandos de shell em uma chamada `system()` através da variável `apiuser`. Estima-se que existam mais de 100.000 implantações mundialmente, e a exploração ativa foi observada, incluindo quase 300 instâncias expostas online.

Uma falha de execução remota de código não autenticada existe no componente BI Publisher Integration do Oracle Concurrent Processing. O problema decorre de deficiências de autenticação e autorização, permitindo que um invasor comprometa o sistema enviando solicitações HTTP especialmente formatadas. Especificamente, a exploração visa o XML Publisher Template Manager através dos endpoints `/OA HTML/RF.jsp` e `/OA HTML/OA.jsp`. Os invasores podem fazer o upload de um template XSLT malicioso que executa comandos incorporados quando visualizado, permitindo a implantação de web shells e backdoors. A exploração no mundo real foi atribuída a atores de ameaças, incluindo Cl0p, Scattered LAPSUS$ Hunters e GRACEFUL SPIDER. Estima-se que mais de 40 organizações tenham sido confirmadas como vítimas, com potencialmente mais de 100 afetadas. Vítimas notáveis incluem a Universidade de Harvard, The Washington Post, Logitech e Korean Air. Esses ataques focaram principalmente no roubo massivo de dados financeiros corporativos, propriedade intelectual e registros de funcionários para fins de extorsão.

O Fortinet FortiSIEM é afetado por uma neutralização inadequada de elementos especiais usados em um comando do SO, também conhecida como Injeção de Comando do SO (CWE-78). Isso permite que um atacante não autenticado execute código ou comandos arbitrários por meio de solicitações CLI elaboradas. A exploração ativa desta questão foi confirmada e o código de exploit está disponível publicamente. A vulnerabilidade impacta a porta phMonitor (TCP/7900). Houve relatos de ataques de força bruta direcionados a produtos Fortinet anteriores à exploração desta falha.

Esta vulnerabilidade permite que atacantes fisicamente presentes executem código arbitrário em instalações afetadas de dispositivos Kenwood DMX958XR sem autenticação. A falha reside no processo de atualização de firmware devido à validação insuficiente de strings fornecidas pelo usuário antes de serem usadas em chamadas de sistema, permitindo que um atacante execute código com privilégios de root.

O Dell Unity e o UnityVSA contêm uma vulnerabilidade de Neutralização Imprópria de Elementos Especiais usados em um Comando do SO, também conhecida como Injeção de Comando do SO. Um atacante remoto não autenticado poderia potencialmente explorar essa falha para executar comandos arbitrários no sistema. A vulnerabilidade origina-se do tratamento inadequado de URIs de redirecionamento de login, permitindo que um atacante insira metacaracteres de shell em uma string de execução de comando durante o processo de redirecionamento. Isso pode resultar em alterações de configuração não autorizadas, acesso a dados ou controle total sobre o appliance.

Name of the Vulnerable Software and Affected Versions: Autel MaxiCharger AC Wallbox Commercial (affected versions not specified) Description: This issue allows remote attackers to disclose sensitive information on affected installations of Autel MaxiCharger AC Wallbox Commercial charging stations. The specific flaw exists within the Pile API, resulting from the lack of authentication prior to allowing access to functionality. An attacker can leverage this issue to disclose credentials, leading to further compromise. Recommendations: At the moment, there is no information about a newer version that contains a fix for this vulnerability.

The issue concerns an Incorrect Authorization Privilege Escalation Vulnerability in the Commercial Technician API of the Autel MaxiCharger AC Wallbox. This was discovered by Sina Kheirkhah of Summoning Team during Pwn2Own.

O problema refere-se a uma vulnerabilidade de divulgação de informações por método perigoso, na qual o número de série comercial é exposto. Esta vulnerabilidade foi descoberta por Sina Kheirkhah, da Summoning Team.

The issue concerns a remote code execution vulnerability due to a firmware downgrade in the Autel MaxiCharger AC Wallbox Commercial. No information is provided about the estimated number of potentially affected devices or real-world incidents where this issue was exploited. Technical details about exploitation are not specified.

O problema refere-se a uma Vulnerabilidade de Bypass de Autenticação por Erro de Validação de Origem. Isso permite o bypass de autenticação devido a um erro de validação de origem.

Este problema permite que atacantes presentes fisicamente contornem a autenticação em instalações afetadas do Carregador de Veículos Elétricos WOLFBOX Nível 2. A falha específica reside no tratamento dos cartões de gerenciamento, decorrente da falta de personalização desses cartões. Um atacante pode explorar esta vulnerabilidade para contornar a autenticação no sistema.

Esta vulnerabilidade permite que atacantes adjacentes à rede executem código arbitrário nas instalações afetadas. Embora a autenticação seja necessária para explorar esta vulnerabilidade, o mecanismo de autenticação existente pode ser contornado. A falha existe no software do módulo de comunicação Tuya, decorrente da exposição de um método que permite o upload de imagens de software manipuladas para o módulo. Um atacante pode aproveitar-se desta vulnerabilidade para executar código no contexto do dispositivo.

Este problema permite que atacantes com presença física executem código arbitrário em instalações afetadas. Não é necessária autenticação para sua exploração. A falha reside na função `UPDM wstpCBCUpdStart` devido à validação insuficiente de dados fornecidos pelo usuário antes da execução de uma chamada de sistema, permitindo que um atacante execute código com privilégios de root.

Um estouro de buffer baseado em pilha e a leitura de memória fora dos limites existem no software afetado. Isso permite que um invasor remoto não autenticado consiga a execução remota de código e a elevação de privilégios. A exploração no mundo real foi observada desde meados de dezembro de 2024, atingindo instituições financeiras e agências governamentais. Os invasores utilizaram um Trojan de acesso remoto (RAT) baseado em ELF conhecido como DslogdRAT, que emprega uma rotina de configuração `init config()` para descriptografar configurações usando uma cifra XOR e uma função `child()` para manter a persistência através de forkings contínuos. O processo de exploração envolve a desativação do SELinux, a prevenção do encaminhamento de syslog, a remontagem da unidade como leitura e gravação, a implantação de web shells e a manipulação do manifesto da ferramenta Ivanti Integrity Checker Tool (ICT) para ignorar as verificações de integridade. Além disso, o malware PHASEJAM foi usado para exibir barras de progresso de atualização falsas para enganar os administradores enquanto bloqueava atualizações legítimas do sistema.

Esta vulnerabilidade permite que invasores na mesma rede executem código arbitrário em instalações afetadas das estações de recarga ChargePoint Home Flex. Não é necessária autenticação para explorar esta vulnerabilidade. A falha específica existe no módulo `wlanapp`, resultante da falta de validação adequada de uma string fornecida pelo usuário antes de usá-la para executar uma chamada de sistema. Um invasor pode aproveitar esta vulnerabilidade para executar código no contexto do root.

Esta vulnerabilidade permite que invasores na rede adjacente executem código arbitrário em instalações afetadas das estações de recarga ChargePoint Home Flex. Não é necessária autenticação para explorar esta vulnerabilidade. A falha específica existe no módulo `onboardee` e resulta de um controle de acesso inadequado, permitindo que um invasor execute código no contexto do usuário `root`.

Existe uma falha de injeção de SQL autenticada no método `listExtensions` do VMware Hybrid Cloud Extension (HCX). A exploração bem-sucedida permite que um usuário mal-intencionado e autenticado, sem privilégios de administrador, execute código arbitrário no gerenciador do HCX enviando consultas SQL especialmente criadas. A vulnerabilidade é identificada como CVE-2024-38814 e possui uma pontuação CVSS de 8,8 (Alta). A vulnerabilidade reside na forma como o software lida com a estrutura das solicitações SQL, falhando na implementação de medidas de proteção adequadas.

Esta vulnerabilidade permite que invasores remotos executem código arbitrário em instalações afetadas do GFI Archiver. É necessária autenticação para explorar esta vulnerabilidade. A falha específica existe no Core Service, que escuta na porta TCP 8017 por padrão. A vulnerabilidade resulta da falta de validação adequada dos dados fornecidos pelo usuário, o que pode resultar na desserialização de dados não confiáveis. Um invasor pode aproveitar essa vulnerabilidade para executar código no contexto do SYSTEM.