Tinyb0Y

Um problema de autorização inadequada permite que administradores de realm acessem e modifiquem recursos globais ao chamar endpoints de administração que carecem de verificações de super administrador. Um invasor pode usar o endpoint '/configuration/manager' para alterar a variável global `keycloakUrl`, permitindo o redirecionamento da autenticação do console de outros realms para facilitar o phishing de credenciais. Além disso, isso permite a injeção de CSS, a substituição de tiles de mapa e a exclusão de logs.

Um problema permite que atacantes não autenticados induzam o servidor a enviar requisições HTTP ao registrar um cliente OAuth2 com um `jwks uri` não validado. Isso pode ser acionado através do endpoint de introspecção de token usando um `client assertion` não assinado, permitindo a sondagem de serviços internos e o acesso a endpoints de metadados de nuvem. Server-side request forgery é uma falha onde um servidor é enganado para fazer requisições a um local não pretendido.

Usuários autenticados com permissões `write:admin` podem realizar um ataque de cross-site scripting armazenado ao fazer upload de arquivos HTML ou SVG contendo JavaScript através do endpoint de upload de arquivos de configuração do Manager. Um invasor pode então atrair vítimas para o endpoint de recuperação de imagens não autenticado, que serve esses arquivos como `text/html` ou `image/svg+xml`, resultando na execução de scripts na origem da aplicação.

Um problema de heap-use-after-free ocorre quando a função `peer find template()` em `src/netflow plugin/netflow collector.cpp` e `src/netflow plugin/netflow v9 collector.cpp` retorna um ponteiro para `global netflow9 templates` após liberar o mutex de cache. Em implantações com duas ou mais entradas em `netflow ports`, a redefinição simultânea de modelos e o processamento de data-flowset permitem que a função `add update peer template()` reatribua o modelo e libere seu vetor de registros enquanto outro ouvinte desreferencia o ponteiro escapado. Um remetente não autenticado que consiga alcançar ambas as portas de escuta NetFlow/IPFIX pode disparar essa condição para causar a falha do sistema.

Ações de gravação em `controllers/C Document.class.php`, especificamente a função `move action process()`, não verificam se o chamador possui acesso apropriado ao documento de origem, ao paciente e categoria atuais, ou ao paciente e categoria de destino antes que a função `Document::change patient()` execute a mutação. Isso permite que um usuário autenticado de baixo privilégio reatribua um documento arbitrário a um paciente ou categoria que o usuário possa acessar e, em seguida, recupere-o através do caminho de leitura normalmente protegido. Como a reatribuição ocorre antes de uma verificação de renderização de lista posterior, uma resposta HTTP 403 final não significa que a gravação não autorizada foi bloqueada.

No arquivo `library/classes/Controller.class.php`, a função `checkControllerAcl()` não aplica permissões para controladores ausentes no `CONTROLLER ACL MAP`. Este despachante com falha aberta permite que um usuário autenticado de baixo privilégio ignore as listas de controle de acesso (ACL) e invoque controladores administrativos. Especificamente, um invasor pode usar `C X12Partner::edit action process()` para criar ou modificar hosts e credenciais de roteamento de seguro, ou usar `C PatientFinder::find action process()` para enumerar identificadores, nomes e datas de nascimento de pacientes. Este problema também expõe outros controladores administrativos que deveriam ser restringidos via rotas de Configurações de Prática.

Uma leitura remota fora de limites não autenticada ocorre quando a função `parse raw packet to simple packet full()` em `src/simple packet parser ng.cpp` desreferencia `ipv6 extension header fragment t` sem verificar a presença do cabeçalho Fragment de oito bytes quando `IpProtocolNumberIPV6 FRAG` está presente. Isso pode ser acionado por um registro sFlow v5 RAW PACKET HEADER manipulado com bytes de Fragment omitidos.

Uma condição de corrida existe na thread de desenho de tela de top-talkers IPv6 dentro da função `draw table ipv6()` em src/fastnetmon logic.cpp. O problema ocorre quando a thread itera sobre `ipv6 host counters.average speed map` sem deter o `counter map mutex` enquanto a função `recalculate speed()` insere novas chaves, podendo causar um rehash do mapa. Esta condição requer que a `networks list` inclua a faixa IPv6 alvo e leva a um comportamento indefinido sob carga, o que poderia potencialmente resultar no travamento do processo.

A função `parse packet()` em `src/pcap plugin/pcap collector.cpp` não verifica o `packethdr->caplen` ao processar quadros capturados via `pcap loop` quando o `pcap` está ativado. Um invasor pode causar uma leitura fora dos limites (out-of-bounds read)—onde o sistema lê dados fora do limite de memória pretendido—enviando um quadro curto ou um comprimento de cabeçalho IPv4 manipulado. Isso leva à desreferenciação de cabeçalhos IP ou de transporte além dos bytes capturados, resultando na terminação do processo.

O coletor NetFlow v9 utiliza a função `strlen()` em um campo de descrição de interface controlado por um invasor sem limitar a varredura ao comprimento declarado do campo. Se um campo for aceito sem um terminador nulo, isso pode causar leituras além do campo e do buffer de pacotes. Um invasor remoto não autenticado pode explorar isso enviando pacotes UDP manipulados para o coletor, desencadeando uma leitura fora dos limites que pode travar o processo e resultar em negação de serviço.

A função `process sflow flow sample()` em `src/sflow plugin/sflow collector.cpp` passa a variável `sflow raw protocol header t.header size` para `parse raw packet to simple packet full()` como um comprimento de captura confiável sem compará-lo com os bytes restantes no registro. Um invasor pode fornecer um `header size` inflacionado para criar um ponteiro de fim falso além do buffer UDP sFlow v5, ignorando as verificações de limite. Isso resulta em uma leitura remota fora de limites não autenticada, que pode causar a falha do processo e a possível exposição limitada de bytes adjacentes através de campos de fluxo analisados.

Uma falha existe no transportador TCP onde a função `Parser. write` em `src/transporters/tcp/parser.js` utiliza `Buffer.prototype.readInt32BE` para ler um comprimento de pacote assinado. Um peer remoto não autenticado pode fornecer um valor negativo, fazendo com que `packet.slice(length)` retorne o buffer original. Isso resulta em um loop `while (packet.length > 0)` infinito que bloqueia o event loop do Node.js, tornando todos os serviços no processo inoperantes até que ocorra a reinicialização. Isso acontece quando o transportador TCP está habilitado e acessível, pois a validação CRC e o `maxPacketSize` não impedem o uso de um valor de comprimento malformado.

Um problema de Cross-Site Scripting (XSS) armazenado existe na visualização de detalhes do contato. Campos personalizados de contato do tipo HTML são renderizados sem a sanitização da saída, permitindo que um usuário ou integração armazene um payload de script por meio da edição de contatos, da API de contatos ou de envios de formulários mapeados para o campo. Quando um administrador ou outro usuário visualiza a página de detalhes do contato afetado, o script é executado em sua sessão de navegador. Isso pode levar a ações administrativas não autorizadas, incluindo a criação de novas contas de administrador, modificação de configurações do sistema ou acesso não autorizado a dados de campanhas e contatos.

A camada de controle de acesso baseado em função (RBAC) do nginx Lua não realiza a decodificação de percentual (percent-decode) da URI da requisição antes de executar a correspondência de padrões para restringir o acesso a caminhos sensíveis. Enquanto o portão RBAC avalia a string bruta codificada, o nginx utiliza a URI normalizada e decodificada para rotear a requisição para o bloco de localização apropriado. Essa discrepância permite que um usuário autenticado com baixos privilégios ignore as restrições de acesso utilizando codificação de percentual na URI da requisição, como solicitar `/%68tadmin.php` em vez de `/htadmin.php`, para acessar endpoints restritos, incluindo `/htadmin`, `/auth`, `/admin login`, `/arkime/api/esadmin`, NetBox e endpoints de upload.

O pipeline de processamento de upload em `scripts/safe-extract.py` não aplica limites de contagem de entradas, profundidade de aninhamento e total de bytes descompactados ao processar formatos compactados de fluxo único, como .gz, .bz2, .xz, .lzma e .lz, que não sejam arquivos do tipo .tar.*. Isso permite que um usuário autenticado com permissões de upload de arquivos PCAP ou de log envie um arquivo altamente compressível, como uma bomba gzip (um arquivo compactado malicioso projetado para travar um sistema ao expandir para um tamanho enorme), o que pode esgotar o volume Docker compartilhado usado pelo OpenSearch, Logstash, Arkime e Zeek, interrompendo a plataforma para todos os usuários.

O analisador CBOR no FasterXML jackson-dataformats-binary nunca invoca StreamReadConstraints, que são limites usados para evitar a exaustão de recursos durante a análise de dados Concise Binary Object Representation (CBOR).

Analisadores construídos sobre entrada de caracteres, como fontes Reader, String ou char[] atendidas pelo ReaderBasedJsonParser, não aplicam corretamente a restrição `maxNameLength` durante a acumulação de nomes de propriedades de Objetos JSON. Em vez do limite pretendido de 50.000 caracteres, o sistema utiliza a verificação `maxStringLength`, que permite até 100.000.000 de caracteres. Isso ocorre porque a função ` parseName2()` acumula o nome no TextBuffer e valida apenas o `maxStringLength` quando um segmento é preenchido, adiando a verificação `validateNameLength(int)` até que todo o nome tenha sido armazenado em buffer. Um invasor remoto pode explorar isso fornecendo um nome de propriedade suficientemente longo, forçando alocações de memória de aproximadamente 200 MB por requisição, o que pode levar ao esgotamento do heap e ao travamento do processo. Este problema é explorável em configurações padrão, pois o `maxDocumentLength` vem desativado por padrão. Analisadores de entrada de bytes não são afetados.

This update for jackson-annotations, jackson-bom, jackson-core, jackson-databind, jackson-dataformat-xml, jackson-dataformats-binary, jackson-modules-base fixes the following issues: - CVE-2026-18401: Number Length Constraint Bypass in Async Parser Can Lead to Potential Processing Time Issues (bsc#1273856). - CVE-2026-68494: Async parser maxNumberLength bypass via chunked digit accumulation (bsc#1273857). - CVE-2026-68495: Ensure maxNameLength limit enforced for CBOR parser (bsc#1282639). - CVE-2026-68496: Ensure maxNameLength limit enforced for Smile parser (bsc#1282640). - CVE-2026-68498: Enforce maxNameLength incrementally in ReaderBasedJsonParser (bsc#1282641). - CVE-2026-89407: Optimize NumberInput.looksLikeValidNumber (bsc#1282645). - CVE-2026-89425: `UTF8DataInputJsonParser. reportInvalidToken()`lacks `maxErrorTokenLength` limit, which allows for unbounded `StringBuilder` growth and can lead to a DoS when malformed tokens are processed (bsc#1282505). Changes for jackson-annotations: - Update to 2.18.11 Changes for jackson-bom: - Update to 2.18.11 Changes for jackson-core: - Update to 2.18.11 * #1649: Optimize NumberInput.looksLikeValidNumber (bsc#1282645, CVE-2026-89407) * #1698: UTF8DataInputJsonParser does not honor maxErrorTokenLength when reporting an unrecognized token (bsc#1282505, CVE-2026-89425) * #1642: Fix maxDocumentLength bypass in async parser single-feedInput() case [GHSA-2c4j-63jj-9fqr] * #1643: Enforce maxNameLength incrementally in ReaderBasedJsonParser (bsc#1282641, CVE-2026-68498) of async parser (bsc#1273857, CVE-2026-68494) non-blocking (async) parser (bsc#1273856, CVE-2026-18401) Changes for jackson-databind: - Update to 2.18.11 * #6185: Bracket unresolved IPv6 host name in InetSocketAddress serialization * #6203: Prevent unbounded growth of type id cache in TypeDeserializer (bsc#1282491, CVE-2026-91776) * #6204: Avoid quadratic forward-reference resolution in Collection/Map deserializers (bsc#1282492, CVE-2026-91777) * #6099: Resolve classes without initialization in TypeFactory.findClass() * #6116: Reject non-ASCII digits in InetAddress literal validation * #6127: Add StreamReadConstraints number len constraint to javax.xml.datatype.XMLGregorianCalendar and javax.xml.datatype.Duration (bsc#1280125, CVE-2026-68497) * #6129: Limit the supported URL schemes for java.nio.file.Path deserialization (bsc#1277883, CVE-2026-19032) * #6156: Add java.lang.Comparable in set of unsafe polymorphic base types (bsc#1278008, CVE-2026-83557) * #6165: Apply number length limits to BigDecimal/BigInteger/ /Double/Float Map keys Changes for jackson-dataformat-xml: - Update to 2.18.11 * Fix build to avoid past-JDK-8 bytecode generation * #891: Enforce StreamReadConstraints.maxNestingDepth in FromXmlParser Changes for jackson-dataformats-binary: - Update to 2.18.11 * #783: (protobuf) Support StreamReadConstraints.maxDocumentLength in ProtobufParser * #785: (avro) Support StreamReadConstraints.maxDocumentLength and maxTokenCount in Avro parser * #803: (ion) Support StreamReadConstraints.maxNestingDepth in Ion parser (partial fix for #358) * #805: (ion) Support StreamReadConstraints.maxDocumentLength in Ion parser (partial fix for #358) * #725: (cbor) Ensure maxNameLength limit enforced for CBOR parser (bsc#1282639, CVE-2026-68495) * #726: (smile) Ensure maxNameLength limit enforced for Smile parser (bsc#1282640, CVE-2026-68496) * #727: (cbor) CBORParser.nextFieldName(SerializableString) confuses 5-bit length marker 23 with 24 ('1-byte length suffix follows') * #728: (cbor) CBORParser.nextFieldName(SerializableString) consumes Object entry slot twice on fast-path miss, truncating definite-length Objects * #733: (cbor) Long `String`s not added to 'stringref' reference table, breaking following references * #735: (cbor) 'stringref' property-name paths pass 5-bit length marker instead of actual length to shouldReferenceString() * #736: (cbor) Long Object property names added to 'stringref' reference table twice Changes for jackson-modules-base: - Update to 2.18.11

Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection') vulnerability in Apache Calcite Avatica. Plugin instantiation (via AvaticaUtils#instantiatePlugin and other methods) initializes arbitrary classes via unrestricted calls to Class.forName(String) which by default triggers initialization. This may lead to the execution of static initializer blocks in arbitrary classes present in the classpath. The instantiation APIs should initialize and instantiate only classes implementing the specified plugin interface passed as input in conjunction with the desired classname. At the moment of writing, there are no well-known or widely used classes with dangerous static initializer blocks so the severity is low. This issue affects Apache Calcite Avatica: before 1.29.0. Users are recommended to upgrade to version 1.29.0, which fixes the issue.

Um usuário do CMS com permissão de adição para um modelo de snippet, mas sem permissões de alteração e visualização para um snippet existente, pode acessar a visualização de cópia do snippet e copiar o objeto de origem. Esta operação revela o conteúdo de um snippet que o usuário não tem autorização para visualizar.