Vulncheck

Existe uma leitura fora dos limites na função `parse scheme output()` em lib/sbi/conv.c durante a desocultação do SUCI (Subscription Concealed Identifier). Este problema decorre de uma validação de comprimento incompleta, permitindo que UEs (User Equipment) remotos não autenticados ou pares SBI (Service Based Interface) enviem um SUCI manipulado com uma saída de esquema de 42 bytes para um UDM (Unified Data Management), desencadeando uma leitura excessiva do heap além do buffer.

Ocorre uma gravação fora dos limites do heap na função `parse multipart()`. Atacantes não autenticados podem corromper a memória ao fornecer um limite multipart vazio. Ao enviar uma única requisição multipart/related manipulada para a interface SBI (Service Based Interface) de qualquer função de rede, o buffer de lookbehind é transbordado, resultando no travamento do sistema.

Existe um problema onde um valor de Content-Length de HTTP/2 truncado pode ser usado para esgotar o pool de trabalhadores de uma origem HTTP/1.1.

Um problema de path traversal existe onde um aplicativo malicioso pode gravar arquivos no diretório de dados privados do software. Isso é feito explorando a atividade exportada `crosslaunch.share` e um nome de exibição não sanitizado recuperado de um ContentProvider usado na construção do caminho do arquivo. Um invasor pode usar uma URI `content://` compartilhada contendo sequências `../` no nome de exibição para colocar conteúdo controlado em diretórios como `databases/`, `shared prefs/`, `no backup/` e `files/` sem a necessidade de interação do usuário.

Existe um problema na função `ThemeModule::startImport()` onde arquivos ZIP carregados são extraídos diretamente na raiz pública da web sem a validação de nomes de arquivos, extensões ou conteúdo. Um administrador autenticado pode explorar isso carregando um arquivo de tema manipulado contendo um arquivo PHP e um arquivo .htaccess para reativar a execução, permitindo a execução de comandos arbitrários do sistema operacional como o usuário do servidor web através do diretório de temas.

Um erro de leitura excessiva de buffer no heap (heap buffer over-read) existe no arquivo `xmlparse.c`. A função `XML ParseBuffer()` avança o fim do buffer de análise usando um comprimento fornecido pelo chamador que não é validado em relação ao tamanho do buffer alocado. Chamadas repetidas para `XML ParseBuffer()` podem mover a variável `m bufferEnd` para além do fim da alocação do heap, fazendo com que a análise subsequente leia fora dos limites. Este caminho é acessível se um buffer de análise já estiver presente, o que ocorre após uma chamada para `XML GetBuffer()` ou uma alocação interna via `XML Parse()`. Este problema permite a divulgação de memória adjacente do heap, podendo vazar ponteiros de heap, ponteiros de função libc e ponteiros de código, potencialmente derrotando a Randomização do Layout do Espaço de Endereçamento (ASLR), uma técnica de segurança que organiza aleatoriamente as posições do espaço de endereçamento de áreas de dados importantes de um processo para dificultar a exploração.

Uma injeção de template no lado do servidor ocorre porque o objeto bruto Django HttpRequest é exposto ao contexto do template Jinja2. Um usuário com baixos privilégios que possua a permissão "Can add custom links" pode explorar isso criando um template de link personalizado que incorpora `request.COOKIES['sessionid']` ou um token de API em uma URL de src de imagem. Esta técnica ignora o sanitizador `clean html`, permitindo a exfiltração automática de cookies de sessão e tokens de API de um usuário privilegiado para um host externo quando o objeto é visualizado, o que pode levar ao controle total da conta.

Uma falha de autorização ausente permite que atacantes não autenticados modifiquem campos arbitrários de objetos editáveis. Isso ocorre quando o parâmetro anti-falsificação `secu ` é omitido no endpoint 'crayons store.php', fazendo com que o despachante de autorização resolva um manipulador incondicionalmente verdadeiro em vez de realizar a verificação de modificação adequada. Esta falha pode ser encadeada para gravar um arquivo de esqueleto .html malicioso, expor arquivos de configuração sensíveis contendo o segredo do site e forjar um contexto ajax assinado para executar o esqueleto carregado, resultando na execução de código PHP arbitrário como o usuário do servidor web.

Um problema de autorização incorreta existe no endpoint de configuração de primeira execução do aplicativo web Admin. O `SetupResource` determina incorretamente se o processo de configuração está disponível ao contar apenas membros diretos do grupo `camunda-admin` em vez de reconhecer todos os administradores configurados. Um invasor remoto não autenticado pode explorar essa falha de lógica para acessar o endpoint de criação de usuário de configuração e criar uma nova conta de administrador se o grupo `camunda-admin` estiver vazio, mesmo que o sistema já esteja totalmente administrado. Isso pode resultar em sequestro de conta, implantação de processos não autorizados ou execução de scripts como o usuário de serviço do engine.

Um invasor autenticado pode explorar um problema de injeção de objeto PHP na função `processFormData()` de `WidgetSelect`. Isso ocorre porque a aplicação executa `unserialize()` em dados POST brutos para campos de seleção múltipla sem aplicar um filtro `allowed classes`. Ao enviar um objeto `XLSXWriter` serializado como valor de campo, um invasor pode acionar o método ` destruct()` para excluir arquivos arbitrários, como `config.php` ou dados de backup. Isso pode resultar em negação de serviço ou em um potencial sequestro de reinstalação da aplicação.

Um problema de enumeração de contas existe que permite que atacantes não autenticados identifiquem endereços de e-mail registrados. Ao enviar solicitações para o endpoint 'POST /api/account/reset-password/init', atacantes podem distinguir entre contas registradas e não registradas com base na resposta HTTP. Contas registradas retornam uma resposta 200 OK, enquanto contas não registradas disparam um erro 500 Internal Server Error contendo detalhes do backend. Essas informações podem ser usadas para facilitar ataques de phishing direcionados ou ataques de credenciais.

Uma falha de autorização existe na função `UTMIncidentCommandWebsocket.processCommand()`, que gerencia o destino STOMP '/command/{hostname}'. O sistema não realiza verificações de função nem aplica uma lista de permissões de comandos antes do encaminhamento das instruções. Consequentemente, qualquer usuário autenticado pode enviar comandos arbitrários do sistema operacional via gRPC para qualquer agente conectado, resultando na execução de comandos em endpoints monitorados onde os processos do agente geralmente operam com privilégios de root ou SYSTEM.

Atacantes autenticados podem realizar um server-side request forgery (SSRF), uma falha na qual o servidor é enganado para fazer requisições a um local não pretendido. Ao fornecer um parâmetro `url` não validado para a função `downloadPdf()` dentro do `PdfService`, exposta através do endpoint GET '/api/generate-pdf-report', atacantes podem forçar o microsserviço web-pdf a acessar endpoints internos de backend, o cluster OpenSearch ou o serviço de metadados de instância na nuvem. Isso permite que dados internos sensíveis sejam recuperados e renderizados no arquivo PDF resultante.

Existe um problema na API REST onde a autorização a nível de objeto está ausente. Usuários autenticados com uma chave de API válida podem ignorar o controle de confidencialidade `security.restrict access` porque a rotina de autorização `allowAccess()` não é invocada. Isso permite que invasores leiam conteúdos e comentários de problemas restritos, incluindo endereços de e-mail do proprietário e do autor, e postem comentários não autorizados em problemas aos quais não deveriam ter acesso através dos seguintes endpoints: 'single get', 'single comments' e 'single comments post'.

Existe uma falha de bypass de autenticação que permite que atacantes remotos obtenham acesso administrativo total à API. Isso ocorre porque o `InternalApiKeyFilter` aceita um cabeçalho `Utm-Internal-Key` válido que corresponda ao valor da variável de ambiente `INTERNAL KEY` para qualquer endpoint. A implementação carece de restrições de caminho, comparação de tempo constante, limitação de taxa e registro de auditoria. Atacantes que possuam essa chave podem autenticar-se sem a necessidade de uma conta de usuário ou JSON Web Tokens (JWT) para criar contas, gerenciar usuários, exfiltrar dados e modificar regras de segurança.

Atacantes autenticados podem ler dados arbitrários de entidades explorando uma falha de injeção de JPQL. A vulnerabilidade reside na função `UtmNetworkScanService.searchPropertyValues()`, que constrói uma consulta JPQL usando `String.format()` e a executa via `em.createQuery()` sem a vinculação adequada de parâmetros. Ao enviar JPQL malicioso através do parâmetro `value` no endpoint 'GET /api/utm-network-scans/searchPropertyValues', atacantes podem extrair informações sensíveis, incluindo tabelas de credenciais como `jhi user`. JPQL (Java Persistence Query Language) é uma linguagem de consulta orientada a objetos usada para realizar operações de banco de dados em entidades.

Existe um problema na função `searchQueryBuilder()` de `UtmAssetGroupService` onde atacantes autenticados podem injetar SQL arbitrário. Isso ocorre porque as variáveis `assetType` e `groupName` são inseridas sem sanitização em uma consulta nativa do PostgreSQL via `String.format()`. A exploração do endpoint GET '/api/utm-asset-groups/searchGroupsByFilter' permite a execução de SQL arbitrário com privilégios de DBA, o que pode levar à leitura total do banco de dados, modificação de dados e potencial acesso ao sistema de arquivos.

Um invasor autenticado pode desencadear uma falsificação de solicitação do lado do servidor (SSRF) ao fornecer uma URL de metadados maliciosa para o endpoint `POST/PUT /api/identity-providers`. Isso ocorre porque a função `IdentityProviderService.validateMetadataUrl()` não valida o host, IP ou esquema de destino. Essa falha permite que o servidor envie solicitações para hosts de metadados internos ou em nuvem arbitrários, possibilitando a varredura de portas de rede interna e o acesso não autorizado a serviços de metadados de instâncias em nuvem.

Existe um problema de divulgação de informações que permite que atacantes não autenticados obtenham o `delete code` secreto e metadados do uploader. Isso ocorre ao chamar o endpoint 'API::info()', que retorna o objeto de metadados bruto completo sem uma lista de permissões de campos. Ao usar um hash de arquivo publicamente visível, um atacante pode recuperar o `delete code` e, posteriormente, usar a API de exclusão para remover arquivos arbitrários permanentemente. Além disso, isso expõe o IP do uploader, User Agent, porta remota e hash SHA-1, comprometendo a integridade do conteúdo, a disponibilidade e a privacidade do uploader.

Um problema de divisão por zero existe no decodificador de sink LC3plus dentro da função `a2dp lc3plus dec thread()` localizada em `a2dp-lc3plus.c`. Um invasor adjacente via Bluetooth pode causar a negação de serviço ao estabelecer uma conexão de fonte A2DP e enviar um cabeçalho de mídia RTP manipulado onde o campo de contagem de quadros é definido como zero. Isso dispara um SIGFPE (exceção de ponto flutuante), que trava o daemon em compilações com suporte ao LC3plus habilitado.