Xtle0O0

**Nome do Software Vulnerável e Versões Afetadas** Versões do emp3r0r anteriores à 3.21.2 **Descrição** O software acessa múltiplos mapas compartilhados sem sincronização consistente entre goroutines. A atividade concorrente pode acionar um `fatal error: concurrent map read and map write`, levando a um crash do processo C2 e resultando em perda de disponibilidade. O problema origina-se de padrões de acesso mistos (iteração e mutação) sem uma política de lock única em mapas como o mapa de sessão do operador, mapa de sessão de port-forwarding e mapa de stream FTP. Um atacante pode desencadear alta concorrência, como através de rotatividade rápida de sessão do operador e tráfego simultâneo de mensagens do agente, para explorar essa condição. Isso resulta em uma negação de serviço, pois o componente C2 é finalizado devido ao panic. **Recomendações** Versões anteriores à 3.21.2 devem ser atualizadas para a versão 3.21.2 ou posterior.

**Name of the Vulnerable Software and Affected Versions** emp3r0r versions prior to 3.21.1 **Description** emp3r0r is a command and control (C2) tool designed for Linux environments. Versions prior to 3.21.1 accept untrusted agent metadata, specifically `Transport` and `Hostname`, during the check-in process. This metadata is then used in tmux shell command strings executed via `/bin/sh -c`, leading to command injection and potential remote code execution on the operator host. **Recommendations** Update to version 3.21.1 or later.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Sliver anteriores à 1.7.0 **Descrição** O listener de comando e controle (C2) DNS aceita mensagens de inicialização TOTP não autenticadas e aloca sessões DNS do lado do servidor sem validar os valores OTP, mesmo quando o EnforceOTP está ativado. As sessões são armazenadas indefinidamente nesse fluxo, permitindo que um ator remoto não autenticado crie sessões repetidamente e esgote a memória do servidor. O código vulnerável está localizado em `server/c2/dns.go` (linhas 84-90, 378-390, 490-521), `client/command/jobs/dns.go` (linhas 46-52), `implant/sliver/transports/dnsclient/dnsclient.go` (linhas 896-900) e `protobuf/dnspb/dns.proto` (linha 22). O vetor de ataque envolve o envio de consultas DNS repetidas com uma mensagem protobuf mínima do tipo `TOTP` para o listener DNS acessível na rede. O caminho de tratamento do tipo `DNSMessageType TOTP` é o gatilho. Isso pode levar a uma negação de serviço remota não autenticada por esgotamento de recursos. **Recomendações** Versões anteriores à 1.7.0 devem ser atualizadas para a versão 1.7.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Sliver anteriores à 1.6.11 **Descrição** O Sliver é um framework de comando e controle que utiliza uma pilha de rede Wireguard personalizada. Existe um problema de traversal de caminho no subsistema de conteúdo do website, permitindo que um operador autenticado leia arquivos arbitrários no host do servidor Sliver. Isso pode expor dados sensíveis, como configurações do operador, chaves TLS, tokens e logs. O problema origina-se do servidor aceitar e persistir caminhos de website arbitrários do operador sem a devida sanitização ou contenção, e subsequentemente ler do disco usando esses caminhos. Os componentes vulneráveis incluem o gerenciamento de conteúdo do website (gRPC): `WebsiteAddContent`, `Website` e `Websites`, bem como a leitura de arquivo no lado do servidor em `Website.ToProtobuf`. O problema requer uma conta de operador autenticada com permissões suficientes. Uma prova de conceito demonstra a capacidade de ler arquivos como `/etc/hosts`. **Recomendações** Versões anteriores à 1.6.11 devem ser atualizadas para a versão 1.6.11 ou posterior. Validar e rejeitar caminhos que sejam absolutos ou contenham '..' em `WebsiteAddContent` (lado do servidor). Canonicalizar caminhos e garantir que permaneçam dentro do diretório de conteúdo web. Evitar ler conteúdo por `Path` em `Website.ToProtobuf`; ler por ID de conteúdo em vez disso.