Zhang Delong

Uma falha de traversal de caminho relativo no módulo zip da stdlib permite a gravação de arquivos fora do diretório de extração pretendido ao processar um arquivo zip manipulado. As funções `zip:unzip/1,2` e `zip:extract/1,2` utilizam `zip:check dir level/2` para validar caminhos de entrada rastreando a profundidade do diretório com um contador inteiro. Como a validação apenas rejeita caminhos onde o valor final do contador é negativo, um caminho como `../x/y` pode fazer com que o contador fique negativo durante a travessia e depois retorne a zero, ignorando a verificação e resolvendo para um local fora do diretório de extração via `add cwd`. Este problema está localizado no arquivo `lib/stdlib/src/zip.erl`.

Um canal lateral de temporização na autenticação de senha permite que atacantes remotos não autenticados enumerem nomes de usuário. Quando o daemon SSH é configurado com a opção `user passwords` ou `password`, a função `check password/3()` no módulo `ssh auth` realiza um cálculo PBKDF2-SHA256 para nomes de usuário válidos, levando aproximadamente 300ms. Por outro lado, para nomes de usuário inválidos, a função `get password option/2()` no módulo `ssh options` retorna imediatamente. Essa discrepância permite que um atacante distinga entre nomes de usuário válidos e inválidos em uma única tentativa.

Um estouro de buffer baseado em pilha existe na função `sctp parse error chunk()` em `erts/emulator/drivers/common/inet drv.c`. A função analisa chunks SCTP ERROR e escreve códigos de causa em um array `spec[]` de tamanho fixo alocado na pilha sem verificar os limites. Um invasor remoto não autenticado com uma associação SCTP estabelecida em uma porta de escuta pode enviar um chunk SCTP ERROR manipulado contendo códigos de causa excessivos para estourar o buffer da pilha, resultando no travamento da BEAM VM (Negação de Serviço). Como o invasor só pode escrever valores de 16 bits intercalados com uma tag fixa, não é possível obter um endereço de retorno controlado. Além disso, um chunk SCTP ERROR manipulado pode vazar fragmentos da memória da VM Erlang para o pacote de erro recebido, embora o escopo da divulgação seja limitado, pois os dados já são legíveis pelo usuário que executa a VM. Este problema requer que o suporte SCTP esteja compilado no OTP e que um socket SCTP de escuta seja aberto via `gen sctp` com o backend inet padrão.