Zwcrazythursday

A função `rtmp i connect()` passa o primeiro argumento de conexão RTMP para `amf0 object get()` sem verificar se o valor AMF (Action Message Format) é um objeto. Se uma string ou número for fornecido em vez de um objeto AMF, bytes de união da mensagem são interpretados como ponteiros de nó e desreferenciados. Um cliente com acesso de rede a um ouvinte `mod rtmp` habilitado pode enviar um comando de conexão malformado antes do login, resultando em uma leitura inválida que trava o sistema e encerra todas as chamadas ativas. O módulo `mod rtmp` é desabilitado por padrão na compilação e configuração padrão.

O `Q.931 party-number parser` do `chan ooh323` não processa corretamente elementos Q.931 malformados em uma `OOH323 request`, o que pode causar a interrupção do Asterisk. Este problema ocorre porque uma correção anterior não foi portada para versões superiores a 20. A exploração requer que o driver de canal addon `chan ooh323` seja explicitamente compilado, instalado e que sua porta esteja publicamente acessível.

Um invasor autenticado com permissões de apenas leitura para a `Asterisk REST Interface (ARI)` pode executar operações de gravação através de `REST-over-WebSocket`. Esta falha de autorização permite o carregamento de `arbitrary module path` e a execução remota de código condicional. O problema requer que o servidor web HTTP do Asterisk esteja habilitado e acessível, e que o invasor possua credenciais ARI de apenas leitura válidas.

Um `sscanf` não limitado na função `res pjsip pubsub` ocorre ao analisar o campo `Message-Account` de uma mensagem `MWI NOTIFY`. Isso permite que um invasor não autenticado envie um pacote cuidadosamente elaborado que causa um estouro de buffer de pilha e corrompe o transporte subjacente, desativando permanentemente toda a funcionalidade SIP. É necessário reiniciar o Asterisk para restaurar a operação total.

Ocorre uma gravação fora dos limites no módulo `chan unistim` durante o processamento de dígitos `DIALPAGE`, o que pode causar o transbordamento do campo `phone number` e travar o sistema quando um pacote de requisição recebido cuidadosamente elaborado é enviado. Isso requer que o módulo `chan unistim` esteja carregado e configurado com uma `UNISTIM UDP port` acessível. Além disso, o invasor deve se registrar como um `phone MAC` configurado ou utilizar um caminho de produção/autoprovisionamento que permita o acesso à página principal.

Existe um problema de injeção de comando de SO onde o ACL de leitura concede amplo acesso ubus a docker.* e docker.container.*, expondo o método `docker.container.ttyd start`. O manipulador `run ttyd` constrói um comando de shell usando as variáveis `id`, `cmd` e `uid` da requisição e o passa para a função `system()` sem a devida citação ou execução no estilo argv no contexto root do rpcd. Um invasor autenticado com permissões de ACL de leitura pode injetar metacaracteres de shell nessas variáveis, como `id`, para executar comandos arbitrários como root via uma requisição HTTP POST para o endpoint `/ubus`.

Um problema no pacote luci-app-samba4 ocorre porque as Listas de Controle de Acesso (ACLs) de leitura concedem permissão de execução de arquivo em `/usr/sbin/smbd`. Isso permite que usuários delegados autenticados executem o daemon Samba usando argumentos de linha de comando controlados pelo chamador. Ao injetar opções globais arbitrárias do Samba, como o comando message, um invasor pode disparar a execução de comandos com privilégios de root quando as mensagens do protocolo SMB são processadas.

Existe uma falha de escalonamento de privilégios onde uma sessão LuCI/rpcd com ACL de escrita para o luci-app-travelmate recebe acesso de escrita UCI em toda a configuração do travelmate. Embora a interface do usuário restrinja a seleção do script de login automático para /etc/travelmate/*.login, isso é apenas uma restrição de frontend. O serviço backend travelmate, que é executado como root, lê os valores brutos de UCI `script` e `script args` e executa o caminho configurado quando o ramo de login automático do portal cativo `f check()` em travelmate-functions.sh é alcançado. Um invasor com permissões de escrita delegadas pode alterar o `script` para /bin/sh e fornecer argumentos controlados em `script args` para executar comandos arbitrários como root.