Database CVE

Nel kernel Linux, la seguente vulnerabilità è stata risolta: HID: nintendo: interrompere l'IO del dispositivo prima di hid_hw_stop in caso di fallimento del probe nintendo_hid_probe() chiama hid_device_io_start() prima di joycon_init() e joycon_leds_create(). Se una delle due fallisce, il percorso di errore salta a err_close che chiama hid_hw_close()/hid_hw_stop() senza prima chiamare hid_device_io_stop(). hid_hw_stop() non interrompe l'IO del dispositivo, quindi hid_input_report() potrebbe ancora essere in esecuzione e accedere ai dati del driver in fase di smantellamento, con conseguente use-after-free. Aggiungi un'etichetta err_io_stop che chiama hid_device_io_stop() prima di hid_hw_close(), e indirizza a essa i due percorsi di errore successivi a io_start.

Nel kernel Linux, la seguente vulnerabilità è stata risolta: HID: ft260: corretta scrittura stack-use-after-return in race di lettura I2C ft260_i2c_read() punta dev->read_buf a un buffer fornito dal chiamante (spesso una variabile sullo stack), attiva un completion e attende fino a cinque secondi che il dispositivo restituisca i dati. La callback di input HID ft260_raw_event() viene eseguita nel percorso input/IRQ, indipendentemente dal mutex dev->lock trattenuto dal percorso di lettura, e copia il payload fornito dal dispositivo in dev->read_buf dopo un semplice controllo NULL. Questi due percorsi condividono read_buf, read_idx e read_len senza alcuna serializzazione. Se il dispositivo ritarda la sua risposta fino al timeout della lettura, ft260_i2c_read() resetta il controller, cancella read_buf e ritorna, svolgendo lo stack frame in cui risiedeva il buffer. Una risposta che arriva in quel momento permette a ft260_raw_event() di superare il controllo NULL e di eseguire quindi il memcpy() del payload controllato dal dispositivo nella posizione di stack ora liberata, una scrittura stack-use-after-return limitata ma influenzabile dall'attaccante, attivabile da hardware malevolo o malfunzionante. Aggiungere uno spinlock dedicato che serializza ogni accesso a read_buf, read_idx e read_len. ft260_raw_event() ora lo trattiene attraverso il controllo NULL, il memcpy e l'aggiornamento dell'indice, mentre il percorso di lettura lo acquisisce quando attiva e quando cancella il buffer, così che il teardown non possa più scivolare tra il controllo e la copia.

Nel kernel Linux, la seguente vulnerabilità è stata risolta: HID: sensor: custom: Correzione di use-after-free in enable_sensor enable_sensor_store() può chiamare set_power_report_state(), che dereferenzia sensor_inst->power_state e sensor_inst->report_state. Questi puntatori fanno riferimento a voci in sensor_inst->fields. Creare gli attributi dei campi prima di esporre l'attributo sysfs enable_sensor, così che enable_sensor non possa essere acceduto prima che lo stato da cui dipende sia stato inizializzato. Alla rimozione, eliminare enable_sensor prima di liberare gli attributi dei campi, così che una scrittura sysfs concorrente non possa dereferenziare memoria liberata tramite power_state o report_state.

Nel kernel Linux, la seguente vulnerabilità è stata risolta: HID: uclogic: correzione dello use-after-free di inrange_timer alla rimozione uclogic_remove() annulla il timer di pen in-range e poi arresta il dispositivo: timer_delete_sync(&drvdata->inrange_timer); hid_hw_stop(hdev); timer_delete_sync() garantisce solo che il timer sia inattivo in quell'istante. uclogic_raw_event_pen() continua a consegnare i report della penna finché hid_hw_stop() non arresta il trasporto diverse righe più sotto, e ogni report con pen->inrange == UCLOGIC_PARAMS_PEN_INRANGE_NONE ri-arma il timer: mod_timer(&drvdata->inrange_timer, jiffies + msecs_to_jiffies(100)); Un report che arriva tra la chiamata a timer_delete_sync() e lo smantellamento del trasporto in hid_hw_stop() ri-arma inrange_timer dopo che era stato annullato. uclogic_remove() restituisce quindi il controllo e il drvdata devm viene liberato, mentre hid_hw_stop() ha già liberato il dispositivo di input a cui punta drvdata->pen_input, quindi quando il timer scatta ~100 ms dopo uclogic_inrange_timeout() dereferenzia memoria liberata -- uno use-after-free in contesto timer-softirq. Invertire le due chiamate non è una correzione: arrestare prima il dispositivo libera drvdata->pen_input tramite hidinput_disconnect() mentre il timer potrebbe essere ancora in sospeso, così un timer già armato prima della rimozione scatta sul dispositivo di input liberato nella finestra prima che venga eseguito timer_delete_sync(). Usare invece timer_shutdown_sync() prima di hid_hw_stop(). Annulla il timer, attende un callback in esecuzione mentre pen_input è ancora valido, e impedisce qualsiasi ulteriore riarmo -- un successivo mod_timer() da un report in-flight viene ignorato silenziosamente -- così il timer è dimostrabilmente disattivato prima che hid_hw_stop() liberi gli input. Questo è l'ordinamento che il timer core documenta per questo caso di teardown "timer ri-armato da un altro percorso".

La mancata autenticazione per una funzione critica, la falsificazione di richieste lato server (SSRF) e l'uso di credenziali codificate in ASUS Control Center consentono a un utente non autorizzato di ottenere la chiave di crittografia tramite una richiesta HTTP, causando l'attivazione di SSH sulla porta 2222 da parte di un servizio locale. L'aggressore può quindi effettuare l'accesso con le credenziali codificate per ottenere una shell root, consentendo la lettura, la scrittura e l'eliminazione dirette di dati su ASUS Control Center, nonché il controllo remoto di tutti i server, PC e workstation all'interno dell'azienda. Per ulteriori informazioni, consultare la sezione «Security Update for ASUS Control Center» nell'ASUS Security Advisory.

Verifica impropria della firma crittografica in Copilot Studio consente a un utente malintenzionato non autorizzato di elevare i privilegi in rete.

Autenticazione mancante per funzione critica in Azure AI Language consente a un utente malintenzionato non autorizzato di elevare i privilegi tramite rete.

Bypass dell'autorizzazione tramite chiave controllata dall'utente in Azure Cosmos DB consente a un attaccante autorizzato di eseguire spoofing in rete.

È presente una vulnerabilità relativa a una chiave crittografica hardcoded nel modulo web di TP-Link Archer AX55 v4. Un aggressore sulla LAN che cattura una sessione di accesso HTTP può utilizzare la nota chiave privata RSA condivisa per decrittare la password di amministratore; la chiave di sessione AES indebolita riduce ulteriormente lo sforzo richiesto per compromettere la riservatezza della sessione. Lo sfruttamento riuscito può divulgare la password di amministratore acquisita da una sessione di accesso HTTP e compromettere la riservatezza della sessione.

Una vulnerabilità di stack-based buffer overflow è presente nel modulo EasyMesh di TP-Link Archer AX55 v4. Quando la modalità Mesh è abilitata, un aggressore sulla LAN può inviare input appositamente predisposti che causano il crash del daemon easymesh e potrebbero potenzialmente consentire l'esecuzione di codice remoto sul dispositivo. Un exploit riuscito può causare il crash del daemon EasyMesh e potrebbe potenzialmente consentire l'esecuzione di codice remoto quando la modalità Mesh è abilitata. Ciò può avere un impatto elevato sulla riservatezza, sull'integrità e sulla disponibilità del dispositivo interessato.

MapLibre GL JS è una libreria interattiva di mappe con riquadri vettoriali per browser web. Prima della versione 6.4.1, DOM.sanitize() in src/util/dom.ts itera elem.attributes come una NamedNodeMap dinamica mentre removeAttributes() rimuove gli attributi dalla stessa raccolta, spostando gli indici e saltando un attributo pericoloso adiacente. Un attaccante che controlla stringhe non attendibili di attribuzione di stili di terze parti o attribuzioni personalizzate fornite dall'utente può fornire attributi pericolosi consecutivi, facendo sì che un attributo come onload o ontoggle sopravviva alla sanitizzazione ed esegua codice quando il controllo delle attribuzioni inserisce il contenuto in innerHTML. Una vittima deve visualizzare il contenuto della mappa interessato affinché lo script venga eseguito. Il problema è stato risolto nella versione 6.4.1.

Type confusion in V8 in Google Chrome prima della versione 152.0.7977.82 ha permesso a un aggressore remoto di eseguire codice arbitrario all'interno della sandbox tramite una pagina HTML appositamente creata. (Gravità di sicurezza di Chromium: Alta)

GeoNetwork è un'applicazione di catalogo per gestire risorse georeferenziate. Prima delle versioni 4.4.12 e 4.2.17, l'API endpoint per la creazione di un nuovo formatter tramite file upload non è protetto e consente l'upload di file esterni non controllati. Un attaccante non autenticato può caricare file formatter `.xsl` o `.zip` arbitrari sul server. Un attaccante non autenticato può scrivere file arbitrari nella directory formatter di GeoNetwork. Di per sé ciò costituisce un accesso in scrittura non autorizzato allo storage del server. Il problema è stato corretto nelle versioni 4.4.12 e 4.2.17 di GeoNetwork.

GeoNetwork è un'applicazione di catalogo per gestire risorse spazialmente referenziate. Prima delle versioni 4.4.12 e 4.2.17, il processore XSLT Saxon utilizzato per eseguire il rendering dei formatter è configurato senza elaborazione sicura (`FEATURE_SECURE_PROCESSING`) e senza disabilitare le funzioni di estensione Java (`ALLOW_EXTERNAL_FUNCTIONS`). Qualsiasi stylesheet caricato da GeoNetwork può quindi invocare direttamente `java.lang.Runtime.exec()` o `java.lang.ProcessBuilder`, ottenendo l'esecuzione di comandi arbitrari come utente del processo GeoNetwork. Un utente con privilegi sufficienti per caricare un formatter può fornire un file `.xsl` contenente una chiamata di estensione Java che esegue comandi OS arbitrari con i privilegi del processo GeoNetwork. Il problema è stato corretto nelle versioni 4.4.12 e 4.2.17 di GeoNetwork.

Hermes Agent da 0.18.2 a 0.21.0, corretto nel commit f6234d0, contiene una vulnerabilità di remote code execution che consente agli attaccanti di eseguire comandi OS arbitrari fornendo un repository malevolo con un .git/config craftato che imposta core.fsmonitor su un comando controllato dall'attaccante. Quando un utente apre il repository malevolo e invia un qualsiasi messaggio, l'agent attiva un refresh dell'indice di git status che esegue il comando iniettato nel contesto del processo dell'utente, esponendo l'intero environment incluse le provider API key configurate.

Nel Linux kernel, la seguente vulnerabilità è stata risolta: selinux: rifiuta un conteggio di permessi di classe inferiore al common ereditato security_get_permissions() mappa i permessi di un common ereditato in un array dimensionato secondo permissions.nprim proprio della classe, ma class_read() prende quel nprim alla lettera dall'immagine della policy e non verifica mai che copra il common. Una classe che eredita un common di N permessi dichiarando al contempo un nprim più piccolo viene accettata, e al caricamento i permessi del common vengono scritti oltre l'array dimensionato per la classe -- un out-of-bounds heap write. Rifiuta una classe il cui conteggio di permessi è inferiore a quello del common ereditato. Le policy ben formate, in cui il conteggio della classe include già i permessi ereditati, non sono interessate.

Nel kernel Linux, la seguente vulnerabilità è stata risolta: drm/amdkfd: Aggiungi controllo dei limiti per la lunghezza del sottotipo CRAT Il parser CRAT convalida che l'header del sottotipo rientri nell'immagine, ma non verifica che la lunghezza dichiarata del sottotipo rientri. Una tabella CRAT malformata con un campo di lunghezza sovradimensionato causa letture out-of-bounds quando kfd_parse_subtype() esegue il cast dell'header a strutture di sottotipi specifiche. Aggiungi la convalida che sub_type_hdr + length non superi il limite dell'immagine prima di analizzare il contenuto del sottotipo. (cherry picked dal commit 48e1d1e6e8798aef0312e68d8e586021b5b3cf4d)

Nel kernel Linux, è stata risolta la seguente vulnerabilità: netfilter: nf_tables_offload: soppressione di WARN_ON_ONCE per ENOMEM nel percorso di abort In nft_flow_rule_offload_abort(), WARN_ON_ONCE(err) viene attivato a ogni errore durante il rollback, incluso -ENOMEM. I fallimenti di allocazione della memoria sono previsti in condizioni di memoria insufficiente e non indicano un bug del kernel. Traccia di esempio: nft_flow_offload_chain() // FLOW_BLOCK_BIND nft_flow_block_chain() nft_chain_offload_cmd() nft_block_offload_cmd() ->ndo_setup_tc() nsim_setup_tc() flow_block_cb_setup_simple() flow_block_cb_alloc() // fallisce con -ENOMEM L'avviso è stato riprodotto sul kernel stabile 5.10 sotto pressione di memoria tramite fault injection, ma il bug sottostante esiste anche nel ramo principale, come dimostrato dalla traccia ENOMEM sopra riportata. Il seguente splat è stato attivato durante l'elaborazione della transazione nf_tables: WARNING: CPU: 0 PID: 8567 at net/netfilter/nf_tables_offload.c:532 nft_flow_rule_offload_abort net/netfilter/nf_tables_offload.c:532 [inline] WARNING: CPU: 0 PID: 8567 at net/netfilter/nf_tables_offload.c:532 nft_flow_rule_offload_commit+0x971/0xcd0 net/netfilter/nf_tables_offload.c:591 Modules linked in: CPU: 0 PID: 8567 Comm: syz-executor.0 Not tainted 5.10.260-syzkaller #0 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.12.0-1 04/01/2014 RIP: 0010:nft_flow_rule_offload_abort net/netfilter/nf_tables_offload.c:532 [inline] RIP: 0010:nft_flow_rule_offload_commit+0x971/0xcd0 net/netfilter/nf_tables_offload.c:591 Call Trace: nf_tables_commit+0x3bd/0x4bd0 net/netfilter/nf_tables_api.c:8604 nfnetlink_rcv_batch+0xb1e/0x1f20 net/netfilter/nfnetlink.c:509 nfnetlink_rcv_skb_batch net/netfilter/nfnetlink.c:579 [inline] nfnetlink_rcv+0x3b3/0x420 net/netfilter/nfnetlink.c:597 netlink_unicast_kernel net/netlink/af_netlink.c:1314 [inline] netlink_unicast+0x6cd/0xa00 net/netfilter/af_netlink.c:1340 netlink_sendmsg+0x906/0xe10 net/netfilter/af_netlink.c:1919 sock_sendmsg_nosec net/socket.c:651 [inline] __sock_sendmsg+0x155/0x190 net/socket.c:663 ____sys_sendmsg+0x705/0x870 net/socket.c:2379 ___sys_sendmsg+0x100/0x170 net/socket.c:2433 __sys_sendmsg+0xe9/0x1c0 net/socket.c:2462 do_syscall_64+0x33/0x40 arch/x86/entry/common.c:46 entry_SYSCALL_64_after_hwframe+0x67/0xd1 Modificare la condizione in WARN_ON_ONCE(err && err != -ENOMEM), in modo che gli avvisi vengano emessi solo per errori imprevisti. Ciò è in linea con la prassi comune del kernel di non generare avvisi per -ENOMEM. Individuato dal Linux Verification Center (linuxtesting.org) con Syzkaller.

Nel kernel Linux, la seguente vulnerabilità è stata risolta: ASoC: xilinx: formatter_pcm: passa aud_drv_data agli irq handler Gli irq handler prendono un puntatore struct device e chiamano dev_get_drvdata() per ottenere i dati del driver. Tuttavia, i dati del driver sono impostati solo alla fine del probe, dopo devm_request_irq(), quindi un interrupt ricevuto nel frattempo fa sì che gli handler passino un puntatore NULL a readl() e si verifichi un crash. Passa i dati privati direttamente come argomento di devm_request_irq() invece del puntatore al device, come previsto dagli handler.

Nel Linux kernel, la seguente vulnerabilità è stata risolta: af_packet: Non inviare dati zero-byte in tpacket_snd(). syzbot ha segnalato un WARNING in __dev_queue_xmit() attivato tramite tpacket_snd(): skb_assert_len WARNING: at include/linux/skbuff.h:2753 skb_assert_len WARNING: at __dev_queue_xmit+0x21bc/0x4970 net/core/dev.c:4781 Call Trace: <TASK> dev_queue_xmit include/linux/netdevice.h:3448 [inline] packet_xmit+0x243/0x310 net/packet/af_packet.c:276 tpacket_snd net/packet/af_packet.c:2907 [inline] packet_sendmsg+0x28d6/0x4eb0 net/packet/af_packet.c:3134 Quando si inviano pacchetti da 0 byte tramite TPACKET ring buffer su dispositivi senza hard header (e.g. dev->hard_header_len == 0), tpacket_fill_skb() popola un skb con skb->len == 0 e restituisce 0. tpacket_snd() quindi inoltra questo skb vuoto a packet_xmit(), causando in __dev_queue_xmit() l'attivazione di skb_assert_len(skb). Controlli simili esistono in packet_snd() tramite il commit dc633700f00f ("net/af_packet: check len when min_header_len equals to 0") e in packet_sendmsg_spkt() tramite il commit 6a341729fb31 ("af_packet: Don't send zero-byte data in packet_sendmsg_spkt()."). Restituire -EINVAL in tpacket_fill_skb() quando skb->len è zero per rifiutare pacchetti di lunghezza zero in tpacket_snd().