Neue Schwachstellen – verständlich aufbereitet

Recherche und Übersetzung laufen – in Kürze hier.

Nomad: Symlink-Verfolgung erlaubt Schreibzugriffe ausserhalb des Allocation-Verzeichnisses

HashiCorp Nomad und Nomad Enterprise folgen beim Schreiben von Dispatch-Payloads und Executor-Logs symbolischen Links. Ein Benutzer mit Berechtigung zum Übermitteln von Jobs kann mit einem bösartigen Workload Dateien ausserhalb des Allocation-Verzeichnisses erstellen, überschreiben oder anhängen. Läuft der Nomad-Client-Agent als root, kann dies zur Codeausführung als root auf dem Client-Host führen.

HashiCorp · Nomad

Recherche und Übersetzung laufen – in Kürze hier.

SD JWT JS: Manipulierte Disclosures werden stillschweigend verworfen statt abgelehnt

SD JWT JS (@sd-jwt/core und @sd-jwt/decode) bis einschliesslich Version 0.19.0 lehnt eine SD-JWT-Präsentation nicht ab, wenn eine Disclosure manipuliert oder fehlerhaft ist. Die Bibliothek verwirft die betroffene Disclosure stillschweigend und liefert eine reduzierte Claim-Menge ohne Fehlermeldung, obwohl die Issuer-Signatur gültig bleibt. Ein böswilliger Holder kann dadurch Claims auslassen, und ein Angreifer auf dem Übertragungsweg kann dies ebenfalls erreichen, wenn die vertrauende Partei kein Key Binding erzwingt. Wenn ein Verifier den Zugriff standardmässig erlaubt, falls ein Claim wie Alter oder Rolle fehlt, kann dies eine Autorisierungsentscheidung verändern.

OpenWallet Foundation · SD JWT JS (@sd-jwt/core)

Centreon Web: Authentifizierte SQL-Injection in der ACL-Verwaltung

Centreon Web, eine Open-Source-Plattform für IT-Monitoring, enthält in der ACL-Verwaltung (Resources & Actions) eine SQL-Injection-Schwachstelle. Ein authentifizierter Benutzer mit ACL-Verwaltungsrechten kann die Centreon-Datenbank lesen und verändern. Der Angreifer benötigt hohe Berechtigungen, daher besteht das Hauptrisiko bei einem böswilligen oder kompromittierten Administrator. In der Datenbank sind Monitoring-Konfigurationen und Zugangsdaten für überwachte Systeme gespeichert.

Centreon · Centreon Web

AWS Private CA Connector for Kubernetes: Unzureichende Autorisierung bei der Issuer-Auflösung

Die Logik zur Auflösung der Issuer im AWS Private CA Connector for Kubernetes (aws-privateca-issuer) vor v1.10.1 erzwingt die Autorisierung nicht korrekt. Ein authentifizierter Benutzer, dessen Genehmigungsrichtlinie nur einen namespace-spezifischen Issuer erlaubt, kann Zertifikate erhalten, einschliesslich Subordinate-CA-Zertifikate, die von einem cluster-weiten AWS-Private-CA-Issuer signiert wurden und für die er nicht autorisiert ist. Der Angriff setzt gültige Cluster-Zugangsdaten und niedrige Berechtigungen voraus.

Amazon Web Services · AWS Private CA Connector for Kubernetes

Botan: Unzureichend initialisierter Zufallszahlengenerator in AutoSeeded_RNG

Botan ist eine C++-Kryptografiebibliothek. In den Versionen 3.7.0 bis 3.13.0 kann sich AutoSeeded_RNG als initialisiert markieren, ohne die konfigurierte Entropiequelle abzufragen, wenn eine Anwendung den Generator zurücksetzt und danach eine leere Ausgabe anfordert, während er nicht initialisiert ist. Auf Builds ohne System-RNG können spätere Anfragen mit nicht leerer Ausgabe dadurch Daten aus vorhersagbarem Zustand erzeugen, was Schlüssel, Nonces oder Token schwächen kann. Der Angriffsvektor ist lokal mit niedrigen Berechtigungen, und eine Ausnutzung ist nicht bekannt.

randombit · Botan

minimatch: Denial of Service durch Verstärkung von Glob-Teilen

Das npm-Paket minimatch, das Glob-Muster in JavaScript-RegExp-Objekte umwandelt, kann bei der Musterkompilierung zu übermässigem CPU- und Speicherverbrauch gebracht werden. Ein kurzes, vom Angreifer kontrolliertes Glob-Muster mit **/..-Segmenten löst bei optimizationLevel 2 oder höher wiederholte Expansion aus. Die Auswirkung beschränkt sich auf die Verfügbarkeit, sodass eine verwundbare Anwendung langsam werden oder abstürzen kann.

isaacs · minimatch

Sigstore @sigstore/oci: Credential-Leak an fremden Upload-Ziel bei Blob-Upload

Die Bibliothek @sigstore/oci aus sigstore-js sendet Registry-Authorization-Header, Docker-Konfigurations-Header oder Basic-Credentials an einen Upload-Ziel-Link, den die Registry vorgibt, ohne zu prüfen, ob dieser zum Ursprung der Registry passt. Eine bösartige oder kompromittierte Registry kann einen Benutzer, der ein Artefakt über attachArtifactToImage() hochlädt, an einen vom Angreifer kontrollierten Host umleiten und so das Bearer-Token oder die Credentials erlangen. Der Angriff setzt voraus, dass das Opfer ein Artefakt hochlädt und eine bösartige oder kompromittierte Registry vorliegt; die Auswirkung beschränkt sich auf die Vertraulichkeit.

Sigstore · sigstore-js (@sigstore/oci)

Monkeytype CI-Workflow: Codeausführung mit erhöhtem Token über Fork-Pull-Request

Der Workflow zur Formatierungskorrektur im GitHub-Actions-Setup des Monkeytype-Repositorys läuft mit pull_request_target und Schreibrechten und führt Code aus einem Fork-Pull-Request aus. Ein externer Mitwirkender, dessen Pull-Request das Format-Label erhält, kann beliebigen Code ausführen, das GITHUB_TOKEN auslesen und Repository-Inhalte pushen oder Pull-Requests und Issues verändern. Die Typing-Test-Anwendung und die Benutzerdaten sind nicht betroffen.

monkeytypegame · Monkeytype

Kubeflow Pipelines: Denial of Service durch Decompression Bomb im Pipeline-Upload

Der API-Server von Kubeflow Pipelines in Versionen vor 2.18.0 dekomprimiert hochgeladene Pipeline-Archive, ohne die entpackte Grösse ausreichend zu begrenzen. Ein kleines, speziell erstelltes ZIP- oder gzip-komprimiertes tar-Archiv kann viel Arbeitsspeicher belegen und die Ressourcen des API-Servers erschöpfen. Da die Dekomprimierung vor der Namespace-Autorisierung erfolgt, kann jeder Aufrufer, der den Upload-Endpunkt erreicht, dies ohne gültige Anmeldedaten auslösen.

Kubeflow · Kubeflow Pipelines

Recherche und Übersetzung laufen – in Kürze hier.

Kubeflow Pipelines: Fehlende Autorisierung im Run-Log-Endpunkt

Kubeflow Pipelines vor 2.18.0 prüft beim Abruf von Pod-Logs über den Run-Log-Endpunkt des API-Servers nicht, ob der Aufrufer auf den Run zugreifen darf. Ein Angreifer, der den API-Server erreichen kann und eine Run-ID sowie einen passenden Pod- oder Node-Bezeichner kennt, kann Live- oder archivierte Logs mit den Berechtigungen des API-Servers lesen. Da der Live-Log-Pfad die Node-ID zudem als Pod-Namen akzeptiert, ohne den Run zu prüfen, kann eine bekannte Run-ID genutzt werden, um Logs eines fremden Pods in einem anderen Namespace zu lesen. Die offengelegten Logs können sensible Workload-Daten oder Zugangsdaten enthalten.

Kubeflow · Pipelines

Kubeflow Pipelines: Path Traversal führt zum Lesen beliebiger Dateien über Volume-Artefaktquelle

Kubeflow Pipelines vor 2.18.0 beschränkt den über die Route GET /artifacts/get?source=volume übergebenen Dateipfad nicht auf das ausgewählte Volume. Ein Angreifer, der diese Route erreichen kann und den Namen eines bestehenden eingebundenen Volumes kennt, kann Dateien ausserhalb dieses Volumes lesen, soweit der Artefakt-Dienst darauf Lesezugriff hat. Bei deaktivierter Authentifizierung sind keine Zugangsdaten nötig; in Multi-User-Umgebungen muss der Aufrufer in der Regel für den angegebenen Namespace berechtigt sein. Die Auswirkung beschränkt sich auf die Vertraulichkeit.

Kubeflow · Pipelines

Rapid7 Insight Agent: Lokale Rechteausweitung über manipulierten Pfad

Der Rapid7 Insight Agent auf Linux und macOS verarbeitet lokale Dateisystempfade nicht korrekt. Ein authentifizierter lokaler Benutzer mit niedrigen Rechten kann erhöhte Rechte erlangen, wenn die Inventarerfassung des Agents einen manipulierten Pfad verarbeitet. Voraussetzung ist ein bestehender lokaler Zugang; ein Angriff über das Netzwerk ist nicht beschrieben.

Rapid7 · Insight Agent

Tailscale Android: Fehlende Berechtigungsprüfung im IPN-Broadcast-Empfänger

Die Tailscale-Android-App mit versionCode 297862600 stellt einen Broadcast-Empfänger ohne Berechtigungs- oder Absenderprüfung bereit. Eine lokal installierte App ohne Berechtigungen kann einen Broadcast senden, der die Exit-Node-Einstellung, die Einstellung für den LAN-Zugriff oder den Verbindungszustand des VPN ändert. Der Exit-Node muss bereits im Netzwerkverzeichnis des Opfers vorhanden sein, und das Verbinden kann auf einem frischen Profil eine Zustimmung des Systems zur VPN-Verbindung erfordern. Der CVE-Eintrag beschreibt das Problem nur als unsichere Berechtigungen; der CVSS-Wert 9.1 und die CWE-732 stammen von NVD und konnten zum Zeitpunkt der Recherche nicht auf NVD bestätigt werden.

Tailscale · Android app

Nextcloud Android: Exponierte Activity erlaubt erzwungene Anmeldung an Angreifer-Server

Die Nextcloud-Android-App (com.nextcloud.client) enthält eine exponierte Activity ohne Berechtigungsschutz. Eine bösartige App auf demselben Telefon, die keine Berechtigungen besitzt, kann einen manipulierten Login-Deep-Link senden, der ein Konto erstellt und als aktuelles Konto setzt, sodass die App des Opfers auf ein vom Angreifer kontrolliertes Server-Profil wechselt. Der Angreifer muss den im Link genannten Server kontrollieren, und es ist keine Benutzerinteraktion nötig. Der NVD-Eintrag und der netzwerkbasierte CVSS-Vektor sind nicht bestätigt, und die Drittanbieter-Advisory beschreibt einen lokalen Angriff, weshalb die Schweregrad-Bewertung umstritten ist.

Nextcloud · Android client

Shelter: Unzureichende Authentifizierung in exportierter Activity erlaubt auth_key-Registrierung

Shelter versionCode 445 (F-Droid-Version 1.9.1) exportiert eine Activity, die Intents von beliebigen Apps ohne Berechtigung annimmt. Laut einem Drittanbieter-Advisory kann eine lokale App ohne Berechtigungen auf einer nie registrierten Shelter-Instanz einen eigenen auth_key hinterlegen und danach den Binder-Dienst der App nutzen sowie den Präferenzstatus ändern. Sobald ein Schlüssel registriert ist, wird der gespeicherte Schlüssel verlangt, weshalb das Hauptrisiko bei der Ersteinrichtung liegt. Der NVD-Score von 9.8 setzt Netzwerkzugriff voraus, was das Advisory nicht bestätigt; das Risiko sollte daher als Bedrohung durch andere Apps auf demselben Gerät behandelt werden.

PeterCxy · Shelter

AndBible: Remote Code Execution durch Upload eines manipulierten Modul-ZIP

AndBible, eine Offline-Bibelstudien-App für Android, ist von einem Problem in versionCode 1111 betroffen, das die Ausführung beliebigen Codes erlaubt. Ein Angreifer kann dies ausnutzen, indem er einen Benutzer dazu bringt, eine manipulierte Modul-ZIP-Datei hochzuladen. Der CVE-Eintrag lässt offen, ob über den Upload hinaus eine Benutzerinteraktion nötig ist, und Authentifizierung wird nicht erwähnt. Der CVSS-Wert 9.8 und die CWE-Klassifikation in den CVE-Daten konnten nicht gegen NVD verifiziert werden.

AndBible · AndBible: Bible Study

OpenTracks: Unsichere Berechtigungen erlauben Einschleusen von Tracking-Daten

Die Komponente io.file.importer.ImportActivity von OpenTracks versionCode 6751 verfügt über unsichere Berechtigungen. Ein Angreifer kann über eine manipulierte SEND-Nachricht manipulierte Tracking-Daten in die Standortdatenbank der App einschleusen. Der CVE-Eintrag nennt CVSS 9.1, die Bewertung und der Angriffsvektor sind jedoch durch keine andere Quelle bestätigt, und der Advisory-Text konnte nicht direkt gelesen werden.

OpenTracks Team · OpenTracks

AppML neutriNote CE: Unsichere Berechtigungen erlauben Dateischreibzugriffe

neutriNote CE für Android, versionCode 1387, weist unsichere Berechtigungen in der Autosave-Komponente auf. Laut dem verlinkten Drittanbieter-Advisory könnte eine App ohne Berechtigungen eine exportierte Activity starten und die App dazu bringen, vom Angreifer gewählten Inhalt in eine für die App zugängliche Datei-URI zu schreiben. Der CVE-Eintrag besagt, dass nicht autorisierte Angreifer beliebige Dateien schreiben können, doch die Voraussetzungen und der tatsächliche Angriffspfad sind nicht bestätigt. Der im Advisory angegebene CVSS-Angriffsvektor (Netzwerk) ist umstritten, und die Quellen zeigen nicht, dass die Schwachstelle aus der Ferne erreichbar ist.

AppML · neutriNote CE

Librera Reader: Path Traversal in exportierter Activity erlaubt Dateischreiben

Librera Reader für Android (versionCode 7222) exportiert eine Activity, die andere Apps ohne jegliche Berechtigung aufrufen können. Eine aufrufende App kann einen präparierten Dateinamen übergeben, mit dem der Reader Dateien im gemeinsamen Speicher ausserhalb seiner Sandbox schreibt und kürzt. Es ist keine Benutzerinteraktion nötig, und laut Advisory setzt das Schreiben ausserhalb des Download-Ordners zusätzlich voraus, dass der Opfer-App der Vollzugriff auf Dateien (All files access) gewährt wurde.

foobnix · Librera Reader

ProjectMAXS MAXS Module FileRead: Path Traversal über absoluten Pfad in AIDL-Schnittstelle

Die AIDL-Schnittstelle des Android-Zusatzmoduls MAXS Module FileRead (versionCode 27) weist unsichere Berechtigungen auf. Ein nicht autorisierter Angreifer kann über einen absoluten Pfad beliebige Dateien ausserhalb der App-Sandbox lesen. Der CVSS-3.1-Basiswert 7.5 stammt von NVD; VulDB bewertet die Lücke mit 5.3 und beschränkt die Auswirkung auf die Vertraulichkeit, der erforderliche Zugriffsweg ist unklar.

ProjectMAXS · MAXS Module FileRead

AndFHEM: Exportierte Android-Komponenten erlauben unberechtigte FHEM-Befehle

AndFHEM 2.4.1, ein Android-Client für den FHEM-Heimautomationsserver, exportiert zwei Komponenten ohne Berechtigungsprüfung. Jede auf demselben Gerät installierte App kann Befehle an den konfigurierten FHEM-Server senden, und zwar mit den gespeicherten Zugangsdaten des Benutzers. Der Angriff erfordert keine Benutzerinteraktion, setzt jedoch voraus, dass das Opfer einen FHEM-Server konfiguriert hat.

klassm · AndFHEM

libretro RetroArch: Code-Injection über exportierte Android-Activity

RetroArch für Android (com.retroarch) Version 1.22.2 exportiert eine Activity, die von einer anderen App einen Dateipfad entgegennimmt und die Datei als native Bibliothek lädt. Eine lokal installierte App ohne jegliche Berechtigungen kann RetroArch daher dazu bringen, vom Angreifer bereitgestellten Code zu kopieren und zu laden, der mit der UID und den Rechten von RetroArch ausgeführt wird. Der offizielle CVE-Eintrag bewertet die Ausnutzung als mit einem Proof of Concept möglich und automatisierbar, die NVD-Analyse ist jedoch noch ausstehend und der CVSS-Wert 9.8 ist von der NVD noch nicht bestätigt.

libretro · RetroArch