CWE-125

W bibliotece graficznej turso3d (projekt cadaver) zidentyfikowano kilka krytycznych podatności związanych z zarządzaniem pamięcią i błędami arytmetycznymi, które wspólnie uzyskały ocenę CVSS 10.0. Ich obecność stwarza ryzyko przejęcia kontroli nad aplikacją lub jej destabilizacji.

Podatność w funkcji isSlotMarkedSuccessful w pliku BootControl.cpp systemu Google Android umożliwia odczyt danych poza granicami bufora z powodu brakującej weryfikacji zakresu. Mimo oceny CVSS 10.0, skutkuje lokalnym ujawnieniem informacji bez konieczności eskalacji uprawnień.

Podatność w bibliotece WolfSSL polega na odczycie poza granicami bufora (out-of-bounds read) w funkcji MatchDomainName(). Jest groźna, ponieważ może zostać wywołana zdalnie bez uwierzytelnienia, co pozwala na odczyt danych spoza kontrolowanego obszaru pamięci.

Podatność w firmware urządzeń Google Nest Wifi umożliwia atakującemu z uprawnieniami na niezabezpieczonym systemie Linux wywołanie wycieku pamięci z zaufanego środowiska wykonawczego (Trusted Application). Krytyczny wynik CVSS 10.0 wynika z możliwości naruszenia poufności, integralności i dostępności danych przechowywanych w izolowanym, bezpiecznym obszarze pamięci.

sqclass.cpp in Squirrel through 2.2.5 and 3.x through 3.1 allows an out-of-bounds read (in the core interpreter) that can lead to Code Execution. If a victim executes an attacker-controlled squirrel script, it is possible for the attacker to break out of the squirrel script sandbox even if all dangerous functionality such as File System functions has been disabled. An attacker might abuse this bug to target (for example) Cloud services that allow customization via SquirrelScripts, or distribute malware through video games that embed a Squirrel Engine.

An information disclosure vulnerability exists in the Ethernet/IP UDP handler functionality of EIP Stack Group OpENer 2.3 and development commit 8c73bf3. A specially crafted network request can lead to an out-of-bounds read.

An exploitable out-of-bounds read vulnerability exists in libevm (Ethereum Virtual Machine) of CPP-Ethereum. A specially crafted smart contract code can cause an out-of-bounds read which can subsequently trigger an out-of-bounds write resulting in remote code execution. An attacker can create/send malicious smart contract to trigger this vulnerability.

The nsSVGPathElement::GetPathLengthScale function in Mozilla Firefox before 18.0, Firefox ESR 10.x before 10.0.12 and 17.x before 17.0.1, Thunderbird before 17.0.2, Thunderbird ESR 10.x before 10.0.12 and 17.x before 17.0.1, and SeaMonkey before 2.15 allows remote attackers to execute arbitrary code or cause a denial of service (out-of-bounds read) via unspecified vectors.

The License Logging Server (llssrv.exe) in Microsoft Windows 2000 SP4 allows remote attackers to execute arbitrary code via an RPC message containing a string without a null terminator, which triggers a heap-based buffer overflow in the LlsrLicenseRequestW method, aka "License Logging Server Heap Overflow Vulnerability."

Podatność w terminalu Kitty (wersje 0.46.2 i starsze) pozwala atakującemu na wywołanie przepełnienia bufora sterty poprzez spreparowane sekwencje escape zawierające złośliwe wartości przesunięć kompozycji. Ze względu na brak wymagań co do interakcji użytkownika i uprawnień, podatność stanowi poważne zagrożenie dla każdego systemu uruchamiającego podatną wersję terminala.

Deno is a runtime for JavaScript and TypeScript that uses V8 and is built in Rust. Resizable ArrayBuffers passed to asynchronous functions that are shrunk during the asynchronous operation could result in an out-of-bound read/write. It is unlikely that this has been exploited in the wild, as the only version affected is Deno 1.32.0. Deno Deploy users are not affected. The problem has been resolved by disabling resizable ArrayBuffers temporarily in Deno 1.32.1. Deno 1.32.2 will re-enable resizable ArrayBuffers with a proper fix. As a workaround, run with `--v8-flags=--no-harmony-rab-gsab` to disable resizable ArrayBuffers.

wasmtime is a fast and secure runtime for WebAssembly. In affected versions wasmtime's code generator, Cranelift, has a bug on x86_64 targets where address-mode computation mistakenly would calculate a 35-bit effective address instead of WebAssembly's defined 33-bit effective address. This bug means that, with default codegen settings, a wasm-controlled load/store operation could read/write addresses up to 35 bits away from the base of linear memory. Due to this bug, however, addresses up to `0xffffffff * 8 + 0x7ffffffc = 36507222004 = ~34G` bytes away from the base of linear memory are possible from guest code. This means that the virtual memory 6G away from the base of linear memory up to ~34G away can be read/written by a malicious module. A guest module can, without the knowledge of the embedder, read/write memory in this region. The memory may belong to other WebAssembly instances when using the pooling allocator, for example. Affected embedders are recommended to analyze preexisting wasm modules to see if they're affected by the incorrect codegen rules and possibly correlate that with an anomalous number of traps during historical execution to locate possibly suspicious modules. The specific bug in Cranelift's x86_64 backend is that a WebAssembly address which is left-shifted by a constant amount from 1 to 3 will get folded into x86_64's addressing modes which perform shifts. For example `(i32.load (i32.shl (local.get 0) (i32.const 3)))` loads from the WebAssembly address `$local0 << 3`. When translated to Cranelift the `$local0 << 3` computation, a 32-bit value, is zero-extended to a 64-bit value and then added to the base address of linear memory. Cranelift would generate an instruction of the form `movl (%base, %local0, 8), %dst` which calculates `%base + %local0 << 3`. The bug here, however, is that the address computation happens with 64-bit values, where the `$local0 << 3` computation was supposed to be truncated to a a 32-bit value. This means that `%local0`, which can use up to 32-bits for an address, gets 3 extra bits of address space to be accessible via this `movl` instruction. The fix in Cranelift is to remove the erroneous lowering rules in the backend which handle these zero-extended expression. The above example is then translated to `movl %local0, %temp; shl $3, %temp; movl (%base, %temp), %dst` which correctly truncates the intermediate computation of `%local0 << 3` to 32-bits inside the `%temp` register which is then added to the `%base` value. Wasmtime version 4.0.1, 5.0.1, and 6.0.1 have been released and have all been patched to no longer contain the erroneous lowering rules. While updating Wasmtime is recommended, there are a number of possible workarounds that embedders can employ to mitigate this issue if updating is not possible. Note that none of these workarounds are on-by-default and require explicit configuration: 1. The `Config::static_memory_maximum_size(0)` option can be used to force all accesses to linear memory to be explicitly bounds-checked. This will perform a bounds check separately from the address-mode computation which correctly calculates the effective address of a load/store. Note that this can have a large impact on the execution performance of WebAssembly modules. 2. The `Config::static_memory_guard_size(1 << 36)` option can be used to greatly increase the guard pages placed after linear memory. This will guarantee that memory accesses up-to-34G away are guaranteed to be semantically correct by reserving unmapped memory for the instance. Note that this reserves a very large amount of virtual memory per-instances and can greatly reduce the maximum number of concurrent instances being run. 3. If using a non-x86_64 host is possible, then that will also work around this bug. This bug does not affect Wasmtime's or Cranelift's AArch64 backend, for example.

HTML::Gumbo versions before 0.19 for Perl disclose heap memory via type confusion. Support for the <template> element was added to libgumbo 0.10.0 in 2015, but the walk_tree function in lib/HTML/Gumbo.xs was not updated to support it. The element was treated as a text-node, where strlen() over-reads the heap block that the pointer addresses. Any caller that runs parse() with the default format => 'string', or with format => 'tree', on input containing a <template> element serializes the over-read bytes into the returned result, disclosing bounded heap contents. format => 'callback' reaches a croak on the unhandled node type and is unaffected.

W przeglądarkach Mozilla Firefox 149.0.1 oraz kliencie pocztowym Mozilla Thunderbird 149.0.1 wykryto błędy bezpieczeństwa pamięci (CWE-787 — zapis poza granicami bufora), z których część wykazuje ślady korupcji pamięci. Podatność jest krytyczna, ponieważ może umożliwić atakującemu zdalne wykonanie dowolnego kodu bez jakiejkolwiek interakcji czy uprawnień po stronie ofiary.

Podatność w sterowniku dvb-net jądra Linux umożliwia odczyt poza granicami tablicy (out-of-bounds read) podczas przetwarzania nagłówków rozszerzeń ULE. Ze względu na możliwość wywołania odczytanej wartości jako wskaźnika funkcji, błąd może prowadzić do wykonania dowolnego kodu.

Podatność w aplikacji SiYuan (system zarządzania wiedzą osobistą) umożliwia nieuwierzytelnionemu atakującemu zdalne odczytanie identyfikatorów dokumentów oraz pełnej zawartości wszystkich bloków dokumentów. Krytyczny poziom CVSS 9.8 wynika z braku wymagania jakiegokolwiek uwierzytelnienia oraz z możliwości uzyskania dostępu do poufnych danych.

Podatność w komponencie DOM: Core & HTML przeglądarki Mozilla Firefox oraz klienta pocztowego Mozilla Thunderbird powoduje niezdefiniowane zachowanie (undefined behavior), sklasyfikowane jako odczyt poza zakresem bufora (CWE-125). Ocena CVSS 9.8 wskazuje na krytyczny poziom zagrożenia — możliwe jest zdalne wykorzystanie bez żadnego uwierzytelnienia i interakcji użytkownika.

Podatność w komponencie Tint przeglądarki Google Chrome na macOS umożliwia odczyt i zapis poza granicami bufora pamięci. Zdalni atakujący mogą ją wykorzystać bez uwierzytelnienia, nakłaniając użytkownika do odwiedzenia spreparowanej strony HTML.

Podatność w podsystemie libceph jądra Linux umożliwia potencjalny odczyt poza granicami bufora (out-of-bounds read) w funkcji handle_auth_done(). Ze względu na wynik CVSS 9.8 i brak weryfikacji granic danych wejściowych, podatność może prowadzić do poważnych konsekwencji bezpieczeństwa.

Phpgurukul News Portal Project V4.1 zawiera krytyczną podatność w pliku upload.php, umożliwiającą wgranie pliku dowolnego formatu na serwer bez jakiejkolwiek weryfikacji tożsamości. Brak mechanizmów uwierzytelniania i walidacji rozszerzenia pliku pozwala atakującemu na zdalne wykonanie kodu (RCE) poprzez upload złośliwego pliku (np. webshell).