CWE-470

Krytyczna podatność w komponencie Barracuda Service Center (rozwiązanie RMM) umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie kodu. Wynika z braku prawidłowej weryfikacji nazwy kontrolowanej przez atakującego usługi WSDL, co prowadzi do insecure reflection.

Yamcs is a mission control framework. Prior to 5.12.8 and 5.13.2, Yamcs inserts templateArgs from POST /api/instances and PATCH /api/instances/{instance} into YAML through VarStatement.append in yamcs-core/src/main/java/org/yamcs/templating/VarStatement.java without YAML-context escaping. The rendered configuration is parsed by YamcsServer.createInstance and loaded by YamcsServerInstance, allowing an attacker to inject a services entry for org.yamcs.ProcessRunner. Deployments without security.yaml expose the operation through the guest superuser, while secured deployments require SystemPrivilege.CreateInstances. Successful exploitation executes commands as the Yamcs service account. This issue is fixed in versions 5.12.8 and 5.13.2.

Remote Code Execution via Arbitrary Class Instantiation in plugin-schema-registry component in Apache Ranger <= 2.8.0. Users are recommended to upgrade to version 2.9.0, which fixes this issue.

W framework'u Yamcs (mission control) przed wersją 5.12.7 możliwe jest wykonanie dowolnych poleceń systemowych poprzez dostarczenie złośliwego kodu JavaScript do silnika Nashorn ScriptEngine. W domyślnej konfiguracji podatność jest osiągalna bez uwierzytelnienia.

Podatność w Apache IoTDB polega na niekontrolowanym użyciu mechanizmu refleksji Java (Unsafe Reflection), który pozwala atakującemu na wskazanie dowolnej klasy do załadowania i uruchomienia przez serwer. Jest to krytyczna luka umożliwiająca zdalne wykonanie kodu bez żadnego uwierzytelnienia.

Podatność w komponencie ExtensionLoader biblioteki Apache OpenNLP pozwala atakującemu, który dostarcza spreparowany plik modelu, na wymuszenie wykonania statycznych inicjalizatorów dowolnej klasy dostępnej na classpath podczas ładowania modelu. Stanowi poważne zagrożenie szczególnie w środowiskach pobierających modele z zewnętrznych, niezaufanych źródeł.

Podatność klasy Unsafe Reflection w Sitecore Experience Manager i Experience Platform pozwala nieuwierzytelnionemu atakującemu na zatrucie pamięci podręcznej (cache poisoning). Krytyczny wynik CVSS 9.8 wskazuje na możliwość poważnych konsekwencji, w tym potencjalnego RCE, bez konieczności posiadania jakichkolwiek uprawnień.

Podatność klasy Unsafe Reflection (CWE-470) w wielu produktach Mitsubishi Electric umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu na atakowanym systemie. Krytyczny poziom zagrożenia (CVSS 9.8) wynika z braku wymagań co do uwierzytelnienia i możliwości pełnego przejęcia systemu.

Apache Kylin pozwala atakującemu na przekazanie danych wejściowych, które są użyte do dynamicznego załadowania dowolnej klasy Java za pomocą mechanizmu Class.forName(). Jest to podatność krytyczna, umożliwiająca zdalne wykonanie kodu bez żadnego uwierzytelnienia.

Podatność umożliwia zdalne wykonanie kodu (RCE) w VMware vCenter Server poprzez brak walidacji danych wejściowych w domyślnie włączonym pluginie Virtual SAN Health Check. Ze względu na brak wymagań uwierzytelniania i dostępność przez standardowy port 443, podatność jest aktywnie exploitowana i stanowi krytyczne zagrożenie dla infrastruktury wirtualizacyjnej.

Podatność w Jenkins Script Security Plugin 1.55 i wcześniejszych pozwala atakującemu na obejście mechanizmu sandbox i wywołanie dowolnych konstruktorów w skryptach. Ze względu na brak wymagań uwierzytelnienia i sieciowy wektor ataku stanowi krytyczne zagrożenie dla środowisk CI/CD.

Podatność w Jenkins Pipeline: Groovy Plugin w wersji 2.64 i wcześniejszych pozwala atakującym na obejście mechanizmu sandbox i wywołanie dowolnych konstruktorów w skryptach Groovy. Jest to krytyczne zagrożenie, ponieważ umożliwia wykonanie nieautoryzowanego kodu w środowisku CI/CD bez żadnych uprawnień.

Biblioteka Bouncy Castle (bc-java) w wersjach od 1.58 do 1.59 zawiera podatność typu Unsafe Reflection podczas deserializacji prywatnego klucza XMSS/XMSS^MT. Atakujący może doprowadzić do wykonania nieoczekiwanego kodu przez podstawienie spreparowanego klucza prywatnego.

An unsafe dynamic class loading vulnerability exists in the database connection utilities of PaperCut MF and PaperCut NG. The application instantiates database driver classes based on configurable driver names without validating against an allowlist of approved drivers. If an attacker can manipulate system configuration parameters, this enables the execution of arbitrary Java bytecode residing on the application classpath under the security context of the PaperCut server process.

Amazon Redshift JDBC Driver w wersjach wcześniejszych niż 2.2.2 może ładować i wykonywać dowolne klasy podczas przetwarzania parametrów URL połączenia JDBC. Podatność umożliwia wykonanie kodu w kontekście aplikacji przez osobę mogącą wpłynąć na treść URL połączenia.

GeoNetwork is a catalog application to manage spatially referenced resources. Prior to versions 4.4.12 and 4.2.17, the Saxon XSLT processor used to render formatters is configured without secure processing (`FEATURE_SECURE_PROCESSING`) and without disabling Java extension functions (`ALLOW_EXTERNAL_FUNCTIONS`). Any stylesheet loaded by GeoNetwork can therefore invoke `java.lang.Runtime.exec()` or `java.lang.ProcessBuilder` directly, achieving arbitrary command execution as the GeoNetwork process user. A user with sufficient privileges to upload a formatter can deliver a `.xsl` file containing Java extension call that execute arbitrary OS commands with the privileges of the GeoNetwork process. The issue is patched in GeoNetwork versions 4.4.12 and 4.2.17.

HTML::FormHandler versions through 0.40068 for Perl allow attacker selected method dispatch and resource exhaustion because _apply_actions and add_error use error message text built from request data as a Locale::Maketext bracket notation template. add_error hands its first argument to the language handle as the Locale::Maketext message key, and the default handle's lexicon sets `_AUTO`, so a string that is not a lexicon entry is compiled as a bracket notation template instead of being looked up. In a bracket group the first token names a method called on the language handle and the remaining tokens are its arguments. Three kinds of text the library did not author reach that position. _apply_actions installs a `$SIG{__WARN__}` handler that stores the warning text in `$error_message`, and a captured warning survives a successful action, so a field carrying a numeric transform turns `Argument "[sprintf,%50000000d,0]" isn't numeric` into the template; a warning quotes the submitted value verbatim, so the group is well formed and dispatches. `$error_message ||= $tobj->validate($new_value)` takes a type constraint's own failure message, which renders the rejected value through a partial dumper in bracket and comma form (Devel::PartialDump when Moose can load it, Type::Tiny's own dumper always), so a field with `apply => [ Str ]` given a parameter sent more than once, which arrives as an array, gets `Reference ["a","b"] did not pass type constraint "Str"` as its template, from a request that carries no bracket character of its own. A coercion or transform exception reaches it the same way. Beyond those, a validator whose message contains the field value puts that value in the template directly, and add_error replaces the message list with the contents of an arrayref first argument (`@message = @{$message[0]} if ref $message[0] eq 'ARRAY'`), so a value arriving as an array fills the argument slots from the same request as well. A malformed group such as `[0]` makes the compile croak, and HTML::FormHandler::I18N::maketext and add_error each re-raise that as a die, so process() throws. A well formed group naming sprintf reaches CORE::sprintf with an attacker chosen field width. Any caller that applies a type constraint or a transform to an untrusted field, or whose validator passes an untrusted field value to add_error, can be made to throw an unhandled exception out of process(), or to allocate an arbitrary amount of memory in one request, and an application whose language handle subclass defines side effecting public methods makes those callable with attacker chosen arguments. The dumped type constraint message is bounded to the exception, because both dumpers quote non-numeric elements so the method slot is never an attacker chosen name. The built-in messages pass fixed templates with the value in an argument slot, where it stays inert, and the built-in field types attach explicit message callbacks, so neither is affected.

Form::Processor::Field::HtmlArea versions from 0.06 through 1.162360 for Perl allow attacker selected method dispatch and resource exhaustion via an HTML::Tidy diagnostic that validate passes to add_error as a Locale::Maketext template. validate runs HTML::Tidy over the submitted markup and passes each resulting message to add_error as its first argument, which add_error hands to the language handle as the Locale::Maketext message key. The default handle's lexicon sets `_AUTO`, so a message that is not a lexicon entry is compiled as a bracket notation template instead of being looked up. Tidy diagnostics quote the offending attribute name or value, so a bracket group in the submitted markup reaches the template position, where the first token of the group names a method called on the language handle and the remaining tokens are its arguments. A group such as `[0]` makes the compile croak, and neither the field nor the handle catches it, so the exception leaves validate. `[sprintf,%2000000000d,7]` reaches CORE::sprintf with an attacker chosen field width. One submission of crafted markup to an HtmlArea field throws an unhandled exception out of form validation or allocates an arbitrary amount of memory, and an application whose language handle subclass defines side effecting public methods makes those callable with attacker chosen arguments. The other field types pass fixed templates with the submitted value in an argument slot, where it stays inert, and are unaffected.

W aplikacji pig-mesh Pig w wersjach 3.8.2 i wcześniejszych możliwe jest zdalne wykonanie dowolnego kodu (RCE) poprzez mechanizm zarządzania zadaniami zaplanowanymi (Quartz). Podatność jest szczególnie groźna, ponieważ umożliwia pełną kompromitację serwera.

W Yii2 w wersji 2.0.48 bazowa klasa Component zawiera podatność (CWE-470) umożliwiającą atakującemu zdalnie i bez uwierzytelnienia inicjalizację dowolnych klas PHP. W zależności od zainstalowanych zależności może to prowadzić do wykonania kodu, wycieku danych lub nieautoryzowanego dostępu.