🔍 Наиболее интересные уязвимости

🐛CVE-2024-22423, обнаруженная в yt-dlp в версиях до 2024.04.09, приводит к OS Command Injection. Проблема заключалась в возможности удаленного выполнения кода через внедрение специальных символов. В исправлении была добавлена функция shell_quote(), с помощью которой происходит экранирование внедряемых специальных символов.

🐛CVE-2024-24576, выявленная в Rust в версиях до 1.77.2, приводит к Remote Code Execution. Уязвимость обусловлена возможностью злоумышленника выполнять произвольные команды оболочки в ОС Window используя API Command, минуя экранирование аргументов, передаваемых в порожденный процесс. В исправлении была добавлена функция append_bat_arg() для обработки и экранирования получаемых аргументов.

🐛CVE-2024-31461, обнаруженная в Plane в версиях до v0.17-dev , приводит к Server-side Request Forgery. Проблема заключалась в возможности злоумышленника отправлять произвольные запросы с сервера, на котором размещено приложение, что потенциально может привести к несанкционированному доступу к внутренним системам. В исправлении была добавлена функция is_allowed_hostname для проверки получаемого доменного имени с "белым" списком разрешенных значений.

🐛CVE-2024-3098, выявленная в llama-index в версиях до 0.10.24, приводит к Remote Code Execution. Уязвимость обусловлена возможностью злоумышленника добиться удаленного выполнения кода посредством манипуляций с подклассом str. В исправлении был изменен список ALLOWED_BUILTINS, который содержит в себе разрешенные встроенные объекты, а также добавлен контроль обращения к объектам, которые не входят в него.

🐛CVE-2024-3400, обнаруженная в файрволлах Palo Alto в версиях PAN-OS 10.2, 11.0 и 11.1, приводит к OS Command Injection. Проблема заключалась в возможности злоумышленника, не прошедшему аутентификацию, выполнить произвольный код с привилегиями root на брандмауэре. Описание проблемы приведено в официальном security advisory. В статье от специалистов Unit42 содержится информация об уязвимости CVE-2024-3400 и данные об успешных атаках.

🔍 Наиболее интересные уязвимости

🐛 CVE-2024-3571, обнаруженная в langchain в версиях до 0.0.353, приводит к Local File Inclusion (LFI). Проблема заключается в возможности злоумышленника обращаться к файлам ОС напрямую с правами чтения и записи. В исправлении был изменен метод _get_full_path() путем добавления проверки получаемого значения пути со значением корневого каталога (self.root_path).

🐛 CVE-2024-27306, обнаруженная в aiohttp в версиях до 3.9.4, приводит к Cross-Site Scripting (XSS). Проблема заключалась в возможности злоумышленника загружать файлы с произвольными именами в статический каталог. Далее имена файлов использовались при генерации html-кода index страницы. В исправлении была скорректирована функция _directory_as_html() путем экранирования специальных символов в именах файлов с помощью методов html_escape и _quote_path.

🐛 CVE-2024-2912, обнаруженная в BentoML в версиях до 1.2.5, приводит к Insecure Deserialization. Проблема заключается в возможности удаленного выполнения кода с помощью специально сформированного POST-запроса cо значением "Content-Type": "application/vnd.bentoml+pickle" на любую допустимую конечную точку. В исправлении была добавлена проверка на тип "application/vnd.bentoml+pickle" и формирование исключения при положительном результате.

🐛 CVE-2024-32472, обнаруженная в excalidraw в версиях до 0.17.6, приводит к Cross-Site Scripting (XSS). Проблема заключалась в возможности злоумышленника запускать произвольный JavaScript в контексте домена, на котором размещен редактор. Одной из причин проблемы является рендер недоверенных данных для фрейма srcdoc. В исправлении была добавлена функция экранирования sanitizeHTMLAttribute(), которая используется при формировании ссылки для фрейма srcdoc - функция createSrcDoc().

🐛 CVE-2024-20356, обнаруженная в Cisco Integrated Management Controller, приводит к Command Injection. Проблема заключалась в возможности злоумышленника, прошедшего проверку подлинности, с привилегиями уровня администратора выполнить атаки путем внедрения команд в уязвимую систему и повысить свои привилегии до уровня root. Описание проблемы приведено в официальном security advisory. В статье от специалистов Nettitude содержится информация об уязвимости CVE-2024-20356 и данные об успешных атаках.