Vulnerabilidades exploradas (CISA KEV)

Ao usar o Apache JServ Protocol (AJP), é preciso ter cuidado ao confiar em conexões recebidas para o Apache Tomcat. O Tomcat trata conexões AJP como tendo confiança maior do que, por exemplo, uma conexão HTTP semelhante. Se tais conexões estiverem disponíveis para um atacante, elas podem ser exploradas de formas que podem ser surpreendentes. Nas versões do Apache Tomcat de 9.0.0.M1 até 9.0.0.30, de 8.5.0 até 8.5.50 e de 7.0.0 até 7.0.99, o Tomcat era distribuído com um conector AJP habilitado por padrão, que escutava em todos os endereços IP configurados. Esperava-se (e recomendava-se no guia de segurança) que esse conector fosse desabilitado caso não fosse necessário. Este relatório de vulnerabilidade identificou um mecanismo que permitia: - retornar arquivos arbitrários de qualquer ponto da aplicação web - processar qualquer arquivo da aplicação web como JSP. Além disso, se a aplicação web permitisse upload de arquivos e armazenasse esses arquivos dentro da própria aplicação web (ou se o atacante conseguisse controlar o conteúdo da aplicação web por algum outro meio), então isso, junto com a capacidade de processar um arquivo como JSP, tornava possível a execução remota de código. É importante notar que a mitigação só é necessária se uma porta AJP estiver acessível a usuários não confiáveis. Usuários que desejem adotar uma abordagem de defesa em profundidade e bloquear o vetor que permite retornar arquivos arbitrários e a execução como JSP podem atualizar para o Apache Tomcat 9.0.31, 8.5.51 ou 7.0.100 ou posterior. Foram feitas várias alterações na configuração padrão do conector AJP na versão 9.0.31 para reforçar a configuração padrão. É provável que usuários que atualizarem para 9.0.31, 8.5.51 ou 7.0.100 ou posterior precisem fazer pequenas alterações em suas configurações.

smtp_mailaddr in smtp_session.c in OpenSMTPD 6.6, as used in OpenBSD 6.6 and other products, allows remote attackers to execute arbitrary commands as root via a crafted SMTP session, as demonstrated by shell metacharacters in a MAIL FROM field. This affects the "uncommented" default configuration. The issue exists because of an incorrect return value upon failure of input validation.

OpenSLP as used in ESXi and the Horizon DaaS appliances has a heap overwrite issue. VMware has evaluated the severity of this issue to be in the Critical severity range with a maximum CVSSv3 base score of 9.8.

In PHP versions 7.1.x below 7.1.33, 7.2.x below 7.2.24 and 7.3.x below 7.3.11 in certain configurations of FPM setup it is possible to cause FPM module to write past allocated buffers into the space reserved for FCGI protocol data, thus opening the possibility of remote code execution.

Exim 4.92 through 4.92.2 allows remote code execution, a different vulnerability than CVE-2019-15846. There is a heap-based buffer overflow in string_vformat in string.c involving a long EHLO command.

The mod_copy module in ProFTPD 1.3.5 allows remote attackers to read and write to arbitrary files via the site cpfr and site cpto commands.

sapi/cgi/cgi_main.c in PHP before 5.3.12 and 5.4.x before 5.4.2, when configured as a CGI script (aka php-cgi), does not properly handle query strings that lack an = (equals sign) character, which allows remote attackers to execute arbitrary code by placing command-line options in the query string, related to lack of skipping a certain php_getopt for the 'd' case.