Tristan Madani

Courier IMAP before 6.0.1 and Courier Mail Server before 2.0.2 allow authenticated IMAP users to crash the imapd process via deeply nested parenthesized SEARCH queries. The SEARCH command parser (alloc search key in searchinfo.C) recursively descends on nested parenthesized groups through a mutual recursion chain with alloc search andlist() and alloc search notkey(), with no depth limit. Courier IMAP has no overall command line length limit, making exploitation trivial. A single IMAP command with ~2500 nested parentheses overflows the 8MB default stack, causing SIGSEGV.

**Nome do Software Vulnerável e Versões Afetadas** GNU Wget versões anteriores a 1.25.1 **Description** Um heap buffer underread existe na função `clean metalink string()` dentro de `src/metalink.c`. Isso ocorre quando o software processa um documento Metalink contendo uma URL composta apenas por espaços em branco. Um servidor malicioso pode disparar isso ao fornecer um arquivo Metalink manipulado, fazendo com que a função decremente um ponteiro além do início do buffer alocado. Esta corrupção de memória pode levar a um comportamento anormal do programa ou a uma negação de serviço resultando em falha do sistema. **Recommendations** Atualize o GNU Wget para a versão que contenha o commit 37a40fc.

**Nome do Software Vulnerável e Versões Afetadas** GNU Wget versões anteriores ao commit dd692d9 da versão 1.25.0 **Description** Um estouro de buffer de heap ocorre na função `html quote string()` em `src/convert.c`. Um invasor remoto pode causar a corrupção de memória ao fornecer um atributo HTML manipulado contendo um grande número de caracteres que exigem codificação de entidade. Isso faz com que um contador de número inteiro assinado transborde durante o acúmulo do tamanho da saída, resultando em uma alocação de heap subdimensionada e um subsequente estouro de buffer de heap durante a fase de cópia. **Recommendations** Atualize o GNU Wget para a versão que contenha o commit dd692d9.

**Nome do Software Vulnerável e Versões Afetadas** GNU Wget versões anteriores ao commit c2640fe da versão 1.25.0 **Description** Um estouro de buffer de heap ocorre na função `convert fname()` dentro de src/url.c. Este problema é desencadeado quando um nome de arquivo fornecido pelo servidor requer conversão de conjunto de caracteres e o buffer de saída é pequeno demais durante a realocação iconv E2BIG. A lógica de realocação calcula incorretamente o espaço restante, permitindo que um invasor remoto cause a corrupção de memória por meio de uma resposta de servidor maliciosamente elaborada. iconv E2BIG é um código de erro que indica que o buffer de saída é pequeno demais para conter a string convertida. **Recommendations** Atualize para a versão que contém o commit c2640fe.

**Nome do Software Vulnerável e Versões Afetadas** GNU Wget versões anteriores ao commit 43d3ba9 da versão 1.25.0 **Description** Ocorre um estouro de inteiro (integer overflow) na função `parse content range()` dentro de src/http.c. Este problema permite que valores controlados pelo servidor causem o estouro da aritmética de inteiros com sinal. Um invasor pode fornecer valores maliciosos no cabeçalho Content-Range para desencadear um comportamento indefinido e a dessincronização do download no cliente. **Recommendations** Atualize o GNU Wget para a versão que contenha o commit 43d3ba9.

**Nome do Software Vulnerável e Versões Afetadas** iOS versões anteriores a 26.5.2 iPadOS versões anteriores a 26.5.2 macOS Tahoe versões anteriores a 26.5.2 **Description** Um problema de double free, que ocorre quando o sistema tenta liberar o mesmo local de memória duas vezes, foi corrigido com a melhoria do gerenciamento de memória. O processamento de conteúdo web maliciosamente manipulado pode levar a um travamento inesperado do processo. **Recommendations** Atualize o iOS para a versão 26.5.2. Atualize o iPadOS para a versão 26.5.2. Atualize o macOS Tahoe para a versão 26.5.2.

**Nome do Software Vulnerável e Versões Afetadas** Safari versões anteriores a 26.5.2 iOS versões anteriores a 26.5.2 iPadOS versões anteriores a 26.5.2 macOS Tahoe versões anteriores a 26.5.2 **Description** Um problema de use-after-free, que ocorre quando um programa continua a usar um ponteiro após ele ter sido liberado, foi corrigido com a melhoria do gerenciamento de memória. O processamento de conteúdo web maliciosamente manipulado pode levar a um travamento inesperado do processo. **Recommendations** Atualize o Safari para a versão 26.5.2. Atualize o iOS para a versão 26.5.2. Atualize o iPadOS para a versão 26.5.2. Atualize o macOS Tahoe para a versão 26.5.2.

**Nome do Software Vulnerável e Versões Afetadas** Safari versões anteriores a 26.5.2 iOS versões anteriores a 26.5.2 iPadOS versões anteriores a 26.5.2 macOS Tahoe versões anteriores a 26.5.2 **Descrição** O processamento de conteúdo web maliciosamente manipulado pode levar a um travamento inesperado do processo devido ao manuseio inadequado de memória. **Recomendações** Atualize o Safari para a versão 26.5.2. Atualize o iOS para a versão 26.5.2. Atualize o iPadOS para a versão 26.5.2. Atualize o macOS Tahoe para a versão 26.5.2.

**Nome do Software Vulnerável e Versões Afetadas** iOS versões anteriores a 26.5.2 iPadOS versões anteriores a 26.5.2 macOS Tahoe versões anteriores a 26.5.2 **Description** O processamento de conteúdo web maliciosamente manipulado pode levar a um travamento inesperado do processo devido ao manuseio inadequado de memória. **Recommendations** Atualize o iOS para a versão 26.5.2. Atualize o iPadOS para a versão 26.5.2. Atualize o macOS Tahoe para a versão 26.5.2.

**Nome do Software Vulnerável e Versões Afetadas** Safari versões anteriores a 26.5.2 iOS versões anteriores a 26.5.2 iPadOS versões anteriores a 26.5.2 macOS Tahoe versões anteriores a 26.5.2 **Descrição** O processamento de conteúdo web maliciosamente manipulado pode levar a um travamento inesperado do processo devido ao manuseio inadequado da memória. **Recomendações** Atualize o Safari para a versão 26.5.2. Atualize o iOS para a versão 26.5.2. Atualize o iPadOS para a versão 26.5.2. Atualize o macOS Tahoe para a versão 26.5.2.

**Nome do Software Vulnerável e Versões Afetadas** Hydra versões anteriores ao commit 9cc84c2 da versão 9.7 **Description** Um estouro de buffer de pilha (stack buffer overflow) ocorre no processo de autenticação NTLM nos módulos SMTP, POP3, IMAP, NNTP, HTTP, HTTP-Proxy e HTTP-Proxy-Urlenum. O problema acontece quando o software processa um desafio NTLM Type-2 malicioso—uma resposta de um servidor durante o handshake de autenticação NTLM. Um servidor malicioso pode enviar um desafio manipulado contendo uma string de domínio excessivamente longa, fazendo com que os dados de resposta codificados em base64 estourem um buffer de pilha de 500 bytes em 18 a 330 bytes. Isso pode permitir a execução remota de código em sistemas que não possuem proteção de pilha. **Recommendations** Atualize o Hydra para a versão que contenha o commit 9cc84c2.

**Nome do Software Vulnerável e Versões Afetadas** socat versões 1.8.0.0 through 1.8.1.1 **Description** Um estouro de buffer baseado em heap existe no analisador de resposta DOMAINNAME do SOCKS5 durante a configuração da conexão proxy. O problema decorre de uma falha de extensão de sinal onde o byte de comprimento do nome do domínio é lido como um char assinado, resultando potencialmente em um valor `bytes to read` negativo. Este valor é implicitamente convertido para `size t`, levando a uma gravação de heap ilimitada em um buffer de resposta de 262 bytes com tamanho e conteúdo controlados pelo invasor. Um servidor proxy SOCKS5 malicioso ou comprometido pode explorar isso para causar a falha do processo, negação de serviço ou potencial execução remota de código via corrupção de heap. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** HAProxy versões anteriores a 3.4.0 **Description** Ocorre uma desreferência de ponteiro nulo na função `hpack dht insert()` dentro de `src/hpack-tbl.c` porque o valor de retorno de `hpack dht defrag()` não é validado quando o pool de memória está esgotado. Um invasor pode disparar inserções na tabela dinâmica HPACK sob pressão de memória para fazer com que os processos trabalhadores travem, resultando em negação de serviço. **Recommendations** Atualize para a versão que contém o commit 9a6d1fe.

**Nome do Software Vulnerável e Versões Afetadas** libssh2 versões anteriores ao commit 2dae302 da versão 1.11.1 **Description** Uma leitura fora dos limites do heap (out-of-bounds heap read) existe na função `sftp symlink()` em `src/sftp.c`. Um servidor SSH malicioso ou um atacante man-in-the-middle pode expor o conteúdo da memória heap ou causar a interrupção do sistema ao enviar uma resposta `SSH FXP NAME` manipulada. Isso ocorre porque o software não valida o tamanho do buffer de pacote disponível antes de uma operação `memcpy`, permitindo que um atacante forneça um valor `link len` maior que os dados reais do pacote durante operações SFTP READLINK e REALPATH, desencadeando uma leitura excessiva do buffer de heap de até `target len` menos um byte. **Recommendations** Atualize para a versão que contém o commit 2dae302 para resolver o problema.

**Nome do Software Vulnerável e Versões Afetadas** HAProxy versões anteriores a 3.4.0 **Descrição** Existe um estouro de inteiro (integer overflow) no campo `drl` da estrutura `fcgi conn` dentro do parser FastCGI. Quando o `contentLength` é 65535 e o `paddingLength` é 1 ou mais, o campo `drl` retorna a 0. Isso faz com que o sistema interprete incorretamente os cabeçalhos de registro FastCGI e dessincronize a máquina de estado de enquadramento (framing state machine). Um backend FastCGI malicioso ou falsificado pode explorar isso para corromper os limites de requisição e resposta, resultando em erros de roteamento de requisições, contrabando de respostas (response smuggling) entre clientes ou problemas de segurança de memória. **Recomendações** Aplique o commit 5985276 para resolver o problema em versões anteriores a 3.4.0.

**Nome do Software Vulnerável e Versões Afetadas** NILFS utilities versões anteriores a 2.3.1 **Descrição** A função `nilfs sb is valid()` falha ao validar o campo `s log block size` no superbloco NILFS2 antes de realizar operações de deslocamento de bits (bit-shift). Um invasor pode fornecer imagens NILFS2 manipuladas para causar comportamento indefinido por meio de deslocamentos excessivos ou condições de falta de memória, resultando no travamento de ferramentas como 'nilfs-tune' e 'dumpseg'. **Recomendações** Atualize para a versão 2.3.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Tinyproxy versões anteriores ao commit 09312a1 da versão 1.11.3 **Description** A validação inadequada do cabeçalho `Host` durante a detecção de stathost permite que atacantes não autenticados acessem a página de estatísticas injetando um cabeçalho `Host` correspondente ou ignorando a detecção por meio da manipulação de portas. Isso pode levar ao acesso não autorizado a estatísticas internas do proxy ou ao redirecionamento incorreto de solicitações como conexões de proxy transparente para burlar controles de acesso. **Recommendations** Atualize para a versão que contém o commit 09312a1.

**Nome do Software Vulnerável e Versões Afetadas** libssh2 versões anteriores a 1.11.1 **Descrição** Um problema de negação de serviço de pré-autenticação existe no manipulador SSH MSG EXT INFO em `src/packet.c`. Um servidor SSH malicioso pode causar um loop de exaustão de CPU no cliente ao enviar um valor de contagem de extensão manipulado. Especificamente, ao definir `nr extensions` como 0xFFFFFFFF durante a troca de chaves, o cliente entra em um loop de CPU apertado por mais de 60 segundos porque os valores de retorno da função ` libssh2 get string()` não são verificados e os tempos limite de sessão não se aplicam a loops vinculados à CPU. **Recomendações** Atualize para a versão que contém o commit 1762685.

**Nome do Software Vulnerável e Versões Afetadas** Evil-WinRM versões anteriores ao commit 6ecd570 **Descrição** Um problema de path traversal existe na função `download dir()`. Isso ocorre quando o software não sanitiza os nomes de arquivos retornados pela saída do comando `Get-ChildItem` antes de passá-los para `File.join()`. Um servidor Windows remoto comprometido ou malicioso pode retornar nomes de arquivos contendo sequências de travessia, permitindo que o servidor escreva arquivos fora do diretório de download pretendido na máquina do cliente. Isso pode ser usado para sobrescrever arquivos sensíveis, como authorized keys do SSH ou arquivos de configuração de shell, levando potencialmente à escalada de privilégios ou acesso persistente no sistema do cliente. **Recomendações** Atualize para a versão que contém o commit 6ecd570. Como medida paliativa temporária, restrinja o uso da função `download dir()` ao se conectar a servidores remotos não confiáveis.

**Nome do Software Vulnerável e Versões Afetadas** Tinyproxy versões anteriores ao commit ff45d3b **Descrição** O Tinyproxy não consegue reconciliar cabeçalhos conflitantes de Content-Length e Transfer-Encoding: chunked, encaminhando ambos literalmente para o backend enquanto utiliza o Content-Length para determinar a quantidade de bytes do corpo da requisição a serem consumidos. Isso permite que atacantes remotos dessincronizem o estado do parser do proxy e do backend, possibilitando a injeção de requisições HTTP arbitrárias ao backend. Isso pode resultar em envenenamento de cache, bypass de controle de acesso e sequestro de requisições. Este problema é uma forma de HTTP Request Smuggling, onde uma discrepância na maneira como diferentes servidores interpretam o fim de uma requisição permite que uma segunda requisição seja contrabandeada. **Recomendações** Atualize para a versão que contém o commit ff45d3b.