CVSS: 7.4EPSS: 0%CPEs: 1EXPL: 1CVE-2019-5152
https://notcve.org/view.php?id=CVE-2019-5152
An exploitable information disclosure vulnerability exists in the network packet handling functionality of Shadowsocks-libev 3.3.2. When utilizing a Stream Cipher, a specially crafted set of network packets can cause an outbound connection from the server, resulting in information disclosure. An attacker can send arbitrary packets to trigger this vulnerability. Se presenta una vulnerabilidad de divulgación de información explotable en la funcionalidad de manejo de paquetes de red de Shadowsocks-libev versión 3.3.2. Cuando se utiliza un Cifrado de Flujo, un conjunto de paquetes de red especialmente diseñado puede causar una conexión saliente del servidor, resultando en una divulgación de información. • https://talosintelligence.com/vulnerability_reports/TALOS-2019-0942 • CWE-306: Missing Authentication for Critical Function •
CVSS: 7.8EPSS: 0%CPEs: 3EXPL: 1CVE-2019-5164
https://notcve.org/view.php?id=CVE-2019-5164
An exploitable code execution vulnerability exists in the ss-manager binary of Shadowsocks-libev 3.3.2. Specially crafted network packets sent to ss-manager can cause an arbitrary binary to run, resulting in code execution and privilege escalation. An attacker can send network packets to trigger this vulnerability. Hay una vulnerabilidad de ejecución de código explotable en el binario ss-manager de Shadowsocks-libev versión 3.3.2. Unos paquetes de red especialmente diseñados enviados a ss-manager pueden causar que un binario arbitrario se ejecute, resultando en la ejecución de código y la escalada de privilegios. • http://lists.opensuse.org/opensuse-security-announce/2019-12/msg00023.html http://lists.opensuse.org/opensuse-security-announce/2020-01/msg00061.html https://talosintelligence.com/vulnerability_reports/TALOS-2019-0958 • CWE-306: Missing Authentication for Critical Function •
CVSS: 7.5EPSS: 0%CPEs: 3EXPL: 1CVE-2019-5163
https://notcve.org/view.php?id=CVE-2019-5163
An exploitable denial-of-service vulnerability exists in the UDPRelay functionality of Shadowsocks-libev 3.3.2. When utilizing a Stream Cipher and a local_address, arbitrary UDP packets can cause a FATAL error code path and exit. An attacker can send arbitrary UDP packets to trigger this vulnerability. Hay una vulnerabilidad de denegación de servicio explotable en la funcionalidad UDPRelay de Shadowsocks-libev versión 3.3.2. Cuando se utiliza un Cifrado de Flujo y un local_address, unos paquetes UDP arbitrarios pueden causar una ruta de código de error FATAL y salir. • http://lists.opensuse.org/opensuse-security-announce/2019-12/msg00023.html http://lists.opensuse.org/opensuse-security-announce/2020-01/msg00061.html https://talosintelligence.com/vulnerability_reports/TALOS-2019-0956 • CWE-306: Missing Authentication for Critical Function •
CVSS: 7.8EPSS: 0%CPEs: 71EXPL: 1CVE-2017-15924
https://notcve.org/view.php?id=CVE-2017-15924
In manager.c in ss-manager in shadowsocks-libev 3.1.0, improper parsing allows command injection via shell metacharacters in a JSON configuration request received via 127.0.0.1 UDP traffic, related to the add_server, build_config, and construct_command_line functions. En manager.c en ss-manager en shadowsocks-libev 3.1.0, un análisis sintáctico incorrecto permite que se inyecten comandos mediante metacaracteres shell en una petición de configuración JSON recibida mediante tráfico UDP 127.0.0.1. Esto está relacionado con las funciones add_server, build_config y construct_command_line. • http://openwall.com/lists/oss-security/2017/10/13/2 http://www.debian.org/security/2017/dsa-4009 https://github.com/shadowsocks/shadowsocks-libev/commit/c67d275803dc6ea22c558d06b1f7ba9f94cd8de3 https://github.com/shadowsocks/shadowsocks-libev/issues/1734 https://www.x41-dsec.de/lab/advisories/x41-2017-010-shadowsocks-libev • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') •