Verskeie onlangs geïdentifiseerde kwesbaarhede:
- 'n Kritieke kwesbaarheid (CVE-2022-41034) is geïdentifiseer in Visual Studio Code (VS Code) wat die uitvoering van kode moontlik maak wanneer 'n gebruiker 'n skakel oopmaak wat deur 'n aanvaller voorberei is. Die kode kan uitgevoer word op die VS-kode-masjien of op enige ander masjien wat aan VS-kode gekoppel is deur gebruik te maak van die Remote Development-funksie. Die probleem hou die grootste gevaar in vir gebruikers van die webweergawe van VS-kode en webredigeerders wat daarop gebaseer is, insluitend GitHub Codespaces en github.dev.
Die kwesbaarheid word veroorsaak deur die vermoë om "command:"-diensskakels te verwerk om 'n venster met 'n terminaal oop te maak en arbitrêre dop-opdragte daarin uit te voer, wanneer spesiaal ontwerpte dokumente in die Jypiter Notebook-formaat in die redigeerder verwerk word, afgelaai vanaf 'n webbediener wat beheer word deur die aanvaller (eksterne lêers met die uitbreiding ".ipynb" sonder bykomende bevestigings word in die "isTrusted"-modus oopgemaak, wat die verwerking van "command:") toelaat.
- 'n Kwesbaarheid is geïdentifiseer in die GNU Emacs-teksredigeerder (CVE-2022-45939), wat dit moontlik maak om die uitvoering van opdragte te organiseer wanneer 'n lêer met kode oopgemaak word, deur die vervanging van spesiale karakters in die naam wat met behulp van die ctags-gereedskapstel verwerk word.
- 'n Kwesbaarheid (CVE-2022-31097) is in die Grafana oopbron-datavisualiseringsplatform geïdentifiseer wat kan toelaat dat JavaScript-kode uitgevoer word wanneer 'n kennisgewing deur die Grafana-waarskuwingstelsel vertoon word. 'n Aanvaller met redakteurregte kan 'n spesiaal ontwerpte skakel voorberei en toegang verkry tot die Grafana-koppelvlak met administrateurregte as die administrateur op hierdie skakel klik. Die kwesbaarheid is reggestel in Grafana 9.2.7, 9.3.0, 9.0.3, 8.5.9, 8.4.10 en 8.3.10 vrystellings.
- Kwesbaarheid (CVE-2022-46146) in die uitvoerder-gereedskapstel-biblioteek wat gebruik word om metrieke-uitvoerders vir Prometheus te skep. Die probleem laat jou toe om basiese verifikasie te omseil.
- Kwesbaarheid (CVE-2022-44635) in die Apache Fineract-finansiëlediensteplatform wat 'n ongeverifieerde gebruiker toelaat om afgeleë kode-uitvoering te verkry. Die probleem word veroorsaak deur die gebrek aan behoorlike ontsnapping van die ".." karakters in die paaie wat deur die komponent verwerk word om lêers te laai. Die kwesbaarheid is reggestel in Apache Fineract 1.7.1 en 1.8.1 vrystellings.
- 'n Kwesbaarheid (CVE-2022-46366) in die Apache Tapestry Java-raamwerk wat toelaat dat persoonlike kode uitgevoer word wanneer spesiaal geformateerde data gedeserialiseer word. Die probleem verskyn slegs in die ou tak van Apache Tapestry 3.x, wat nie meer ondersteun word nie.
- Kwesbaarhede in Apache Airflow-verskaffers aan Hive (CVE-2022-41131), Pinot (CVE-2022-38649), Pig (CVE-2022-40189) en Spark (CVE-2022-40954), wat lei tot die uitvoering van afgeleë kode deur arbitrêr te laai lêers of opdragvervanging in die konteks van werkuitvoering sonder om skryftoegang tot DAG-lêers te hê.
Bron: opennet.ru