Небяспечныя ўразлівасці ў QEMU, Node.js, Grafana і Android

Некалькі нядаўна выяўленых уразлівасцяў:

• ўразлівасць (CVE-2020-13765) у QEMU, якая патэнцыйна можа прывесці да выканання кода з правамі працэсу QEMU на баку хост-сістэмы пры загрузцы ў гасцявой сістэме спецыяльна аформленай выявы ядра. Праблема выклікана перапаўненнем буфера ў кодзе капіявання змесціва ПЗУ на этапе загрузкі сістэмы і выяўляецца пры загрузцы змесціва 32-разраднай выявы ядра ў памяць. Выпраўленне пакуль даступна толькі ў форме патча.
• Чатыры ўразлівасці у Node.js. Уразлівасці ліквідаваны у выпусках 14.4.0, 10.21.0 і 12.18.0.
  • CVE-2020-8172 - дазваляе абыйсці праверку сертыфіката хаста пры паўторным выкарыстанні TLS-сеансу.
  • CVE-2020-8174 — патэнцыйна дазваляе дабіцца выканання кода ў сістэме з-за перапаўнення буфера ў функцыях napi_get_value_string_*(), які ўзнікае пры пэўных зваротах да N-API (Сі API для напісання натыўных дапаўненняў).
  • CVE-2020-10531 – цэлалікавае перапаўненне ў ICU (International Components for Unicode) для C/C++, якое можа прывесці да перапаўнення буфера пры выкарыстанні функцыі UnicodeString::doAppend().
  • CVE-2020-11080 – дазваляе ажыццявіць адмову ў абслугоўванні (100% нагрузка на CPU) праз перадачу вялікіх кадраў "SETTINGS" пры падключэнні па HTTP/2.
• ўразлівасць у платформе інтэрактыўнай візуалізацыі метрык Grafana, якая прымяняецца для пабудовы графікаў нагляднага маніторынгу на аснове розных крыніц дадзеных. Памылка ў кодзе працы з аватарамі дазваляе без праходжання аўтэнтыфікацыі ініцыяваць адпраўку HTTP-запыту з боку Grafana на любы URL і паглядзець вынік гэтага запыту. Указаная асаблівасць можа прымяняцца, напрыклад, для вывучэння ўнутранай сеткі кампаній, якія выкарыстоўваюць Grafana. Праблема ліквідавана у выпусках
  Grafana 6.7.4 і 7.0.2. У якасці абыходнага шляху абароны рэкамендуецца абмежаваць доступ да URL "/avatar/*" на серверы з Grafana.

• Апублікаваны чэрвеньскі набор выпраўленняў праблем з бяспекай для Android, у якім ліквідаваны 34 уразлівасці. Чатыром праблемам прысвоены крытычны ўзровень небяспекі: дзве ўразлівасці (CVE-2019-14073, CVE-2019-14080) у прапрыетарных кампанентах Qualcomm) і дзве ўразлівасці ў сістэме, якія дазваляюць выканаць код пры апрацоўцы спецыяльна аформленых знешніх дадзеных (CVE2020 перапаўненне у Bluetooth-стэку, CVE-2020-8597 – перапаўненне EAP у pppd).

Крыніца: opennet.ru