Опасни уязвимости в QEMU, Node.js, Grafana и Android

Няколко наскоро открити уязвимости:

• Уязвимостта (CVE-2020-13765) в QEMU, която потенциално може да доведе до изпълнение на код с правата на процеса QEMU на хост системата при зареждане в гостуваща система на специално форматиран образ на ядрото. Проблемът е предизвикан от препълване на буфера в кода за копиране на съдържанието на ROM по време на зареждане на системата и се проявява при зареждането на съдържание на 32-битов образ на ядрото в паметта. Понастоящем корекцията е налична само под формата на пач.
• Четири уязвимости в Node.js. Уязвимостите са отстранени в версиите 14.4.0, 10.21.0 и 12.18.0.
  • CVE-2020-8172 — позволява заобикаляне на проверката на сертификата на хоста при повторно използване на сесия TLS.
  • CVE-2020-8174 — потенциално позволява изпълнение на код в системата поради препълване на буфера в функциите napi_get_value_string_*(), което възниква при определени обаждания до N-API (C API за писане на nativen допълнения).
  • CVE-2020-10531 — целочислено препълване в ICU (Международни компоненти за Unicode) за C/C++, което може да доведе до препълване на буфера при използване на функцията UnicodeString::doAppend().
  • CVE-2020-11080 — позволява отказ на услуга (100% натоварване на CPU) чрез изпращане на големи пакети „SETTINGS“ при свързване по HTTP/2.
• Уязвимостта в платформата за интерактивна визуализация на метрики Grafana, използвана за изграждане на графики за визуален мониторинг на база на различни източници на данни. Грешка в кода за работа с аватари позволява без преминаване на автентикация да се инициира изпращане на HTTP-заявка от страна на Grafana към произволен URL и да се види резултата от тази заявка. Посочената особеност може да се използва например за изследване на вътрешната мрежа на компании, използващи Grafana. Проблемът е отстранена в версиите
  Grafana 6.7.4 и 7.0.2. Като обходен маршрут за защита се препоръчва ограничаване на достъпа до URL „/avatar/*“ на сървера с Grafana.
• Публикувано юнският пакет с корекции на проблеми с безопасността за Android, в който са отстранени 34 уязвимости. Четири проблема са класирани със критичен ниво на опасност: две уязвимости (CVE-2019-14073, CVE-2019-14080) в проприетарни компоненти на Qualcomm и две уязвимости в системата, позволяващи изпълнение на код при обработка на специално форматирани външни данни (CVE-2020-0117 — целочислено препълване в Bluetooth стека, CVE-2020-8597 — препълване EAP в pppd).

Източник: opennet.ru