Уязвимости в Redis, Ghostscript, Asterisk и Parse Server

Няколко наскоро открити опасни уязвимости:

• CVE-2022-24834 — уязвимост в СУБД Redis, позволяваща предизвикване на препълване на буфера в библиотеките cjson и cmsgpack при изпълнение на специално оформен скрипт на езика Lua. Потенциално уязвимостта може да доведе до изпълнение на отдалечен код на сървър. Проблемът се проявява от Redis 2.6 и е отстранен в версиите 7.0.12, 6.2.13 и 6.0.20. Като обходен път за защита, може да се забрани на потребителите на Redis да изпълняват команди EVAL и EVALSHA чрез ACL.
• CVE-2023-36824 — уязвимост в СУБД Redis, водеща до препълване на буфера при обработка на имена на ключове, предадени чрез командите COMMAND GETKEYS или COMMAND GETKEYSANDFLAGS, както и списъци с ключове в правилата на ACL. Потенциално уязвимостта може да доведе до изпълнение на отдалечен код на сървъра. Проблемът се проявява само в клон 7.0.x и е отстранен в версия 7.0.12.
• CVE-2022-23537 — уязвимост в комуникационната платформа Asterisk, водеща до препълване на буфера при анализ на сървър специално оформени съобщения STUN, в които е посочен неизвестен атрибут. Проблемът се проявява при използването на протоколите ICE или WebRTC в Asterisk. Уязвимостта е отстранена в версиите 16.30.1, 18.18.1, 19.8.1 и 20.3.1.
• CVE-2023-36664 — уязвимост в Ghostscript, комплект от инструменти за обработка, преобразуване и генериране на документи в формати PostScript и PDF, позволяваща изпълнение на произволен код при отваряне на специално оформени документи във формат PostScript. Проблемът е предизвикан от неправилна обработка на имена на файлове, започващи с символа «|» или префикса %pipe%. Уязвимостта е отстранена в версия Ghostscript 10.01.2.

  В много среди Ghostscript се извиква в процеса на създаване на миниатюри на работния плот или при фоново индексиране на данни, поради което за атака понякога е достатъчно просто да се зареди файл с експлоит или да се прегледа каталог с него в Nautilus. Атака на сървърни системи може да се организира чрез обработватели на изображения, базирани на пакетите ImageMagick и GraphicsMagick, които извикват Ghostscript при предаване на JPEG или PNG файлове, в които вместо изображение се съдържа код на PostScript (такъв файл ще бъде обработен в Ghostscript, тъй като MIME типът се разпознава по съдържанието, а не разчитайки на разширението).

• CVE-2023-36475 — уязвимост в Parse Server, бекенда за Node.js, работещ с уеб фреймворка Express, която позволява отдалечено изпълнение на собствен код на сървъра. Уязвимостта позволява прилагане на метода на замърсяване на прототипа на JavaScript обекти за изпълнение на собствен код чрез BSON парсер на MongoDB. Уязвимостта е оценена с ниво на опасност 9.8 от 10. Проблемът е отстранен в обновленията на parse-server 5.5.2 и 6.2.1.

Източник: opennet.ru