Уязвимости в VS Code, Grafana, GNU Emacs и Apache Fineract

Няколко наскоро открити уязвимости:

• В редактора Visual Studio Code (VS Code) е открита критична уязвимост (CVE-2022-41034), която позволява разкриване на код при отваряне на връзка, подготвена от атакуващия. Кодът може да бъде изпълнен както на компютъра с VS Code, така и на всеки друг компютър, свързан с VS Code посредством функцията „Remote Development“. Проблемът представлява най-голяма опасност за потребителите на уеб версията на VS Code и уеб редакторите на нейната основа, включително GitHub Codespaces и github.dev.

  Уязвимостта е причинена от възможността за обработка на служебните връзки „command:“ за отваряне на прозорец с терминал и изпълнение на произволни shell команди, при обработката в редактора на специално форматирани документи в Jupyter Notebook, заредени от уеб сървър, контролиран от атакуващия (външни файлове с разширение „.ipynb“ без допълнително потвърждение се отварят в режим „isTrusted“, допускащ обработка на „command:“).

• В текстовия редактор GNU Emacs е открита уязвимост (CVE-2022-45939), която позволява изпълнение на команди при отваряне на файл с код, чрез подмяна на специални символи в името, обработвани с инструментариума ctags.
• В откритата платформа за визуализация на данни Grafana е открита уязвимост (CVE-2022-31097), която позволява изпълнение на JavaScript код при извеждане на уведомление чрез системата Grafana Alerting. Атакуващият с права редактор (Editor) може да подготви специално оформена връзка и да получи достъп до интерфейса на Grafana с права на администратор, ако администраторът кликне на тази връзка. Уязвимостта е отстранена в версиите Grafana 9.2.7, 9.3.0, 9.0.3, 8.5.9, 8.4.10 и 8.3.10.
• Уязвимост (CVE-2022-46146) в библиотеката exporter-toolkit, използвана за създаване на модули за експортиране на метрики за Prometheus. Проблемът позволява заобикаляне на основната аутентификация.
• Уязвимост (CVE-2022-44635) в платформата за създаване на финансови услуги Apache Fineract, позволяваща на неаутентифициран потребител да постигне отдалечено изпълнение на код. Проблемът е причинен от липса на адекватно екраниране на символите „..“ в пътищата, обработвани от компонента за качване на файлове. Уязвимостта е отстранена в версиите Apache Fineract 1.7.1 и 1.8.1.
• Уязвимост (CVE-2022-46366) в Java-фреймворка Apache Tapestry, която позволява изпълнение на собствен код при десериализация на специално подготвени данни. Проблемът се проявява само в старата версия на Apache Tapestry 3.x, която вече не се поддържа.
• Уязвимости в провайдърите на Apache Airflow за Hive (CVE-2022-41131), Pinot (CVE-2022-38649), Pig (CVE-2022-40189) и Spark (CVE-2022-40954), водещи до дистанционно изпълнение на код чрез зареждане на произволни файлове или замяна на команди в контекста на изпълнение на задачи, без да имате достъп до DAG файловете.

Източник: opennet.ru