Опасни уязвимости в QEMU, Node.js, Grafana и Android

Няколко наскоро идентифицирани уязвимости:

• Уязвимост (CVE-2020-13765) в QEMU, която потенциално може да доведе до изпълнение на код с правата на процеса QEMU на хост системата при зареждане на специално подготвен образ на ядрото в гостуващата система. Проблемът е причинен от преливане на буфера в кода за копиране на съдържанието на ROM по време на зареждане на системата и се проявява при зареждане на съдържанието на 32-битов образ на ядрото в паметта. Понастоящем корекцията е налична само под формата на пач.
• Четири уязвимости в Node.js. Уязвимостите отстранени в изданията 14.4.0, 10.21.0 и 12.18.0.
  • CVE-2020-8172 — позволява заобикаляне на проверката на сертификата на хоста при повторна употреба на TLS сесия.
  • CVE-2020-8174 — потенциално позволява изпълнение на код в системата поради преливане на буфера в функциите napi_get_value_string_*(), което възниква при определени извиквания на N-API (C API за писане на нативни разширения).
  • CVE-2020-10531 — целочислено преливане в ICU (Международни компоненти за Unicode) за C/C++, което може да доведе до преливане на буфера при използване на функцията UnicodeString::doAppend().
  • CVE-2020-11080 — позволява да се извърши отказ на услуга (100% натовареност на CPU) чрез предаване на големи кадри "SETTINGS" при свързване по HTTP/2.
• Уязвимост в платформата за интерактивна визуализация на метрики Grafana, използвана за изграждане на графики за визуален мониторинг на базата на различни източници на данни. Грешка в кода за работа с аватари позволява без преминаване на аутентификация да се иницира изпращане на HTTP заявка от страна на Grafana към всеки URL и да се види резултата от тази заявка. Посочената особеност може да се използва, например, за проучване на вътрешната мрежа на компании, които използват Grafana. Проблемът е отстранена в изданията
  Grafana 6.7.4 и 7.0.2. Като обходен път за защита се препоръчва ограничаване на достъпа до URL "\/avatar\/*" на сървъра с Grafana.
• Публикувано юнският пакет за корекции на проблеми със сигурността за Android, в който са отстранени 34 уязвимости. Четири проблема са определени с критично ниво на опасност: две уязвимости (CVE-2019-14073, CVE-2019-14080) в собствените компоненти на Qualcomm и две уязвимости в системата, които позволяват изпълнение на код при обработка на специално подготвени външни данни (CVE-2020-0117 — целочислено преливане в Bluetooth стека, CVE-2020-8597 — преливане в EAP в pppd).

Източник: opennet.ru