QEMU, Node.js, Grafana এবং Android-এ বিপজ্জনক দুর্বলতা

বেশ কিছু সম্প্রতি চিহ্নিত দুর্বলতা:

• ক্ষতিগ্রস্থতা (জন্য CVE-2020-13765) QEMU-তে, যা অতিথির মধ্যে একটি কাস্টম কার্নেল ইমেজ লোড করা হলে হোস্ট সাইডে QEMU প্রসেস সুবিধার সাথে কোড কার্যকর করা হতে পারে। সিস্টেম বুট করার সময় ROM কপি কোডে একটি বাফার ওভারফ্লো হওয়ার কারণে সমস্যাটি ঘটে এবং এটি ঘটে যখন একটি 32-বিট কার্নেল ইমেজের বিষয়বস্তু মেমরিতে লোড করা হয়। ফিক্স বর্তমানে শুধুমাত্র ফর্ম পাওয়া যায় প্যাচ.
• চারটি দুর্বলতা Node.js-এ। দুর্বলতা নির্মূল 14.4.0, 10.21.0 এবং 12.18.0 রিলিজে।
  • CVE-2020-8172 - একটি TLS সেশন পুনরায় ব্যবহার করার সময় হোস্ট শংসাপত্র যাচাইকরণকে বাইপাস করার অনুমতি দেয়।
  • CVE-2020-8174 - napi_get_value_string_*() ফাংশনে একটি বাফার ওভারফ্লো হওয়ার কারণে সিস্টেমে কোড কার্যকর করার সম্ভাব্য অনুমতি দেয় যা কিছু নির্দিষ্ট কলের সময় ঘটে এন-এপিআই (নেটিভ অ্যাড-অন লেখার জন্য C API)।
  • CVE-2020-10531 হল C/C++ এর জন্য ICU (ইউনিকোডের জন্য আন্তর্জাতিক উপাদান) একটি পূর্ণসংখ্যা ওভারফ্লো যা UnicodeString::doAppend() ফাংশন ব্যবহার করার সময় একটি বাফার ওভারফ্লো হতে পারে।
  • CVE-2020-11080 - HTTP/100 এর মাধ্যমে সংযোগ করার সময় বড় "সেটিংস" ফ্রেমের সংক্রমণের মাধ্যমে পরিষেবা অস্বীকার (2% CPU লোড) করার অনুমতি দেয়৷
• ক্ষতিগ্রস্থতা Grafana ইন্টারেক্টিভ মেট্রিক্স ভিজ্যুয়ালাইজেশন প্ল্যাটফর্মে, বিভিন্ন ডেটা উৎসের উপর ভিত্তি করে ভিজ্যুয়াল মনিটরিং গ্রাফ তৈরি করতে ব্যবহৃত হয়। অবতারগুলির সাথে কাজ করার জন্য কোডে একটি ত্রুটি আপনাকে প্রমাণীকরণ পাস না করেই Grafana থেকে যেকোনো URL-এ একটি HTTP অনুরোধ পাঠানো শুরু করতে এবং এই অনুরোধের ফলাফল দেখতে দেয়৷ এই বৈশিষ্ট্যটি ব্যবহার করা যেতে পারে, উদাহরণস্বরূপ, Grafana ব্যবহার করে কোম্পানিগুলির অভ্যন্তরীণ নেটওয়ার্ক অধ্যয়ন করতে। সমস্যা নির্মূল ইস্যুতে
  Grafana 6.7.4 এবং 7.0.2। নিরাপত্তা সমাধান হিসাবে, Grafana চালিত সার্ভারে URL "/avatar/*" অ্যাক্সেস সীমাবদ্ধ করার সুপারিশ করা হয়।

• প্রকাশিত অ্যান্ড্রয়েডের জন্য জুন মাসের নিরাপত্তা সংশোধনের সেট, যা 34টি দুর্বলতা ঠিক করে। চারটি ইস্যুকে একটি গুরুতর তীব্রতা স্তর নির্ধারণ করা হয়েছে: দুটি দুর্বলতা (CVE-2019-14073, CVE-2019-14080) মালিকানা কোয়ালকম উপাদানগুলিতে) এবং সিস্টেমের দুটি দুর্বলতা যা বিশেষভাবে ডিজাইন করা V বাহ্যিক ডেটা প্রক্রিয়া করার সময় কোড কার্যকর করার অনুমতি দেয় (E-2020 -0117 - পূর্ণসংখ্যা উপচে পড়া ব্লুটুথ স্ট্যাকের মধ্যে, CVE-2020-8597 - pppd-এ EAP ওভারফ্লো).

উত্স: opennet.ru