VS কোড, Grafana, GNU Emacs এবং Apache Fineract-এ দুর্বলতা

বেশ কিছু সম্প্রতি চিহ্নিত দুর্বলতা:

• ভিজ্যুয়াল স্টুডিও কোড (ভিএস কোড) এ একটি জটিল দুর্বলতা (CVE-2022-41034) চিহ্নিত করা হয়েছে যেটি কোড কার্যকর করার অনুমতি দেয় যখন একজন ব্যবহারকারী আক্রমণকারীর দ্বারা প্রস্তুত করা একটি লিঙ্ক খোলে। কোডটি VS কোড মেশিনে বা রিমোট ডেভেলপমেন্ট বৈশিষ্ট্য ব্যবহার করে VS কোডের সাথে সংযুক্ত অন্য কোনো মেশিনে কার্যকর করা যেতে পারে। সমস্যাটি ভিএস কোডের ওয়েব সংস্করণ এবং এর উপর ভিত্তি করে গিটহাব কোডস্পেস এবং github.dev সহ ওয়েব সম্পাদকদের জন্য সবচেয়ে বড় বিপদ ডেকে আনে।

  একটি টার্মিনাল সহ একটি উইন্ডো খুলতে এবং এতে নির্বিচারে শেল কমান্ড কার্যকর করার জন্য "কমান্ড:" পরিষেবা লিঙ্কগুলি প্রক্রিয়া করার ক্ষমতার কারণে দুর্বলতা সৃষ্টি হয়, যখন সম্পাদকে জাইপিটার নোটবুক ফর্ম্যাটে বিশেষভাবে ডিজাইন করা নথিগুলি প্রক্রিয়াকরণ করা হয়, নিয়ন্ত্রিত ওয়েব সার্ভার থেকে ডাউনলোড করা হয়। আক্রমণকারী দ্বারা (অতিরিক্ত নিশ্চিতকরণ ছাড়াই এক্সটেনশন " .ipynb" সহ বাহ্যিক ফাইলগুলি "isTrusted" মোডে খোলা হয়, যা "কমান্ড:" প্রক্রিয়াকরণের অনুমতি দেয়)।

• GNU Emacs টেক্সট এডিটর (CVE-2022-45939) এ একটি দুর্বলতা চিহ্নিত করা হয়েছে, যা ctags টুলকিট ব্যবহার করে প্রক্রিয়াকৃত নামের বিশেষ অক্ষর প্রতিস্থাপনের মাধ্যমে কোড সহ একটি ফাইল খোলার সময় কমান্ড কার্যকর করার ব্যবস্থা করতে দেয়।
• Grafana ওপেন সোর্স ডেটা ভিজ্যুয়ালাইজেশন প্ল্যাটফর্মে একটি দুর্বলতা (CVE-2022-31097) চিহ্নিত করা হয়েছে যা Grafana অ্যালার্টিং সিস্টেমের মাধ্যমে একটি বিজ্ঞপ্তি প্রদর্শিত হলে JavaScript কোড কার্যকর করার অনুমতি দিতে পারে। সম্পাদক অধিকার সহ একজন আক্রমণকারী একটি বিশেষভাবে ডিজাইন করা লিঙ্ক প্রস্তুত করতে পারে এবং প্রশাসক এই লিঙ্কে ক্লিক করলে প্রশাসকের অধিকার সহ Grafana ইন্টারফেসে অ্যাক্সেস পেতে পারে। Grafana 9.2.7, 9.3.0, 9.0.3, 8.5.9, 8.4.10 এবং 8.3.10 রিলিজে দুর্বলতা ঠিক করা হয়েছে।
• প্রমিথিউসের জন্য মেট্রিক্স রপ্তানিকারক তৈরি করতে ব্যবহৃত রপ্তানিকারক-টুলকিট লাইব্রেরিতে দুর্বলতা (CVE-2022-46146)। সমস্যাটি আপনাকে মৌলিক প্রমাণীকরণ বাইপাস করতে দেয়।
• Apache Fineract আর্থিক পরিষেবা প্ল্যাটফর্মে দুর্বলতা (CVE-2022-44635) যা একজন অননুমোদিত ব্যবহারকারীকে রিমোট কোড এক্সিকিউশন অর্জন করতে দেয়। ফাইল লোড করার জন্য উপাদান দ্বারা প্রক্রিয়াকৃত পাথগুলিতে ".." অক্ষরগুলির সঠিকভাবে পালানোর অভাবের কারণে সমস্যাটি ঘটে। Apache Fineract 1.7.1 এবং 1.8.1 রিলিজে দুর্বলতা সংশোধন করা হয়েছে।
• Apache Tapestry Java ফ্রেমওয়ার্কে একটি দুর্বলতা (CVE-2022-46366) যা বিশেষভাবে ফর্ম্যাট করা ডেটা ডিসিরিয়ালাইজ করা হলে কাস্টম কোড কার্যকর করার অনুমতি দেয়। সমস্যাটি শুধুমাত্র Apache Tapestry 3.x এর পুরানো শাখায় দেখা যায়, যা আর সমর্থিত নয়।
• হাইভ (CVE-2022-41131), পিনোট (CVE-2022-38649), পিগ (CVE-2022-40189) এবং স্পার্ক (CVE-2022-40954) এর জন্য অ্যাপাচি এয়ারফ্লো প্রদানকারীদের দুর্বলতা, যা রিমোট কোড আর্কাউটের মাধ্যমে রিমোট লোডিং এক্সিকিউশনের দিকে পরিচালিত করে DAG ফাইলগুলিতে লেখার অ্যাক্সেস ছাড়াই কাজ সম্পাদনের প্রসঙ্গে ফাইল বা কমান্ড প্রতিস্থাপন।

উত্স: opennet.ru