Několik nedávno odhalených nebezpečných zranitelností:
- CVE-2022-24834 — zranitelnost v databázovém systému Redis, která umožňuje způsobit překročení zásobníku v knihovnách cjson a cmsgpack při provádění speciálně upravených skriptů v jazyce Lua. Potenciálně může zranitelnost vést k vzdálenému spuštění kódu na serveru. Problém se objevuje od verze Redis 2.6 a byl opraven ve verzích 7.0.12, 6.2.13 a 6.0.20. Jako obranou možností lze přes ACL zakázat uživatelům Redis vykonávat příkazy EVAL a EVALSHA.
- CVE-2023-36824 — zranitelnost v databázovém systému Redis, vedoucí k překročení zásobníku při zpracování názvů klíčů předaných prostřednictvím příkazu COMMAND GETKEYS nebo COMMAND GETKEYSANDFLAGS, stejně jako seznamů klíčů v pravidlech ACL. Potenciálně může zranitelnost vést k vzdálenému spuštění kódu na serveru. Problém se projevuje pouze ve větvi 7.0.x a byl opraven ve verzi 7.0.12.
- CVE-2022-23537 — zranitelnost na komunikační platformě Asterisk, vedoucí k překročení zásobníku při rozboru serverem speciálně upravených zpráv STUN, v nichž je uveden neznámý atribut. Problém se projevuje při používání v Asterisk protokolů ICE nebo WebRTC. Zranitelnost byla opravena ve verzích 16.30.1, 18.18.1, 19.8.1 a 20.3.1.
- CVE-2023-36664 — zranitelnost v Ghostscript, nástroji pro zpracování, převod a generaci dokumentů ve formátech PostScript a PDF, která umožňuje provést libovolný kód při otevření speciálně upravených dokumentů ve formátu PostScript. Problém je způsoben nesprávným zpracováním názvů souborů začínajících znakem „|“ nebo prefixem %pipe%. Zranitelnost byla opravena ve verzi Ghostscript 10.01.2.
V mnoha prostředích je Ghostscript volán při vytváření miniatur na ploše nebo při pozadové indexaci dat, proto pro útok může být někdy dostatečné jednoduše nahrát soubor s exploitou nebo prohlížet katalog s ním v Nautilus. Útok na serverové systémy může být organizován prostřednictvím zpracovatelů obrázků založených na balíčcích ImageMagick a GraphicsMagick, které volají Ghostscript při předání JPEG nebo PNG souborů, v nichž místo obrázku je kód PostScript (takový soubor bude zpracován v Ghostscript, protože MIME typ je rozpoznáván na základě obsahu, nikoli na základě přípony).
- CVE-2023-36475 — zranitelnost v Parse Serveru, backendu pro Node.js, který pracuje s webovým rámcem Express, umožňující vzdálené spuštění vlastního kódu na serveru. Zranitelnost umožňuje aplikovat metodu znečištění prototypu objektů JavaScript („prototype pollution“) pro spuštění vlastního kódu prostřednictvím BSON parseru MongoDB. Zranitelnosti byl přiřazen stupeň nebezpečnost 9.8 z 10. Problém byl vyřešen v aktualizacích parse-server 5.5.2 a 6.2.1.
Zdroj: opennet.ru
