Einige kürzlich entdeckte gefährliche Schwachstellen:
- CVE-2022-24834 — eine Schwachstelle in der Datenbank Redis, die ein Pufferüberlauf in den Bibliotheken cjson und cmsgpack beim Ausführen eines speziell gestalteten Scripts in Lua ermöglichen kann. Potenziell könnte die Schwachstelle zur Remote-Codeausführung auf Server. Das Problem tritt ab Redis 2.6 auf und wurde in den Versionen 7.0.12, 6.2.13 und 6.0.20 behoben. Als vorübergehende Schutzmaßnahme kann man über ACL den Benutzern von Redis die Ausführung der Befehle EVAL und EVALSHA verbieten.
- CVE-2023-36824 — eine Schwachstelle in der Datenbank Redis, die zu einem Pufferüberlauf bei der Verarbeitung von Schlüsselnamen führen kann, die über die Befehle COMMAND GETKEYS oder COMMAND GETKEYSANDFLAGS sowie in ACL-Regeln übergeben werden. Potenziell könnte die Schwachstelle zur Remote-Codeausführung auf dem Server führen. Das Problem tritt nur in der Version 7.0.x auf und wurde in der Version 7.0.12 behoben.
- CVE-2022-23537 — eine Schwachstelle in der Kommunikationsplattform Asterisk, die zu einem Pufferüberlauf bei der Analyse Server speziell gestalteter STUN-Nachrichten führt, in denen ein unbekanntes Attribut angegeben ist. Das Problem tritt auf, wenn in Asterisk die Protokolle ICE oder WebRTC verwendet werden. Die Schwachstelle wurde in den Versionen 16.30.1, 18.18.1, 19.8.1 und 20.3.1 behoben.
- CVE-2023-36664 — eine Schwachstelle in Ghostscript, einem Toolset zur Verarbeitung, Umwandlung und Erstellung von Dokumenten im PostScript- und PDF-Format, die die Ausführung von beliebigem Code beim Öffnen speziell gestalteter PostScript-Dokumente ermöglicht. Das Problem wird durch die fehlerhafte Verarbeitung von Dateinamen verursacht, die mit dem Zeichen „|“ oder dem Präfix %pipe% beginnen. Die Schwachstelle wurde in der Version Ghostscript 10.01.2 behoben.
In vielen Umgebungen wird Ghostscript beim Erstellen von Miniaturansichten auf dem Desktop oder bei der Hintergrundindizierung von Daten aufgerufen, wodurch es manchmal ausreicht, einfach eine Datei mit einem Exploit hochzuladen oder einen Katalog mit ihr in Nautilus zu durchsuchen. Angriffe auf Serversysteme können über Bildverarbeiter, die auf den Paketen ImageMagick und GraphicsMagick basieren, organisiert werden, die Ghostscript aufrufen, wenn JPEG- oder PNG-Dateien übergeben werden, in denen anstelle eines Bildes PostScript-Code enthalten ist (solch eine Datei wird in Ghostscript verarbeitet, da der MIME-Typ anhand des Inhalts und nicht aufgrund der Erweiterung erkannt wird).
- CVE-2023-36475 — eine Sicherheitsanfälligkeit in Parse Server, einem Backend für Node.js, das mit dem Web-Framework Express arbeitet, das es ermöglicht, eigenen Code remote auf dem Server auszuführen. Diese Verletzung erlaubt es, die Methode der Prototyp-Verschmutzung von JavaScript-Objekten („prototype pollution“) durch den BSON-Parser von MongoDB zu nutzen, um eigenen Code auszuführen. Der Sicherheitsgrad wird mit 9,8 von 10 eingestuft. Das Problem wurde in den Updates von parse-server 5.5.2 und 6.2.1 behoben.
Quelle: opennet.ru
