Mehrere kürzlich identifizierte Sicherheitsanfälligkeiten:
- () in QEMU, das potenziell zur Ausführung von Code mit den Rechten des QEMU-Prozesses auf dem Host-System führen kann, wenn ein speziell gestaltetes Kernel-Image im Gast-System geladen wird. Das Problem wird durch einen Pufferüberlauf im Code verursacht, der den Inhalt des ROMs während des Systemstarts kopiert, und tritt auf, wenn der Inhalt eines 32-Bit-Kernel-Images in den Speicher geladen wird. Ein Fix ist derzeit nur in Form von .
- in Node.js. Die Verwundbarkeiten in den Versionen 14.4.0, 10.21.0 und 12.18.0.
- CVE-2020-8172 — ermöglicht das Umgehen der Host-Zertifikatsüberprüfung beim Wiederverwenden einer TLS-Sitzung.
- CVE-2020-8174 — ermöglicht potenziell die Ausführung von Code im System aufgrund eines Pufferüberlaufs in den Funktionen napi_get_value_string_*(), der bei bestimmten Aufrufen auftritt (C-API zur Erstellung nativer Erweiterungen).
- CVE-2020-10531 — ganzzahlige Überlauf in ICU (International Components for Unicode) für C/C++, der zu einem Pufferüberlauf führen kann, wenn die Funktion UnicodeString::doAppend() verwendet wird.
- CVE-2020-11080 — ermöglicht einen Denial-of-Service (100% CPU-Auslastung) durch das Senden großer 'SETTINGS'-Frames bei einer HTTP/2-Verbindung.
- in der Plattform zur interaktiven Visualisierung von Metriken Grafana, die zur Erstellung von Diagrammen für die anschauliche Überwachung basierend auf verschiedenen Datenquellen verwendet wird. Ein Fehler im Code im Umgang mit Avataren ermöglicht es, ohne Authentifizierung eine HTTP-Anfrage von Grafana an jede URL zu initiieren und das Ergebnis dieser Anfrage anzusehen. Diese Besonderheit kann beispielsweise verwendet werden, um in das interne Netzwerk von Unternehmen zu blicken, die Grafana nutzen. Problem in den Versionen
Grafana 6.7.4 und 7.0.2. Als vorläufigen Schutz wird empfohlen, den Zugang zur URL „/avatar/*“ auf dem Server mit Grafana einzuschränken. - der Juni-Sicherheitsupdates für Android, bei dem 34 Schwachstellen behoben wurden. Vier Probleme wurden mit einem kritischen Gefahrgrad bewertet: zwei Schwachstellen (CVE-2019-14073, CVE-2019-14080) in proprietären Komponenten von Qualcomm und zwei Schwachstellen im System, die die Ausführung von Code bei der Verarbeitung speziell gestalteter externer Daten ermöglichen (CVE-2020-0117 – Ganzzahlüberlauf CVE-2020-8597 – Überlauf in EAP in pppd ).
Quelle: opennet.ru
