Haavatavadustest VS Code, Grafana, GNU Emacs ja Apache Fineract

Mõned hiljuti avastatud haavatavadused:

• Visual Studio Code'is (VS Code) avastati kriitiline haavatavus (CVE-2022-41034), mis võimaldab koodi täitmist, kui kasutaja avab ründealuse koostatud lingi. Kood võib käivituda nii VS Code'i arvutis kui ka mistahes muudes arvutites, mis on ühendatud VS Code'iga "Remote Development" funktsiooni kaudu. Probleem on eriti ohtlik web-versiooni VS Code'i ja sellel põhinevate veebiredaktorite kasutajatele, sealhulgas GitHub Codespaces ja github.dev.

  Haavatavus tuleneb "command:" teenuselehtede töötlemise võimalusest terminali akna avamiseks ja sellel suvaliste shell-käskude täitmiseks, kui töödelda redaktoris spetsiaalselt vormindatud Jypiter Notebooki formaadis dokumente, mis on tõstatatud veebiserver, ründealuse kontrolli all (välised failid, millel on laienemine ".ipynb", avatakse ilma täiendava kinnitamiseta "isTrusted" režiimis, mis võimaldab "command:" töötlemist).

• Tekstiredaktoris GNU Emacs avastati haavatavus (CVE-2022-45939), mis võimaldab käskude täitmist, kui avada koodifail, asendades nime erimärkidega, mis töödeldakse ctags tööriistakomplekiga.
• Avoo andmete visualiseerimise platvormil Grafana avastati haavatavus (CVE-2022-31097), mis võimaldab JavaScripti koodi täitmist, kui käiada teade Grafana Alerting süsteemi kaudu. Ründealus, kellel on toimetaja (Editor) õigused, võib koostada spetsiaalselt vormindatud lingi ja pääseda Grafana liidesele administraatori õigustega, kui administraator selle lingi avab. Haavatavus on kõrvaldatud Grafana versioonides 9.2.7, 9.3.0, 9.0.3, 8.5.9, 8.4.10 ja 8.3.10.
• Haavatavus (CVE-2022-46146) eksportimise tööriista exporter-toolkit raamatukogus, mida kasutatakse metrikate eksportimise moodulite loomiseks Prometheus. Probleem võimaldab põhivautentimise vältimist.
• Haavatavus (CVE-2022-44635) finantsteenuste loomisplatvormil Apache Fineract, mis võimaldab autentimata kasutajal saavutada kaugjuhitava koodi täitmise. Probleem tuleneb puudulikest erimärkide ".." põgenemist, mis esinevad teedes, mida töötleb failide laadimise komponent. Haavatavus on kõrvaldatud Apache Fineract versioonides 1.7.1 ja 1.8.1.
• Haavatavus (CVE-2022-46366) Java raamistikus Apache Tapestry, mis võimaldab oma koodi täitmist spetsiaalselt kujundatud andmete deserialiseerimise kaudu. Probleem esineb ainult vanas Apache Tapestry 3.x harus, mis ei ole enam toetatud.
• Haavatavused Apache Airflow teenustes Hive (CVE-2022-41131), Pinot (CVE-2022-38649), Pig (CVE-2022-40189) ja Spark (CVE-2022-40954), mis põhjustavad kaugkoodi täitmist juhuslike failide laadimise või käskude asendamise kaudu tööde täitmise kontekstis, ilma DAG-failide kirjutamisse pääsemata.

Allikas: opennet.ru