Mõned hiljuti avastatud haavatavused:
- Kolm haavatavust avatud automatiseeritud projekteerimissüsteemis LibreCAD ja raamatukogus libdxfrw, mis võimaldavad käivitada kontrollitud mälupuhvri ülevoolu ja potentsiaalselt käivitada oma koodi spetsiaalselt vormistatud DWG ja DXF failide avamisel. Probleemid on praegu kõrvaldatud ainult patch'ide kujul (CVE-2021-21898, CVE-2021-21899, CVE-2021-21900).
- Haavatavus (CVE-2021-41817) Ruby keele standardraamatukogus pärinevas meetodis Date.parse. Regulaaravaldiste puudujäägid, mida kasutatakse Date.parse meetodi kuupäevade analüüsimiseks, võivad võimaldada DoS-rünnakute teostamist, mis põhjustavad märkimisväärsete CPU ressursside ja mälu tarbimise spetsiaalsete andmete töötlemisel.
- Haavatavus masinõppe platvormis TensorFlow (CVE-2021-41228), mis võimaldab käivitada oma koodi, kui hõivata andmeid ründajalt utiliidi saved_model_cli kaudu parameetriga «—input_examples». Probleem tuleneb välistest andmetest koodi väljakutsumise käigus funktsioonis «eval». Probleem on lahendatud versioonides TensorFlow 2.7.0, TensorFlow 2.6.1, TensorFlow 2.5.2 ja TensorFlow 2.4.4.
- Haavatavus (CVE-2021-43331) GNU Mailman'i meilide haldamise süsteemis, mis on põhjustatud mõnede URL-tüüpide vale töötlemise tõttu. Probleem võimaldab korraldada JavaScript-koodi täitmist, viidates spetsiaalselt vormistatud URL-ile seadetega lehel. Mailman'is on tuvastatud veel üks probleem (CVE-2021-43332), mis võimaldab moderaatori õigustega kasutajal administreerija parooli leidmiseks. Probleemid on lahendatud Mailman'i väljalaskes 2.1.36.
- Seeria haavatavusi tekstiredaktoris Vim, mis võivad viia mälupuhvri ülevooluni ja potentsiaalselt pahatahtliku koodi täitmiseni spetsiaalselt vormistatud failide avamisel valiku «-S» kaudu (CVE-2021-3903, CVE-2021-3872, CVE-2021-3927, CVE-2021-3928, parandused — 1, 2, 3, 4).
Allikas: opennet.ru
