Vulnérabilités dans Redis, Ghostscript, Asterisk et Parse Server

Plusieurs vulnérabilités récemment découvertes :

• CVE-2022-24834 — une vulnérabilité dans la base de données Redis, permettant de provoquer un dépassement de tampon dans les bibliothèques cjson et cmsgpack lors de l'exécution d'un script spécialement conçu en Lua. Potentiellement, cette vulnérabilité peut mener à l'exécution à distance de code sur le serveur. Le problème apparaît à partir de Redis 2.6 et a été corrigé dans les versions 7.0.12, 6.2.13 et 6.0.20. Comme solution de contournement, il est possible d'interdire aux utilisateurs de Redis d'exécuter les commandes EVAL et EVALSHA via les ACL.
• CVE-2023-36824 est une vulnérabilité dans la base de données Redis, entraînant un dépassement de tampon lors du traitement des noms de clés, passés via les commandes COMMAND GETKEYS ou COMMAND GETKEYSANDFLAGS, ainsi que des listes de clés dans les règles ACL. Potentiellement, cette vulnérabilité peut mener à l'exécution à distance de code sur le serveur. Le problème n'apparaît que dans la branche 7.0.x et a été corrigé dans la version 7.0.12.
• CVE-2022-23537 — une vulnérabilité dans la plateforme de communication Asterisk, entraînant un dépassement de tampon lors de l'analyse serveur de messages STUN spécialement conçus, contenant un attribut inconnu. Le problème apparaît lors de l'utilisation des protocoles ICE ou WebRTC dans Asterisk. La vulnérabilité a été corrigée dans les versions 16.30.1, 18.18.1, 19.8.1 et 20.3.1.
• CVE-2023-36664 — une vulnérabilité dans Ghostscript, un ensemble d'outils pour le traitement, la conversion et la génération de documents aux formats PostScript et PDF, permettant d'exécuter du code arbitraire lors de l'ouverture de documents spécialement conçus au format PostScript. Le problème est causé par un traitement incorrect des noms de fichiers commençant par le caractère « | » ou le préfixe %pipe%. La vulnérabilité a été corrigée dans la version Ghostscript 10.01.2.

  Dans de nombreux environnements, Ghostscript est appelé lors de la création de miniatures sur le bureau ou lors de l'indexation en arrière-plan des données, de sorte que pour attaquer, il suffit parfois de télécharger un fichier contenant l'exploit ou de visualiser le répertoire contenant celui-ci dans Nautilus. Une attaque sur les systèmes serveurs peut être organisée via des gestionnaires d'images basés sur les paquets ImageMagick et GraphicsMagick, qui appellent Ghostscript lors du transfert de fichiers JPEG ou PNG, dans lesquels au lieu d'une image se trouve du code PostScript (ce type de fichier sera traité dans Ghostscript, car le type MIME est reconnu par le contenu et non pas en s'appuyant sur l'extension).

• CVE-2023-36475 — vulnérabilité dans Parse Server, le backend de Node.js fonctionnant avec le framework web Express, permettant l'exécution à distance de code sur le serveur. Cette vulnérabilité permet d'utiliser la méthode de pollution de prototype des objets JavaScript (« prototype pollution ») pour exécuter son propre code via le parser BSON de MongoDB. La vulnérabilité a été classée avec un niveau de dangerosité de 9,8 sur 10. Le problème a été corrigé dans les mises à jour parse-server 5.5.2 et 6.2.1.

Source : opennet.ru