Plusieurs vulnérabilités récemment identifiées :
- Une vulnérabilité critique (CVE-2022-41034) a été identifiée dans Visual Studio Code (VS Code) qui permet l'exécution de code lorsqu'un utilisateur ouvre un lien préparé par un attaquant. Le code peut être exécuté soit sur la machine VS Code, soit sur toute autre machine connectée à VS Code à l'aide de la fonction de développement à distance. Le problème représente le plus grand danger pour les utilisateurs de la version Web de VS Code et les éditeurs Web basés sur celle-ci, notamment GitHub Codespaces et github.dev.
La vulnérabilité est causée par la capacité de traiter les liens de service "commande :" pour ouvrir une fenêtre avec un terminal et y exécuter des commandes shell arbitraires, lors du traitement de documents spécialement conçus au format Jypiter Notebook dans l'éditeur, téléchargés à partir d'un serveur Web contrôlé par l'attaquant (les fichiers externes avec l'extension « .ipynb » sans confirmations supplémentaires sont ouverts en mode « isTrusted », ce qui permet le traitement de « command : »).
- Une vulnérabilité a été identifiée dans l'éditeur de texte GNU Emacs (CVE-2022-45939), qui permet d'organiser l'exécution de commandes lors de l'ouverture d'un fichier avec du code, grâce à la substitution de caractères spéciaux dans le nom traité à l'aide de la boîte à outils ctags.
- Une vulnérabilité (CVE-2022-31097) a été identifiée dans la plateforme de visualisation de données open source Grafana qui pourrait permettre l'exécution de code JavaScript lorsqu'une notification est affichée via le système d'alerte Grafana. Un attaquant avec les droits d'éditeur peut préparer un lien spécialement conçu et accéder à l'interface Grafana avec les droits d'administrateur si l'administrateur clique sur ce lien. La vulnérabilité a été corrigée dans les versions Grafana 9.2.7, 9.3.0, 9.0.3, 8.5.9, 8.4.10 et 8.3.10.
- Vulnérabilité (CVE-2022-46146) dans la bibliothèque exporter-toolkit utilisée pour créer des exportateurs de métriques pour Prometheus. Le problème vous permet de contourner l'authentification de base.
- Vulnérabilité (CVE-2022-44635) dans la plateforme de services financiers Apache Fineract qui permet à un utilisateur non authentifié d'exécuter du code à distance. Le problème est dû à l'absence d'échappement correct des caractères ".." dans les chemins traités par le composant pour le chargement des fichiers. La vulnérabilité a été corrigée dans les versions 1.7.1 et 1.8.1 d'Apache Fineract.
- Une vulnérabilité (CVE-2022-46366) dans le framework Java Apache Tapestry qui permet d'exécuter du code personnalisé lorsque des données spécialement formatées sont désérialisées. Le problème apparaît uniquement dans l'ancienne branche d'Apache Tapestry 3.x, qui n'est plus prise en charge.
- Vulnérabilités des fournisseurs Apache Airflow à Hive (CVE-2022-41131), Pinot (CVE-2022-38649), Pig (CVE-2022-40189) et Spark (CVE-2022-40954), conduisant à l'exécution de code à distance par chargement arbitraire fichiers ou substitution de commande dans le cadre de l'exécution d'un travail sans avoir accès en écriture aux fichiers DAG.
Source: opennet.ru