लिब्रेकैड, रूबी, टेन्सरफ्लो, मेलमैन और विम में कमजोरियाँ

हाल ही में पहचानी गई कई कमजोरियाँ:

• मुक्त CAD प्रणाली LibreCAD और libdxfrw लाइब्रेरी में तीन कमजोरियां नियंत्रित बफर ओवरफ्लो की अनुमति देती हैं और विशेष रूप से तैयार की गई DWG और DXF फाइलों को खोलते समय कोड निष्पादन को संभव बनाती हैं। मुद्दों को अब तक केवल पैच (CVE-2021-21898, CVE-2021-21899, CVE-2021-21900) के रूप में हल किया गया है।
• रूबी मानक लाइब्रेरी में प्रदान की गई Date.parse विधि में एक भेद्यता (CVE-2021-41817) मौजूद है। Date.parse पद्धति में दिनांकों को पार्स करने के लिए प्रयुक्त नियमित अभिव्यक्तियों में त्रुटियों का उपयोग DoS हमलों को करने के लिए किया जा सकता है, जिसके परिणामस्वरूप विशेष रूप से स्वरूपित डेटा को संसाधित करते समय CPU की महत्वपूर्ण खपत और मेमोरी की बर्बादी होती है।
• TensorFlow मशीन लर्निंग प्लेटफ़ॉर्म (CVE-2021-41228) में एक भेद्यता आपको अपना कोड निष्पादित करने की अनुमति देती है जब saved_model_cli उपयोगिता "--input_examples" पैरामीटर के माध्यम से पारित हमलावर डेटा को संसाधित करती है। यह समस्या "eval" फ़ंक्शन के साथ कोड को कॉल करते समय बाह्य डेटा के उपयोग के कारण उत्पन्न होती है। TensorFlow 2.7.0, TensorFlow 2.6.1, TensorFlow 2.5.2 और TensorFlow 2.4.4 में यह समस्या ठीक कर दी गई है।
• GNU मेलमैन मेलिंग सूची प्रबंधन प्रणाली में एक भेद्यता (CVE-2021-43331) कुछ प्रकार के URL के गलत संचालन के कारण होती है। यह समस्या आपको सेटिंग पृष्ठ पर विशेष रूप से स्वरूपित URL निर्दिष्ट करके जावास्क्रिप्ट कोड के निष्पादन को व्यवस्थित करने की अनुमति देती है। मेलमैन में एक अन्य समस्या (CVE-2021-43332) की भी पहचान की गई है, जो मॉडरेटर अधिकार वाले उपयोगकर्ता को व्यवस्थापक पासवर्ड का अनुमान लगाने की अनुमति देती है। मेलमैन 2.1.36 में ये समस्याएं हल कर दी गई हैं।
• विम टेक्स्ट एडिटर में कमजोरियों की एक श्रृंखला जो "-S" विकल्प (CVE-2021-3903, CVE-2021-3872, CVE-2021-3927, CVE-2021-3928, पैच - 1, 2, 3, 4) के माध्यम से विशेष रूप से तैयार की गई फ़ाइलों को खोलते समय बफर ओवरफ़्लो और संभावित रूप से हमलावर कोड निष्पादन का कारण बन सकती है।

स्रोत: opennet.ru