🥇वीएस कोड, ग्राफाना, जीएनयू एमएसीएस और अपाचे फाइनरैक्ट में कमजोरियां

हाल ही में पहचानी गई कई कमजोरियाँ:

विज़ुअल स्टूडियो कोड (वीएस कोड) संपादक में एक महत्वपूर्ण भेद्यता (सीवीई-2022-41034) की पहचान की गई है, जो किसी उपयोगकर्ता द्वारा किसी हमलावर द्वारा तैयार किए गए लिंक को खोलने पर कोड निष्पादन की अनुमति देता है। कोड को "रिमोट डेवलपमेंट" फ़ंक्शन का उपयोग करके वीएस कोड चलाने वाले कंप्यूटर और वीएस कोड से जुड़े किसी भी अन्य कंप्यूटर पर निष्पादित किया जा सकता है। यह समस्या GitHub Codespaces और github.dev सहित VS कोड के वेब संस्करण और उस पर आधारित वेब संपादकों के उपयोगकर्ताओं के लिए सबसे बड़ा खतरा है।
भेद्यता सेवा लिंक "कमांड:" को संसाधित करने की क्षमता के कारण होती है, एक टर्मिनल के साथ एक विंडो खोलने और उसमें मनमाना शेल कमांड निष्पादित करने के लिए, जब संपादक द्वारा नियंत्रित वेब सर्वर से डाउनलोड किए गए जिपिटर नोटबुक प्रारूप में विशेष रूप से डिज़ाइन किए गए दस्तावेज़ों को संसाधित किया जाता है। हमलावर (अतिरिक्त पुष्टिकरण के बिना " .ipynb" एक्सटेंशन वाली बाहरी फ़ाइलें "isTrusted" मोड में खोली जाती हैं, जो "कमांड:" के प्रसंस्करण की अनुमति देती है)।
GNU Emacs टेक्स्ट एडिटर में एक भेद्यता (CVE-2022-45939) की पहचान की गई है, जो ctags टूलकिट का उपयोग करके संसाधित नाम में विशेष वर्णों के प्रतिस्थापन के माध्यम से, कोड के साथ फ़ाइल खोलते समय कमांड को निष्पादित करने की अनुमति देता है।
खुले डेटा विज़ुअलाइज़ेशन प्लेटफ़ॉर्म ग्राफ़ाना में एक भेद्यता (सीवीई-2022-31097) की पहचान की गई है, जो ग्राफ़ाना अलर्टिंग सिस्टम के माध्यम से अधिसूचना प्रदर्शित करते समय जावास्क्रिप्ट कोड के निष्पादन की अनुमति देता है। यदि व्यवस्थापक इस लिंक पर क्लिक करता है, तो संपादक अधिकारों वाला एक हमलावर एक विशेष रूप से डिज़ाइन किया गया लिंक तैयार कर सकता है और व्यवस्थापक अधिकारों के साथ ग्राफाना इंटरफ़ेस तक पहुंच प्राप्त कर सकता है। ग्राफाना रिलीज़ 9.2.7, 9.3.0, 9.0.3, 8.5.9, 8.4.10 और 8.3.10 में भेद्यता को संबोधित किया गया है।
प्रोमेथियस के लिए मेट्रिक्स निर्यात मॉड्यूल बनाने के लिए निर्यातक-टूलकिट लाइब्रेरी में एक भेद्यता (सीवीई-2022-46146) का उपयोग किया जाता है। समस्या आपको बुनियादी प्रमाणीकरण को बायपास करने की अनुमति देती है।
वित्तीय सेवाएँ अपाचे फाइनरैक्ट बनाने के प्लेटफ़ॉर्म में एक भेद्यता (सीवीई-2022-44635), जो एक अप्रमाणित उपयोगकर्ता को दूरस्थ कोड निष्पादन प्राप्त करने की अनुमति देती है। समस्या फ़ाइलों को लोड करने के लिए घटक द्वारा संसाधित पथों में ".." वर्णों के उचित पलायन की कमी के कारण होती है। Apache Finerac 1.7.1 और 1.8.1 रिलीज़ में भेद्यता को ठीक किया गया था।
अपाचे टेपेस्ट्री जावा फ्रेमवर्क में एक भेद्यता (सीवीई-2022-46366) जो विशेष रूप से स्वरूपित डेटा को डीसेरिएलाइज़ किए जाने पर कोड को निष्पादित करने की अनुमति देती है। समस्या केवल अपाचे टेपेस्ट्री 3.x की पुरानी शाखा में दिखाई देती है, जो अब समर्थित नहीं है।
अपाचे एयरफ्लो प्रदाताओं में हाइव (सीवीई-2022-41131), पिनोट (सीवीई-2022-38649), पिग (सीवीई-2022-40189) और स्पार्क (सीवीई-2022-40954) में कमजोरियां, जिसके कारण लोडिंग के माध्यम से रिमोट कोड निष्पादन होता है। DAG फ़ाइलों तक लेखन पहुंच के बिना कार्य निष्पादन के संदर्भ में मनमानी फ़ाइलें या कमांड प्रतिस्थापन।

स्रोत: opennet.ru

VS कोड, ग्राफाना, GNU Emacs और Apache Fineract में भेद्यताएँ

एक टिप्पणी जोड़ें उत्तर रद्द