Fragilite danjere nan QEMU, Node.js, Grafana ak Android

Plizyè vilnerabilite ki fèk idantifye:

  • Vulnerabilite (CVE-2020-13765) nan QEMU, ki kapab lakòz kòd yo dwe egzekite ak privilèj pwosesis QEMU sou bò lame a lè yo chaje yon imaj nwayo koutim nan envite a. Pwoblèm nan koze pa yon tanpon debòde nan kòd kopi ROM la pandan demaraj sistèm lan epi li rive lè sa ki nan yon imaj nwayo 32-bit yo chaje nan memwa. Kouran ranje a disponib sèlman nan fòm lan plak.
  • Kat vilnerabilite nan Node.js. Vilnerabilite elimine nan degaje 14.4.0, 10.21.0 ak 12.18.0.
    • CVE-2020-8172 - Pèmèt verifikasyon sètifika lame yo dwe iyore lè w ap reitilize yon sesyon TLS.
    • CVE-2020-8174 - Potansyèlman pèmèt ekzekisyon kòd sou sistèm nan akòz yon debòde tanpon nan fonksyon napi_get_value_string_*() ki fèt pandan sèten apèl nan N-API (C API pou ekri adisyonèl natif natal).
    • CVE-2020-10531 se yon debòde nonb antye relatif nan ICU (Konpozan Entènasyonal pou Unicode) pou C/C++ ki ka mennen nan yon debòde tanpon lè w ap itilize fonksyon UnicodeString::doAppend().
    • CVE-2020-11080 - pèmèt refi sèvis (100% chaj CPU) atravè transmisyon gwo ankadreman "SETTINGS" lè w konekte via HTTP/2.
  • Vulnerabilite nan platfòm vizyalizasyon metrik entèaktif Grafana, yo itilize pou konstwi graf siveyans vizyèl ki baze sou divès sous done. Yon erè nan kòd la pou travay ak avatar pèmèt ou kòmanse voye yon demann HTTP soti nan Grafana nan nenpòt URL san yo pa pase otantifikasyon ak wè rezilta a nan demann sa a. Karakteristik sa a ka itilize, pou egzanp, etidye rezo entèn konpayi yo ki itilize Grafana. Pwoblèm elimine nan pwoblèm
    Grafana 6.7.4 ak 7.0.2. Kòm yon solisyon sekirite, li rekòmande pou mete restriksyon sou aksè a URL "/avatar/*" sou sèvè a ap kouri Grafana.
  • pibliye Jen seri ranje sekirite pou android, ki fikse 34 frajilite. Kat pwoblèm yo te bay yon nivo severite kritik: de frajilite (CVE-2019-14073, CVE-2019-14080) nan konpozan Qualcomm propriĂŠtaires) ak de frajilite nan sistèm nan ki pèmèt ekzekisyon kòd lè yo trete done ekstèn ki fèt espesyalman (CVE-2020). -0117 - nonb antye relatif debòde nan pil Bluetooth la, CVE-2020-8597 - EAP debòde nan pppd).

Sous: opennet.ru

Achte hosting serye pou sit ki gen pwoteksyon DDoS, sèvè VPS VDS 🔥 Achte yon hébergement sit entènèt serye ak pwoteksyon DDoS, sèvè VPS VDS | ProHoster