Néhány nemrégiben felfedezett sebezhetőség:
- Három sebezhetőség a LibreCAD nyílt forráskódú automatikus tervező rendszerében és a libdxfrw könyvtárban, amelyek lehetővé teszik a kontrollált puffer túlcsordulás kiváltását, és potenciálisan kód végrehajtásához vezethetnek speciálisan formázott DWG és DXF fájlok megnyitásakor. A problémák eddig csak javítócsomagok formájában lettek megszüntetve (CVE-2021-21898, CVE-2021-21899, CVE-2021-21900).
- Sebezhetőség (CVE-2021-41817) a Ruby nyelv alapértelmezett könyvtárában elérhető Date.parse metódusban. A Date.parse metódusban használt reguláris kifejezések hiányosságai lehetővé teszik DoS-támadások végrehajtását, amelyek jelentős CPU- és memóriafogyasztást eredményeznek, amikor speciálisan formázott adatokat dolgoznak fel.
- Sebezhetőség a TensorFlow gépi tanulási platformban (CVE-2021-41228), amely lehetővé teszi a támadó kódjának végrehajtását az saved_model_cli eszközzel feldolgozott adatok esetén, amelyeket az „—input_examples” paraméteren keresztül adtak át. A probléma a külső adatok használatából ered, amikor a „eval” funkció használatával kódot hívnak meg. A probléma a TensorFlow 2.7.0, TensorFlow 2.6.1, TensorFlow 2.5.2 és TensorFlow 2.4.4 verziókban lett megszüntetve.
- Sebezhetőség (CVE-2021-43331) a GNU Mailman levelezőlistakezelő rendszerében, amely egyes URL-típusok helytelen feldolgozásából fakad. A probléma lehetővé teszi, hogy JavaScript kód végrehajtása történjen egy speciálisan formázott URL megadásával a beállítások oldalán. A Mailmanban egy másik problémát is felfedeztek (CVE-2021-43332), amely lehetővé teszi a moderátori jogokkal rendelkező felhasználók számára az adminisztrátori jelszó kitalálását. A problémák a Mailman 2.1.36 verziójában lettek kijavítva.
- Sebezhetőségek sorozata a Vim szövegszerkesztőben, amelyek puffer túlcsorduláshoz és potenciálisan a támadó kódjának végrehajtásához vezethetnek, amikor speciálisan formázott fájlokat nyitnak meg az „-S” opcióval (CVE-2021-3903, CVE-2021-3872, CVE-2021-3927, CVE-2021-3928, javítások — 1, 2, 3, 4).
Forrás: opennet.ru
