Վտանգավոր խոցելիություններ QEMU-ում, Node.js-ում, Grafana-ում և Android-ում

Վերջերս հայտնաբերված մի քանի խոցելիություններ.

• Խոցելիություն (CVE-2020-13765- ը) QEMU-ում, ինչը կարող է պատճառ դառնալ, որ կոդը գործարկվի QEMU գործընթացի արտոնություններով հյուրընկալող կողմում, երբ հատուկ միջուկի պատկերը բեռնվում է հյուրի մեջ: Խնդիրն առաջանում է ROM-ի պատճենի կոդի բուֆերի արտահոսքից համակարգի բեռնման ժամանակ և առաջանում է, երբ 32-բիթանոց միջուկի պատկերի բովանդակությունը բեռնվում է հիշողության մեջ: Ուղղումը ներկայումս հասանելի է միայն ձևով կարկատել.
• Չորս խոցելիություն Node.js-ում: Խոցելիություններ վերացվել է 14.4.0, 10.21.0 և 12.18.0 թողարկումներում:
  • CVE-2020-8172 - Թույլ է տալիս շրջանցել հյուրընկալողի վկայականի ստուգումը TLS նստաշրջանը նորից օգտագործելիս:
  • CVE-2020-8174 - Հնարավոր է թույլ է տալիս համակարգում կոդի կատարումը napi_get_value_string_*() ֆունկցիաներում բուֆերային արտահոսքի պատճառով, որը տեղի է ունենում որոշակի զանգերի ժամանակ: N-API (C API՝ բնիկ հավելումներ գրելու համար):
  • CVE-2020-10531-ը ICU-ում (Միջազգային բաղադրիչներ Unicode-ի համար) C/C++-ի համար ամբողջ թիվ է, որը կարող է հանգեցնել բուֆերային հեղեղման UnicodeString::doAppend() ֆունկցիան օգտագործելիս:
  • CVE-2020-11080 - թույլ է տալիս ծառայությունից հրաժարվելը (100% պրոցեսորի բեռնվածություն) մեծ «SETTINGS» շրջանակների փոխանցման միջոցով HTTP/2-ով միանալու ժամանակ:
• Խոցելիություն Grafana ինտերակտիվ չափումների վիզուալիզացիայի հարթակում, որն օգտագործվում է տվյալների տարբեր աղբյուրների հիման վրա տեսողական մոնիտորինգի գրաֆիկներ ստեղծելու համար: Անձնանշանների հետ աշխատելու կոդի սխալը թույլ է տալիս սկսել Grafana-ից HTTP հարցում ուղարկել ցանկացած URL՝ առանց նույնականացման անցնելու և տեսնել այս հարցման արդյունքը: Այս հատկությունը կարող է օգտագործվել, օրինակ, Grafana-ից օգտվող ընկերությունների ներքին ցանցն ուսումնասիրելու համար: Խնդիր վերացվել է հարցերում
  Գրաֆանա 6.7.4 և 7.0.2. Որպես անվտանգության լուծում, խորհուրդ է տրվում սահմանափակել մուտքը դեպի «/avatar/*» URL-ը Grafana-ով աշխատող սերվերի վրա:

• հրապարակված Անվտանգության շտկումների հունիսյան փաթեթ Android-ի համար, որն ուղղում է 34 խոցելիություն։ Չորս խնդրի վերագրվել է խստության կրիտիկական մակարդակ՝ երկու խոցելիություն (CVE-2019-14073, CVE-2019-14080) Qualcomm-ի սեփական բաղադրիչներում) և երկու խոցելիություն համակարգում, որոնք թույլ են տալիս կոդի կատարումը հատուկ նախագծված արտաքին տվյալների մշակման ժամանակ (CVE-2020): -0117 - ամբողջ թիվ վարարում Bluetooth փաթեթում, CVE-2020-8597 - EAP արտահոսք pppd-ով).

Source: opennet.ru