Nokkrir nýlega greindir veikleikar:
- Mikilvægur varnarleysi (CVE-2022-41034) hefur verið auðkenndur í Visual Studio Code (VS Code) ritlinum, sem gerir kleift að keyra kóða þegar notandi opnar hlekk sem útbúinn er af árásarmanni. Kóðann er hægt að keyra bæði á tölvunni sem keyrir VS kóða og á öðrum tölvum sem tengjast VS kóða með því að nota „Fjarþróun“ aðgerðina. Vandamálið stafar mesta ógn af notendum vefútgáfu VS Code og vefritstjóra sem byggja á honum, þar á meðal GitHub Codespaces og github.dev.
Varnarleysið stafar af getu til að vinna úr þjónustutengla „skipun:“ til að opna glugga með flugstöð og framkvæma handahófskenndar skel skipanir í henni, þegar unnið er í ritlinum sérhönnuð skjöl á Jypiter Notebook sniði sem hlaðið er niður af vefþjóni sem stjórnað er af árásarmaðurinn (ytri skrár með endingunni ".ipynb" án frekari staðfestingar eru opnaðar í "isTrusted" ham, sem gerir vinnslu á "skipun:").
- Varnarleysi (CVE-2022-45939) hefur fundist í GNU Emacs textaritlinum, sem gerir kleift að framkvæma skipanir þegar skrá er opnuð með kóða, með því að skipta út sérstöfum í nafninu sem unnið er með ctags verkfærakistunni.
- Varnarleysi (CVE-2022-31097) hefur verið greint í opna gagnasjónunarvettvangnum Grafana, sem gerir kleift að keyra JavaScript kóða þegar tilkynning er birt í gegnum Grafana viðvörunarkerfið. Árásarmaður með ritstjóraréttindi getur útbúið sérhannaðan hlekk og fengið aðgang að Grafana viðmótinu með stjórnandaréttindum ef stjórnandi smellir á þennan hlekk. Tekið hefur verið á veikleikanum í útgáfum Grafana 9.2.7, 9.3.0, 9.0.3, 8.5.9, 8.4.10 og 8.3.10.
- Varnarleysi (CVE-2022-46146) í útflytjanda-tólasafninu sem notað er til að búa til útflutningseiningar mæligilda fyrir Prometheus. Vandamálið gerir þér kleift að komast framhjá grunnauðkenningu.
- Varnarleysi (CVE-2022-44635) í vettvangi til að búa til fjármálaþjónustu Apache Fineract, sem gerir óstaðfestum notanda kleift að ná fram keyrslu kóða fjarstýrð. Vandamálið stafar af skorti á réttri sleppingu ".." stöfum á slóðum sem unnar eru af íhlutnum til að hlaða skrám. Varnarleysið var lagað í Apache Fineract 1.7.1 og 1.8.1 útgáfum.
- Varnarleysi (CVE-2022-46366) í Apache Tapestry Java ramma sem gerir kleift að keyra kóða þegar sérsniðin gögn eru afseríðuð. Vandamálið birtist aðeins í gömlu greininni af Apache Tapestry 3.x, sem er ekki lengur studd.
- Veikleikar í Apache Airflow veitum fyrir Hive (CVE-2022-41131), Pinot (CVE-2022-38649), Pig (CVE-2022-40189) og Spark (CVE-2022-40954), sem leiðir til fjarkvörðunar kóða með hleðslu handahófskenndar skrár eða skipanaskipti í tengslum við framkvæmd verks án þess að hafa skrifaðgang að DAG skrám.
Heimild: opennet.ru