Alcune vulnerabilità pericolose recentemente scoperte:
- CVE-2022-24834 — vulnerabilità nel database Redis che consente un overflow del buffer nelle librerie cjson e cmsgpack durante l'esecuzione di uno script appositamente progettato in Lua. Questa vulnerabilità potrebbe potenzialmente portare all'esecuzione remota di codice su server. Il problema si manifesta a partire da Redis 2.6 ed è stato risolto nelle versioni 7.0.12, 6.2.13 e 6.0.20. Come soluzione alternativa, è possibile vietare agli utenti Redis di eseguire i comandi EVAL e EVALSHA tramite ACL.
- CVE-2023-36824 — vulnerabilità nel database Redis che provoca un overflow del buffer durante l'elaborazione dei nomi delle chiavi, fornite tramite il comando COMMAND GETKEYS o COMMAND GETKEYSANDFLAGS, così come le liste di chiavi nelle regole ACL. Questa vulnerabilità potrebbe potenzialmente portare all'esecuzione remota di codice sul server. Il problema si manifesta solo nella branch 7.0.x ed è stato risolto nella versione 7.0.12.
- CVE-2022-23537 — vulnerabilità nella piattaforma di comunicazione Asterisk che porta a un overflow del buffer durante l'analisi server di messaggi STUN appositamente formattati, in cui è specificato un attributo sconosciuto. Il problema si manifesta quando Asterisk utilizza i protocolli ICE o WebRTC. La vulnerabilità è stata risolta nelle versioni 16.30.1, 18.18.1, 19.8.1 e 20.3.1.
- CVE-2023-36664 — vulnerabilità in Ghostscript, un insieme di strumenti per l'elaborazione, la conversione e la generazione di documenti nei formati PostScript e PDF, che consente di eseguire codice arbitrario aprendo documenti specificamente progettati nel formato PostScript. Il problema è causato da un'elaborazione non corretta dei nomi dei file che iniziano con il carattere «|» o il prefisso %pipe%. La vulnerabilità è stata risolta nella versione Ghostscript 10.01.2.
In molti ambienti, Ghostscript viene chiamato durante la creazione di miniature sul desktop o durante l'indicizzazione in background dei dati, quindi per un attacco è a volte sufficiente caricare un file con un exploit o visualizzare la cartella contenente esso in Nautilus. Un attacco ai sistemi server può essere organizzato tramite i gestori di immagini basati su ImageMagick e GraphicsMagick, che chiamano Ghostscript quando vengono passati file JPEG o PNG in cui invece dell'immagine c'è codice PostScript (questo file sarà elaborato in Ghostscript, poiché il MIME-type viene riconosciuto dal contenuto e non si basa sull'estensione).
- CVE-2023-36475 — vulnerabilità in Parse Server, il backend per Node.js che opera con il framework web Express, che consente di eseguire codice remoto sul server. La vulnerabilità permette di applicare il metodo di inquinamento del prototipo degli oggetti JavaScript («prototype pollution») per eseguire codice tramite il parser BSON di MongoDB. Questa vulnerabilità ha un livello di gravità di 9.8 su 10. Il problema è stato risolto negli aggiornamenti di parse-server 5.5.2 e 6.2.1.
Fonte: opennet.ru
