Vulnerabilità pericolose in QEMU, Node.js, Grafana e Android

Alcune vulnerabilità recentemente scoperte:

• Vulnerabilità (CVE-2020-13765) in QEMU, che potrebbe potenzialmente portare all'esecuzione di codice con i privilegi del processo QEMU sulla macchina host durante il caricamento di un'immagine del kernel appositamente curata nel sistema guest. Il problema è causato da un buffer overflow nel codice che copia il contenuto del firmware durante la fase di avvio del sistema e si manifesta quando si carica il contenuto di un'immagine del kernel a 32 bit in memoria. La correzione è attualmente disponibile solo in forma di patch.
• Quattro vulnerabilità in Node.js. Le vulnerabilità risolte nelle versioni 14.4.0, 10.21.0 e 12.18.0.
  • CVE-2020-8172 — consente di eludere il controllo del certificato host durante il riutilizzo di una sessione TLS.
  • CVE-2020-8174 — potenzialmente consente l'esecuzione di codice nel sistema a causa di un buffer overflow nelle funzioni napi_get_value_string_*(), che si verifica durante alcune chiamate a N-API (API C per scrivere estensioni native).
  • CVE-2020-10531 — overflow intero in ICU (International Components for Unicode) per C/C++, che può portare a un overflow del buffer durante l'uso della funzione UnicodeString::doAppend().
  • CVE-2020-11080 — consente di provocare un'interruzione del servizio (carico CPU al 100%) tramite il passaggio di grandi pacchetti "SETTINGS" durante la connessione HTTP/2.
• Vulnerabilità nella piattaforma di visualizzazione interattiva dei metriche Grafana, utilizzata per creare grafici di monitoraggio visivo basati su diverse fonti di dati. Un errore nel codice di gestione degli avatar consente, senza autenticazione, di avviare una richiesta HTTP da Grafana a qualsiasi URL e di visualizzarne il risultato. Questa vulnerabilità può essere utilizzata, ad esempio, per esaminare la rete interna delle aziende che usano Grafana. Problema risolto nelle versioni
  Grafana 6.7.4 e 7.0.2. Come soluzione di sicurezza, si raccomanda di limitare l'accesso all'URL "/avatar/*" sul server con Grafana.
• Pubblicato il pacchetto di correzioni di sicurezza di giugno per Android, che risolve 34 vulnerabilità. A quattro problemi è stato attribuito un livello critico di gravità: due vulnerabilità (CVE-2019-14073, CVE-2019-14080) nei componenti proprietari di Qualcomm e due vulnerabilità nel sistema che permettono l'esecuzione di codice durante l'elaborazione di dati esterni appositamente formattati (CVE-2020-0117 — overflow intero nel stack Bluetooth, nel stack Bluetooth, CVE-2020-8597 — overflow EAP in pppd).

Fonte: opennet.ru