Recent critical vulnerabilities identified:
- CVE-2022-24834 — a vulnerability in the Redis DB that allows for buffer overflow in the cjson and cmsgpack libraries when executing a specially crafted Lua script. This vulnerability could potentially lead to remote code execution on server. The issue exists from Redis 2.6 and has been fixed in releases 7.0.12, 6.2.13, and 6.0.20. As a workaround, access control lists (ACL) can be used to prevent Redis users from executing EVAL and EVALSHA commands.
- CVE-2023-36824 — a vulnerability in the Redis DB that leads to buffer overflow when processing key names passed through the COMMAND GETKEYS or COMMAND GETKEYSANDFLAGS commands, as well as lists of keys in ACL rules. This vulnerability could potentially lead to remote code execution on the server. The issue only manifests in the 7.0.x branch and has been fixed in release 7.0.12.
- CVE-2022-23537 — a vulnerability in the Asterisk communications platform that leads to buffer overflow when parsing server messaggi STUN appositamente formattati che contengono un attributo sconosciuto. Il problema si verifica quando si utilizzano i protocolli ICE o WebRTC in Asterisk. La vulnerabilità è stata risolta nelle versioni 16.30.1, 18.18.1, 19.8.1 e 20.3.1.
- CVE-2023-36664 — vulnerabilità in Ghostscript, un insieme di strumenti per l'elaborazione, conversione e generazione di documenti nei formati PostScript e PDF, che consente l'esecuzione di codice arbitrario all'apertura di documenti PostScript appositamente formattati. Il problema è causato da un'errata gestione dei nomi dei file che iniziano con il carattere «|» o con il prefisso %pipe%. La vulnerabilità è stata risolta nella versione Ghostscript 10.01.2.
In molti ambienti, Ghostscript viene chiamato durante la creazione di miniature sul desktop o durante l'indicizzazione in background dei dati, quindi per l'attacco talvolta basta caricare un file con un exploit o visualizzare una directory in Nautilus. Un attacco ai sistemi server può essere organizzato tramite i gestori di immagini basati sui pacchetti ImageMagick e GraphicsMagick, che richiamano Ghostscript durante la trasmissione di file JPEG o PNG, nei quali invece dell'immagine è presente codice PostScript (tali file saranno elaborati in Ghostscript, poiché il tipo MIME viene riconosciuto in base al contenuto e non facendo affidamento sull'estensione).
- CVE-2023-36475 è una vulnerabilità in Parse Server, il backend per Node.js, che lavora con il framework web Express, che permette di eseguire il proprio codice sul server in remoto. La vulnerabilità consente di applicare il metodo di inquinamento del prototipo degli oggetti JavaScript ('prototype pollution') per eseguire il proprio codice tramite il parser BSON di MongoDB. La vulnerabilità ha ricevuto un punteggio di gravità di 9.8 su 10. Il problema è stato risolto negli aggiornamenti parse-server 5.5.2 e 6.2.1.
Fonte: opennet.ru
