פגיעויות ב-VS Code, Grafana, GNU Emacs ו- Apache Fineract

מספר נקודות תורפה שזוהו לאחרונה:

• פגיעות קריטית (CVE-2022-41034) זוהתה בעורך Visual Studio Code (VS Code), המאפשר ביצוע קוד כאשר משתמש פותח קישור שהוכן על ידי תוקף. ניתן להפעיל את הקוד הן במחשב המריץ את קוד VS והן בכל מחשב אחר המחובר לקוד VS באמצעות הפונקציה "פיתוח מרחוק". הבעיה מהווה את האיום הגדול ביותר למשתמשים בגרסת הרשת של VS Code ועורכי רשת המבוססים עליה, כולל GitHub Codespaces ו-github.dev.

  הפגיעות נגרמת מהיכולת לעבד קישורי שירות "פקודה:" לפתוח חלון עם מסוף ולבצע בו פקודות מעטפת שרירותיות, בעת עיבוד בעורך מסמכים שעוצבו במיוחד בפורמט Jypiter Notebook שהורדו משרת אינטרנט הנשלט על ידי התוקף (קבצים חיצוניים עם הסיומת ".ipynb" ללא אישורים נוספים נפתחים במצב "isTrusted", המאפשר עיבוד של "command:").

• זוהתה פגיעות (CVE-2022-45939) בעורך הטקסט של GNU Emacs, המאפשרת לבצע פקודות בעת פתיחת קובץ עם קוד, באמצעות החלפת תווים מיוחדים בשם המעובדים באמצעות ערכת הכלים ctags.
• זוהתה פגיעות (CVE-2022-31097) בפלטפורמת ההדמיה הפתוחה של הנתונים Grafana, המאפשרת ביצוע של קוד JavaScript בעת הצגת הודעה דרך מערכת ההתראה Grafana. תוקף עם זכויות עורך יכול להכין קישור שעוצב במיוחד ולקבל גישה לממשק Grafana עם זכויות מנהל אם המנהל לוחץ על קישור זה. הפגיעות טופלה במהדורות גראפאנה 9.2.7, 9.3.0, 9.0.3, 8.5.9, 8.4.10 ו-8.3.10.
• פגיעות (CVE-2022-46146) בספריית ערכת הכלים של היצואן המשמשת ליצירת מודולי ייצוא מדדים עבור Prometheus. הבעיה מאפשרת לך לעקוף את האימות הבסיסי.
• נקודת תורפה (CVE-2022-44635) בפלטפורמה ליצירת שירותים פיננסיים Apache Fineract, המאפשרת למשתמש לא מאומת להשיג ביצוע קוד מרחוק. הבעיה נגרמת מהיעדר בריחה נכונה של תווי ".." בנתיבים המעובדים על ידי הרכיב לטעינת קבצים. הפגיעות תוקנה במהדורות Apache Fineract 1.7.1 ו-1.8.1.
• נקודת תורפה (CVE-2022-46366) במסגרת Apache Tapestry Java המאפשרת ביצוע קוד כאשר נתונים בפורמט מיוחד עוברים דה-serial. הבעיה מופיעה רק בענף הישן של Apache Tapestry 3.x, שאינו נתמך עוד.
• פגיעויות בספקי Apache Airflow ל-Hive (CVE-2022-41131), Pinot (CVE-2022-38649), Pig (CVE-2022-40189) ול-Spark (CVE-2022-40954), המובילות לביצוע קוד מרחוק באמצעות טעינה קבצים שרירותיים או החלפת פקודות בהקשר של ביצוע עבודה ללא גישת כתיבה לקבצי DAG.

מקור: OpenNet.ru