שלוש נקודות תורפה שתוקנו ב-FreeBSD

FreeBSD מטפל בשלוש נקודות תורפה שעלולות לאפשר ביצוע קוד בעת שימוש ב-libfetch, שידור חוזר של מנות IPsec או גישה לנתוני ליבה. הבעיות מתוקנות בעדכונים 12.1-RELEASE-p2, 12.0-RELEASE-p13 ו-11.3-RELEASE-p6.

• CVE-2020-7450 - גלישת מאגר בספריית libfetch, המשמשת לטעינת קבצים בפקודת ה-fetch, מנהל החבילות pkg וכלי עזר אחרים. הפגיעות עלולה להוביל לביצוע קוד בעת עיבוד כתובת URL בעלת מבנה מיוחד. ההתקפה יכולה להתבצע בעת גישה לאתר הנשלט על ידי התוקף, אשר באמצעות הפניית HTTP, מסוגל ליזום עיבוד של כתובת URL זדונית;
• CVE-2019-15875 - פגיעות במנגנון ליצירת מזבלות תהליכי ליבה. עקב שגיאה, עד 20 בתים של נתונים מחסנית הליבה נרשמו ב-Demps הליבה, שעלולות להכיל מידע סודי שעובד על ידי הליבה. כדרך לעקיפת הגנה, אתה יכול להשבית את יצירת קבצי הליבה באמצעות sysctl kern.coredump=0;
• CVE-2019-5613 - באג בקוד לחסימת שליחה מחדש של נתונים ב-IPsec איפשר לשלוח מחדש מנות שנלכדו בעבר. בהתאם לפרוטוקול ברמה הגבוהה המועבר דרך IPsec, הבעיה שזוהתה מאפשרת למשל לשלוח מחדש פקודות ששודרו בעבר.

מקור: OpenNet.ru