ხარვეზები Redis, Ghostscript, Asterisk და Parse Server-ში

ცოტა ხნის წინ გამოვლენილი რამდენიმე საშიში დაუცველობა:

• CVE-2022-24834 არის Redis მონაცემთა ბაზის მართვის სისტემის დაუცველობა, რომელიც სპეციალურად შექმნილი Lua სკრიპტის შესრულებისას cjson და cmsgpack ბიბლიოთეკებში ბუფერული გადავსების საშუალებას იძლევა. ამ დაუცველობამ შესაძლოა გამოიწვიოს კოდის დისტანციური შესრულება. სერვერიპრობლემა Redis 2.6 ვერსიიდან არსებობს და გამოსწორდა 7.0.12, 6.2.13 და 6.0.20 ვერსიებში. პრობლემის გადაჭრის მიზნით, შეგიძლიათ გამოიყენოთ ACL, რათა Redis-ის მომხმარებლებმა არ შეასრულონ EVAL და EVALSHA ბრძანებები.
• CVE-2023-36824 დაუცველობა Redis DBMS-ში, რომელიც იწვევს ბუფერის გადინებას Command GETKEYS ან COMMAND GETKEYSANDFLAGS ბრძანების მეშვეობით გადაცემული საკვანძო სახელების დამუშავებისას, ასევე ACL წესებში კლავიშების სიებში. დაუცველობამ შეიძლება გამოიწვიოს სერვერზე დისტანციური კოდის შესრულება. პრობლემა ჩნდება მხოლოდ 7.0.x ფილიალში და ფიქსირდება 7.0.12 გამოშვებაში.
• CVE-2022-23537 არის Asterisk-ის საკომუნიკაციო პლატფორმაში არსებული დაუცველობა, რომელიც იწვევს ბუფერული გადავსებას დამუშავების დროს. სერვერი სპეციალურად შექმნილი STUN შეტყობინებები, რომლებიც მიუთითებენ უცნობ ატრიბუტს. პრობლემა წარმოიქმნება Asterisk-ში ICE ან WebRTC პროტოკოლების გამოყენებისას. დაუცველობა გამოსწორებულია 16.30.1, 18.18.1, 19.8.1 და 20.3.1 ვერსიებში.
• CVE-2023-36664 არის დაუცველობა Ghostscript-ში, ინსტრუმენტების კომპლექტი PostScript და PDF დოკუმენტების დამუშავებისთვის, კონვერტაციისთვის და გენერირებისთვის, რომელიც საშუალებას აძლევს თვითნებური კოდის შესრულებას სპეციალურად ფორმატირებული PostScript დოკუმენტების გახსნისას. პრობლემა გამოწვეულია ფაილების სახელების არასწორი დამუშავებით, რომლებიც იწყება სიმბოლოთი "|" ან პრეფიქსი %pipe%. დაუცველობა დაფიქსირდა Ghostscript 10.01.2 გამოშვებაში.

  ბევრ გარემოში Ghostscript გამოიძახება დესკტოპის მინიატურების ან ფონური მონაცემების ინდექსირების დროს, ასე რომ, თავდასხმა შეიძლება ზოგჯერ ისეთივე მარტივი იყოს, როგორც ექსპლოიტის ფაილის ჩამოტვირთვა ან მისი დირექტორია Nautilus-ში დათვალიერება. სერვერულ სისტემებზე თავდასხმის ორგანიზება შესაძლებელია ImageMagick და GraphicsMagick პაკეტებზე დაფუძნებული გამოსახულების დამმუშავებლების საშუალებით, რომლებიც გამოიძახებენ Ghostscript-ს JPEG ან PNG ფაილების გადაცემისას, რომლებიც შეიცავს PostScript კოდს გამოსახულების ნაცვლად (ასეთი ფაილი დამუშავდება Ghostscript-ის მიერ, რადგან MIME ტიპის ამოცნობილია შინაარსით და არ ეყრდნობა გაფართოებას).

• CVE-2023-36475 არის დაუცველობა Parse Server-ში, Node.js backend-ი, რომელიც მუშაობს Express ვებ ჩარჩოსთან, რომელიც საშუალებას გაძლევთ დისტანციურად შეასრულოთ თქვენი კოდი სერვერზე. დაუცველობა საშუალებას გაძლევთ გამოიყენოთ JavaScript ობიექტების პროტოტიპის დაბინძურების მეთოდი („პროტოტიპის დაბინძურება“) თქვენი კოდის შესასრულებლად MongoDB BSON პარსერის საშუალებით. დაუცველობა შეფასებულია სიმძიმით 9.8-დან 10-დან. პრობლემა დაფიქსირდა სერვერის 5.5.2 და 6.2.1 განახლებებში.

წყარო: opennet.ru