ຊ່ອງໂຫວ່ອັນຕະລາຍໃນ QEMU, Node.js, Grafana ແລະ Android

ຊ່ອງ​ໂຫວ່​ຫຼາຍ​ອັນ​ທີ່​ໄດ້​ກຳນົດ​ເມື່ອ​ບໍ່​ດົນ​ມາ​ນີ້:

• ຄວາມອ່ອນແອ (CVE-2020-13765). ບັນຫາແມ່ນເກີດມາຈາກການ overflow buffer ໃນລະຫັດສໍາເນົາ ROM ໃນລະຫວ່າງການ boot ລະບົບແລະເກີດຂຶ້ນໃນເວລາທີ່ເນື້ອໃນຂອງຮູບພາບ 32-bit kernel ຖືກໂຫລດເຂົ້າໄປໃນຫນ່ວຍຄວາມຈໍາ. ການແກ້ໄຂແມ່ນມີພຽງແຕ່ຢູ່ໃນແບບຟອມເທົ່ານັ້ນ ເພີ້ມ.
• ສີ່ຈຸດອ່ອນ ໃນ Node.js. ຊ່ອງໂຫວ່ ລົບລ້າງ ໃນການປ່ອຍ 14.4.0, 10.21.0 ແລະ 12.18.0.
  • CVE-2020-8172 - ອະນຸຍາດໃຫ້ການກວດສອບໃບຢັ້ງຢືນເປັນເຈົ້າພາບຂ້າມຜ່ານເມື່ອໃຊ້ເຊດຊັນ TLS ຄືນໃໝ່.
  • CVE-2020-8174 - ອາດຈະອະນຸຍາດໃຫ້ປະຕິບັດລະຫັດໃນລະບົບເນື່ອງຈາກການລົ້ນຂອງ buffer ໃນຟັງຊັນ napi_get_value_string_*() ທີ່ເກີດຂື້ນໃນລະຫວ່າງການໂທບາງຢ່າງໄປຫາ N-API (C API ສໍາລັບການຂຽນ add-ons ພື້ນເມືອງ).
  • CVE-2020-10531 ແມ່ນການລົ້ນຈຳນວນເຕັມໃນ ICU (ອົງປະກອບສາກົນສຳລັບ Unicode) ສໍາລັບ C/C++ ທີ່ສາມາດນໍາໄປສູ່ການລົ້ນບັບເຟີເມື່ອໃຊ້ຟັງຊັນ UnicodeString::doAppend().
  • CVE-2020-11080 - ອະນຸຍາດໃຫ້ປະຕິເສດການບໍລິການ (100% ການໂຫຼດ CPU) ໂດຍຜ່ານການສົ່ງຂອງເຟຣມ "SETTINGS" ຂະຫນາດໃຫຍ່ໃນເວລາທີ່ເຊື່ອມຕໍ່ຜ່ານ HTTP/2.
• ຄວາມອ່ອນແອ ໃນແພລະຕະຟອມການເບິ່ງເຫັນ metrics ແບບໂຕ້ຕອບຂອງ Grafana, ໃຊ້ເພື່ອສ້າງກາຟການຕິດຕາມສາຍຕາໂດຍອີງໃສ່ແຫຼ່ງຂໍ້ມູນຕ່າງໆ. ຂໍ້ຜິດພາດໃນລະຫັດສໍາລັບການເຮັດວຽກກັບ avatars ຊ່ວຍໃຫ້ທ່ານສາມາດເລີ່ມຕົ້ນການສົ່ງຄໍາຮ້ອງຂໍ HTTP ຈາກ Grafana ໄປຫາ URL ໃດໆໂດຍບໍ່ຕ້ອງຜ່ານການກວດສອບແລະເບິ່ງຜົນຂອງຄໍາຮ້ອງຂໍນີ້. ຄຸນນະສົມບັດນີ້ສາມາດຖືກນໍາໃຊ້, ສໍາລັບການຍົກຕົວຢ່າງ, ເພື່ອສຶກສາເຄືອຂ່າຍພາຍໃນຂອງບໍລິສັດທີ່ໃຊ້ Grafana. ບັນຫາ ລົບລ້າງ ໃນ​ບັນ​ຫາ​
  Grafana 6.7.4 ແລະ 7.0.2. ໃນຖານະເປັນການແກ້ໄຂຄວາມປອດໄພ, ມັນແນະນໍາໃຫ້ຈໍາກັດການເຂົ້າເຖິງ URL “/avatar/*” ຢູ່ໃນເຄື່ອງແມ່ຂ່າຍທີ່ແລ່ນ Grafana.

• ຈັດພີມມາ ເດືອນມິຖຸນາຊຸດການແກ້ໄຂຄວາມປອດໄພສໍາລັບ Android, ເຊິ່ງແກ້ໄຂ 34 ຊ່ອງໂຫວ່. ສີ່ບັນຫາໄດ້ຖືກມອບຫມາຍໃຫ້ລະດັບຄວາມຮຸນແຮງທີ່ສໍາຄັນ: ສອງຊ່ອງໂຫວ່ (CVE-2019-14073, CVE-2019-14080) ໃນອົງປະກອບ Qualcomm ທີ່ເປັນເຈົ້າຂອງ) ແລະສອງຊ່ອງໂຫວ່ໃນລະບົບທີ່ອະນຸຍາດໃຫ້ປະຕິບັດລະຫັດໃນເວລາທີ່ການປະມວນຜົນຂໍ້ມູນພາຍນອກອອກແບບພິເສດ (CVE-2020. -0117 - ຈຳນວນເຕັມ ລົ້ນ ໃນ stack Bluetooth, CVE-2020-8597 - ລົ້ນ EAP ໃນ pppd).

ແຫຼ່ງຂໍ້ມູນ: opennet.ru