ProHoster > Blogs > Interneta ziņas > Bīstamas ievainojamības QEMU, Node.js, Grafana un Android

Bīstamas ievainojamības QEMU, Node.js, Grafana un Android

Nedaudz nesen atklāto ievainojamību:

  • IevainojamÄ«ba (CVE-2020-13765) QEMU, kas potenciāli var novest pie koda izpildes ar QEMU procesa tiesÄ«bām viesu sistēmā, ielādējot Ä«paÅ”i sagatavotu kodola attēlu. Problēma ir saistÄ«ta ar bufera pārpildÄ«jumu kodā, kas atbild par saturu kopÄ“Å”anu no ROM ielādes laikā, un izpaužas, ielādējot 32 bitu kodola attēla saturu atmiņā. Labojums Å”obrÄ«d pieejams tikai kā patčs.
  • Četras ievainojamÄ«bas Node.js. IevainojamÄ«bas novērstas izlaidumos 14.4.0, 10.21.0 un 12.18.0.
    • CVE-2020-8172 ā€” ļauj apiet saimnieka sertifikāta pārbaudi atkārtoti izmantojot TLS sesiju.
    • CVE-2020-8174 ā€” potenciāli ļauj panākt koda izpildi sistēmā, jo rodas bufera pārpildÄ«jums funkcijās napi_get_value_string_*(), kas notiek noteiktu pieprasÄ«jumu gadÄ«jumā N-API (C valodas API natÄ«vu paplaÅ”inājumu rakstÄ«Å”anai).
    • CVE-2020-10531 ā€” vesela skaitļa pārpildÄ«jums ICU (Starptautiskie Unicode komponenti) C/C++ valodās, kas var novest pie bufera pārpildÄ«juma, izmantojot UnicodeString::doAppend() funkciju.
    • CVE-2020-11080 ā€” ļauj izraisÄ«t pakalpojuma atteikumu (100% CPU slodze), pārsÅ«tot lielus "SETTINGS" ietvarus, pieslēdzoties pa HTTP/2.
  • IevainojamÄ«ba interaktÄ«vās metriku vizualizācijas platformā Grafana, kas tiek izmantota grafiku veidoÅ”anai reālā laika uzraudzÄ«bai, balstoties uz dažādiem datu avotiem. Kļūda kodā, kas ir atbildÄ«gs par avataru apstrādi, ļauj bez autorizācijas iniciēt HTTP pieprasÄ«juma nosÅ«tÄ«Å”anu no Grafana uz jebkuru URL un apskatÄ«t Ŕī pieprasÄ«juma rezultātu. NorādÄ«tā Ä«paŔība var tikt izmantota, piemēram, uzņēmumu iekŔējās tÄ«kla izpētei, kas izmanto Grafana. Problēma ir novērsta izlaidumos
    Grafana 6.7.4 un 7.0.2. Kā aizsardzības apvedceļŔ ieteicams ierobežot piekļuvi URL "\/avatar\/*" Grafana serverī.
  • Publicēts jÅ«nija droŔības ielāpu komplekts Android, kurā labotas 34 ievainojamÄ«bas. Četrām problēmām pieŔķirts kritisks bÄ«stamÄ«bas lÄ«menis: divas ievainojamÄ«bas (CVE-2019-14073, CVE-2019-14080) Qualcomm Ä«paÅ”ajos komponentos un divas ievainojamÄ«bas, kas ļauj izpildÄ«t kodu, apstrādājot Ä«paÅ”i sagatavotus ārējus datus (CVE-2020-0117 ā€” vesela skaitļa pārpildÄ«jums Bluetooth stākā, CVE-2020-8597 ā€” EAP pārpildÄ«jums pppd).

Avots: opennet.lv

Iegādājieties uzticamu tÄ«mekļa hostingu ar DDoS aizsardzÄ«bu, VPS VDS serveriem šŸ”„ Iegādājieties uzticamu tÄ«mekļa hostingu ar DDoS aizsardzÄ«bu, VPS VDS serveriem | ProHoster