Vainīgumi Redis, Ghostscript, Asterisk un Parse Server

Daži nesen atklāti bīstami vainīgumi:

• CVE-2022-24834 — vainīgums Redis datu bāzē, kas ļauj izraisīt bufera pārsniegšanu cjson un cmsgpack bibliotēkās, izpildot īpaši sagatavotu Lua skriptu. Iespējams, ka šis vainīgums var novest pie attālinātas koda izpildes uz serveri. Problēma izpaužas sākot no Redis 2.6 un ir novērsta izlaidumos 7.0.12, 6.2.13 un 6.0.20. Kā ierobežojošs pasākums varat caur ACL aizliegt Redis lietotājiem izpildīt komandas EVAL un EVALSHA.
• CVE-2023-36824 — vainīgums Redis datu bāzē, kas izraisa bufera pārsniegšanu, apstrādājot atslēgu nosaukumus, kas nodoti ar komandu COMMAND GETKEYS vai COMMAND GETKEYSANDFLAGS, kā arī atslēgu sarakstus ACL noteikumos. Iespējams, ka šis vainīgums var novest pie attālinātas koda izpildes serverī. Problēma izpaužas tikai 7.0.x versijā un ir novērsta izlaidumā 7.0.12.
• CVE-2022-23537 — vainīgums komunikāciju platformā Asterisk, kas izraisa bufera pārsniegšanu, analizējot serveri īpaši sagatavotus STUN ziņojumus, kuros norādīts nepazīstams atribūts. Problēma izpaužas, lietojot Asterisk protokolus ICE vai WebRTC. Vainīgums ir novērsts izlaidumos 16.30.1, 18.18.1, 19.8.1 un 20.3.1.
• CVE-2023-36664 — vainīgums Ghostscript, rīku komplektā dokumentu apstrādei, konvertēšanai un ģenerēšanai PostScript un PDF formātos, kas ļauj izpildīt patvaļīgu kodu, atverot īpaši sagatavotus PostScript dokumentus. Problēma radās, nepareizi apstrādājot failu nosaukumus, kas sākas ar simbolu „|” vai prefiksu %pipe%. Vainīgums ir novērsts izlaidumā Ghostscript 10.01.2.

  Daudzās vidēs Ghostscript tiek izsaukts miniatūru veidošanas procesā darbvirsmā vai fona datu indeksošanas laikā, tāpēc uzbrukumam dažreiz ir pietiekami vienkārši augšupielādēt failu ar eksploitāciju vai apskatīt katalogu ar to Nautilus. Uzbrukumu serveru sistēmām var organizēt, izmantojot attēlu apstrādātājus, kas balstīti uz ImageMagick un GraphicsMagick paketēm, kas izsauc Ghostscript, pārnēsājot JPEG vai PNG failus, kuros vietā attēla atrodas PostScript kods (šāds fails tiks apstrādāts Ghostscript, jo MIME tips tiek atpazīts pēc satura, nevis balstoties uz paplašinājumu).

• CVE-2023-36475 — ievainojamība Parse Server, kas ir backend risinājums Node.js, kas strādā ar web framework Express, ļaujot attālināti izpildīt savu kodu serverī. Ievainojamība ļauj izmantot JavaScript objektu prototipa piesārņošanas metodi («prototype pollution») savu koda izpildei caur MongoDB BSON parseri. Ievainojumam piešķirta bīstamības pakāpe 9.8 no 10. Problēma novērsta ar update parse-server 5.5.2 un 6.2.1.

Avots: opennet.lv