QEMU, Node.js, Grafana, Android എന്നിവയിലെ അപകടകരമായ കേടുപാടുകൾ

അടുത്തിടെ തിരിച്ചറിഞ്ഞ നിരവധി കേടുപാടുകൾ:

• കേടുപാടുകൾ (CVE-2020-13765) QEMU-ൽ, ഒരു ഇഷ്‌ടാനുസൃത കേർണൽ ഇമേജ് ഗസ്റ്റിലേക്ക് ലോഡുചെയ്യുമ്പോൾ, ഹോസ്റ്റ് വശത്തുള്ള QEMU പ്രോസസ്സ് പ്രത്യേകാവകാശങ്ങൾ ഉപയോഗിച്ച് കോഡ് എക്‌സിക്യൂട്ട് ചെയ്യാൻ ഇത് കാരണമാകും. സിസ്റ്റം ബൂട്ട് ചെയ്യുമ്പോൾ റോം കോപ്പി കോഡിലെ ബഫർ ഓവർഫ്ലോ മൂലമാണ് പ്രശ്നം ഉണ്ടാകുന്നത്, കൂടാതെ 32-ബിറ്റ് കേർണൽ ഇമേജിന്റെ ഉള്ളടക്കം മെമ്മറിയിലേക്ക് ലോഡ് ചെയ്യുമ്പോൾ സംഭവിക്കുന്നു. പരിഹരിക്കൽ നിലവിൽ ഫോമിൽ മാത്രമേ ലഭ്യമാകൂ പാച്ച്.
• നാല് അപകടങ്ങൾ Node.js-ൽ. കേടുപാടുകൾ ഇല്ലാതാക്കി 14.4.0, 10.21.0, 12.18.0 എന്നീ പതിപ്പുകളിൽ.
  • CVE-2020-8172 - ഒരു TLS സെഷൻ വീണ്ടും ഉപയോഗിക്കുമ്പോൾ ഹോസ്റ്റ് സർട്ടിഫിക്കറ്റ് പരിശോധനയെ മറികടക്കാൻ അനുവദിക്കുന്നു.
  • CVE-2020-8174 - ചില കോളുകൾക്കിടയിൽ സംഭവിക്കുന്ന napi_get_value_string_*() ഫംഗ്‌ഷനുകളിലെ ബഫർ ഓവർഫ്ലോ കാരണം സിസ്റ്റത്തിൽ കോഡ് എക്‌സിക്യൂഷൻ അനുവദിക്കാൻ സാധ്യതയുണ്ട്. N-API (നേറ്റീവ് ആഡ്-ഓണുകൾ എഴുതുന്നതിനുള്ള C API).
  • CVE-2020-10531 എന്നത് C/C++ നായുള്ള ICU-ൽ (യൂണികോഡിനുള്ള ഇന്റർനാഷണൽ ഘടകങ്ങൾ) ഒരു പൂർണ്ണസംഖ്യ ഓവർഫ്ലോ ആണ്, അത് UnicodeString::doAppend() ഫംഗ്‌ഷൻ ഉപയോഗിക്കുമ്പോൾ ഒരു ബഫർ ഓവർഫ്ലോയിലേക്ക് നയിച്ചേക്കാം.
  • CVE-2020-11080 - HTTP/100 വഴി ബന്ധിപ്പിക്കുമ്പോൾ വലിയ "ക്രമീകരണങ്ങൾ" ഫ്രെയിമുകളുടെ സംപ്രേക്ഷണം വഴി സേവനം (2% CPU ലോഡ്) നിരസിക്കാൻ അനുവദിക്കുന്നു.
• കേടുപാടുകൾ ഗ്രാഫാന ഇന്ററാക്ടീവ് മെട്രിക്സ് വിഷ്വലൈസേഷൻ പ്ലാറ്റ്‌ഫോമിൽ, വിവിധ ഡാറ്റാ ഉറവിടങ്ങളെ അടിസ്ഥാനമാക്കി വിഷ്വൽ മോണിറ്ററിംഗ് ഗ്രാഫുകൾ നിർമ്മിക്കാൻ ഉപയോഗിക്കുന്നു. അവതാറുകൾക്കൊപ്പം പ്രവർത്തിക്കുന്നതിനുള്ള കോഡിലെ ഒരു പിശക്, ആധികാരികത നൽകാതെ തന്നെ ഗ്രാഫാനയിൽ നിന്ന് ഏതെങ്കിലും URL-ലേക്ക് ഒരു HTTP അഭ്യർത്ഥന അയയ്‌ക്കാൻ നിങ്ങളെ അനുവദിക്കുകയും ഈ അഭ്യർത്ഥനയുടെ ഫലം കാണുകയും ചെയ്യുന്നു. ഉദാഹരണത്തിന്, ഗ്രാഫാന ഉപയോഗിക്കുന്ന കമ്പനികളുടെ ആന്തരിക ശൃംഖല പഠിക്കാൻ ഈ സവിശേഷത ഉപയോഗിക്കാം. പ്രശ്നം ഇല്ലാതാക്കി വിഷയങ്ങളിൽ
  ഗ്രാഫാന 6.7.4, 7.0.2. ഒരു സുരക്ഷാ പരിഹാരമെന്ന നിലയിൽ, ഗ്രാഫാന പ്രവർത്തിക്കുന്ന സെർവറിലെ "/അവതാർ/*" എന്ന URL-ലേക്കുള്ള ആക്‌സസ് പരിമിതപ്പെടുത്താൻ ശുപാർശ ചെയ്യുന്നു.

• പ്രസിദ്ധീകരിച്ചു 34 കേടുപാടുകൾ പരിഹരിക്കുന്ന ആൻഡ്രോയിഡിനുള്ള ജൂണിലെ സുരക്ഷാ പരിഹാരങ്ങൾ. നാല് പ്രശ്‌നങ്ങൾക്ക് ഒരു നിർണായക തീവ്രത നൽകിയിട്ടുണ്ട്: കുത്തക ക്വാൽകോം ഘടകങ്ങളിൽ രണ്ട് കേടുപാടുകൾ (CVE-2019-14073, CVE-2019-14080) കൂടാതെ പ്രത്യേകം രൂപകൽപ്പന ചെയ്‌ത ബാഹ്യ ഡാറ്റ പ്രോസസ്സ് ചെയ്യുമ്പോൾ കോഡ് എക്‌സിക്യൂഷൻ അനുവദിക്കുന്ന സിസ്റ്റത്തിലെ രണ്ട് കേടുപാടുകൾ (CVE-2020 -0117 - പൂർണ്ണസംഖ്യ കവിഞ്ഞൊഴുകുന്നു ബ്ലൂടൂത്ത് സ്റ്റാക്കിൽ, CVE-2020-8597 - Pppd-ൽ EAP ഓവർഫ്ലോ).

അവലംബം: opennet.ru