Perl, ownCloud, GStreamer, Zephyr RTOS എന്നിവയിലെ കേടുപാടുകൾ

അടുത്തിടെ കണ്ടെത്തിയ നിരവധി കേടുപാടുകൾ:

• Perl 5.38.1 ന്റെ മെയിന്റനൻസ് റിലീസ് ഒരു കേടുപാടുകൾ (CVE-2023-47038) അഭിസംബോധന ചെയ്യുന്നു, ഇത് ഒരു ആന്തരിക യൂണികോഡ് പ്രോപ്പർട്ടി ഉപയോഗിച്ച് തെറ്റായി പുനർ നിർവചിക്കപ്പെട്ട ഒരു പേര് ആരംഭിക്കുമ്പോൾ, കംപൈൽ ചെയ്ത റെഗുലർ എക്‌സ്‌പ്രെഷനുകൾ പ്രോസസ്സ് ചെയ്യുമ്പോൾ, അനുവദിച്ച ബഫറിൽ ഒരു ബൈറ്റ് പരിധിക്ക് പുറത്ത് എഴുതുന്നതിന് കാരണമാകും. "utf8::" perl" ഉപയോഗിച്ച്. Perl 5.30 ബ്രാഞ്ച് മുതൽ പ്രശ്നം ദൃശ്യമാകുന്നു.

  കൂടാതെ, പേൾ 5.38.1 ഒരു പ്ലാറ്റ്‌ഫോം-നിർദ്ദിഷ്ട Windows സ്ക്രിപ്റ്റുകൾ പ്രവർത്തിപ്പിക്കുമ്പോൾ ഒരു ദുർബലത (CVE-2023-47039) അനുവദിക്കുന്നത്, ഒരു cmd.exe ഫയൽ നിലവിലെ ഡയറക്ടറിയിൽ സ്ഥാപിക്കാൻ കഴിയുമെങ്കിൽ (എക്സിക്യൂട്ടബിൾ ഫയലുകൾക്കായി തിരയുമ്പോൾ പാത്ത് ക്ലീനപ്പ് ഇല്ലാത്തതിനാൽ, പേൾ ആദ്യം നിലവിലെ ഡയറക്ടറിയിൽ cmd.exe പ്രവർത്തിപ്പിക്കാൻ ശ്രമിക്കുന്നു). ഉദാഹരണത്തിന്, ഒരു ആക്രമണകാരിക്ക് C:\ProgramData ഡയറക്ടറിയിൽ ഒരു കസ്റ്റം cmd.exe സ്ഥാപിക്കാനും ഒരു അഡ്മിനിസ്ട്രേറ്റർ ആ ഡയറക്ടറിയിൽ നിന്ന് ഒരു പേൾ സ്ക്രിപ്റ്റ് പ്രവർത്തിപ്പിക്കുകയാണെങ്കിൽ അവരുടെ പ്രത്യേകാവകാശങ്ങൾ വർദ്ധിപ്പിക്കാനും കഴിയും.

• സ്വന്തം ക്ലൗഡ് ക്ലൗഡ് പ്ലാറ്റ്‌ഫോമിൽ ഒരു ദുർബലത (CVE-2023-49103) കണ്ടെത്തി, അതിൽ നിന്നാണ് 2016-ൽ നെക്സ്റ്റ്ക്ലൗഡ് പ്രോജക്റ്റ് ഫോർക്ക് ചെയ്തത്, ഇത് ഗ്രാഫാപി ആപ്ലിക്കേഷനെ ബാധിക്കുകയും പരിസ്ഥിതി വേരിയബിളുകളുടെ ഉള്ളടക്കങ്ങൾ നിർണ്ണയിക്കാൻ അനുവദിക്കുകയും ചെയ്തു, അതിൽ അഡ്മിനിസ്ട്രേറ്റർ പാസ്‌വേഡ്, ലൈസൻസ് കീ, മെയിലുമായി ബന്ധിപ്പിക്കുന്നതിനുള്ള ക്രെഡൻഷ്യലുകൾ എന്നിവ അടങ്ങിയിരിക്കാം. സെർവർഗ്രാഫാപിയിലെ ഒരു മൂന്നാം കക്ഷി ലൈബ്രറിയുടെ ഉപയോഗമാണ് ഈ പ്രശ്നത്തിന് കാരണം. മറ്റ് കാര്യങ്ങൾക്കൊപ്പം, പരിസ്ഥിതി വേരിയബിളുകൾ ഉൾപ്പെടുന്ന ഔട്ട്‌പുട്ടിൽ phpinfo() ഫംഗ്‌ഷനെ വിളിക്കുന്ന GetPhpInfo.php ഹാൻഡ്‌ലർ നൽകുന്ന ഒരു മൂന്നാം കക്ഷി ലൈബ്രറിയാണിത്.
• GStreamer മൾട്ടിമീഡിയ ചട്ടക്കൂടിൽ രണ്ട് കേടുപാടുകൾ തിരിച്ചറിഞ്ഞിട്ടുണ്ട്: CVE-2023-44446 - MXF ഫയൽ പാഴ്‌സിംഗ് കോഡിൽ സ്വതന്ത്രമാക്കിയതിന് ശേഷമുള്ള മെമ്മറി ആക്‌സസ് (ഉപയോഗത്തിന് ശേഷം-ഫ്രീ); CVE-2023-44429 - AV1 ഫോർമാറ്റ് പാഴ്‌സിംഗ് കോഡിലെ ബഫർ ഓവർഫ്ലോ. ഒബ്‌ജക്‌റ്റിൽ പ്രവർത്തനങ്ങൾ നടത്തുന്നതിന് മുമ്പ് അത് പരിശോധിക്കാത്തതാണ് ആദ്യത്തെ പ്രശ്‌നം, രണ്ടാമത്തേത് ഒരു നിശ്ചിത ബഫറിലേക്ക് പകർത്തുന്നതിന് മുമ്പ് ഡാറ്റയുടെ വലുപ്പം പരിശോധിക്കാത്തതാണ്. പ്രത്യേകം രൂപകൽപ്പന ചെയ്‌ത MXF ഫയലുകളും AV1 മീഡിയയും പ്രോസസ്സ് ചെയ്യാൻ ശ്രമിക്കുമ്പോൾ ആക്രമണകാരി കോഡ് എക്‌സിക്യൂട്ട് ചെയ്യാൻ കേടുപാടുകൾ അനുവദിച്ചേക്കാം. ആക്രമണ വെക്‌ടറുകൾ ആക്രമിക്കപ്പെട്ട ആപ്ലിക്കേഷൻ നടപ്പിലാക്കുന്നതിനെ ആശ്രയിച്ചിരിക്കുന്നു എന്നത് ശ്രദ്ധിക്കേണ്ടതാണ്. പ്രശ്‌നങ്ങൾക്ക് 8.8-ൽ 10 എന്ന തീവ്രത ലെവലാണ് നൽകിയിരിക്കുന്നത്. GStreamer 1.22.7 റിലീസിൽ കേടുപാടുകൾ പരിഹരിച്ചിരിക്കുന്നു.
• Zephyr RTOS റിയൽ-ടൈം ഓപ്പറേറ്റിംഗ് സിസ്റ്റത്തിൽ 25 കേടുപാടുകൾ തിരിച്ചറിഞ്ഞിട്ടുണ്ട്, അവയിൽ മിക്കതും ആക്രമണകാരിയുടെ കോഡ് നിർവ്വഹണത്തിലേക്ക് നയിച്ചേക്കാം. വൈഫൈ ഷെൽ, ബ്ലൂടൂത്ത് സ്റ്റാക്ക്, IPM ഡ്രൈവർ, USB സ്റ്റാക്ക്, IEEE 802.15.4 ഡ്രൈവർ, Mgmt സബ്സിസ്റ്റം, ഫയൽ സിസ്റ്റം, eS-WiFi ഡ്രൈവർ, CANbus സബ്സിസ്റ്റം എന്നിവയിലെ ബഫർ ഓവർഫ്ലോകൾ മൂലമാണ് കേടുപാടുകൾ സംഭവിക്കുന്നത്. മിക്ക കേടുപാടുകളും Zephyr 3.5.0 റിലീസിൽ പരിഹരിച്ചിരിക്കുന്നു, എന്നാൽ ഒരു പ്രശ്നം (CVE-2023-4261) പരിഹരിക്കപ്പെട്ടിട്ടില്ല (പരിഹാരം ലഭ്യമാകുന്നതുവരെ ഈ അപകടസാധ്യതയെക്കുറിച്ചുള്ള വിശദാംശങ്ങൾ പ്രസിദ്ധീകരിക്കില്ല).

അവലംബം: opennet.ru