QEMU, Node.js, Grafana आणि Android मधील धोकादायक भेद्यता

अलीकडे ओळखल्या गेलेल्या अनेक असुरक्षा:

• असुरक्षितता (सीव्हीई- 2020-13765) QEMU मध्‍ये, जे अतिथीमध्‍ये सानुकूल कर्नल प्रतिमा लोड केल्‍यावर यजमान बाजूवर QEMU प्रक्रिया विशेषाधिकारांसह कोड कार्यान्वित होण्‍यास कारणीभूत ठरू शकते. सिस्टम बूट दरम्यान ROM कॉपी कोडमधील बफर ओव्हरफ्लोमुळे समस्या उद्भवते आणि जेव्हा 32-बिट कर्नल इमेजची सामग्री मेमरीमध्ये लोड केली जाते तेव्हा उद्भवते. निराकरण सध्या फक्त फॉर्ममध्ये उपलब्ध आहे पॅच.
• चार असुरक्षा Node.js मध्ये. भेद्यता काढून टाकले रिलीझ 14.4.0, 10.21.0 आणि 12.18.0 मध्ये.
  • CVE-2020-8172 - TLS सत्राचा पुनर्वापर करताना होस्ट प्रमाणपत्र पडताळणीला बायपास करण्याची अनुमती देते.
  • CVE-2020-8174 - napi_get_value_string_*() फंक्शन्समधील बफर ओव्हरफ्लोमुळे सिस्टीमवर कोड अंमलात आणण्याची परवानगी देते जे काही विशिष्ट कॉल दरम्यान होते एन-एपीआय (नेटिव्ह अॅड-ऑन लिहिण्यासाठी C API).
  • CVE-2020-10531 हा C/C++ साठी ICU (युनिकोडसाठी आंतरराष्ट्रीय घटक) मध्ये पूर्णांक ओव्हरफ्लो आहे ज्यामुळे UnicodeString::doAppend() फंक्शन वापरताना बफर ओव्हरफ्लो होऊ शकतो.
  • CVE-2020-11080 - HTTP/100 द्वारे कनेक्ट करताना मोठ्या "सेटिंग्ज" फ्रेम्सच्या प्रसारणाद्वारे सेवा नाकारण्याची (2% CPU लोड) परवानगी देते.
• असुरक्षितता Grafana इंटरएक्टिव्ह मेट्रिक्स व्हिज्युअलायझेशन प्लॅटफॉर्ममध्ये, विविध डेटा स्रोतांवर आधारित व्हिज्युअल मॉनिटरिंग आलेख तयार करण्यासाठी वापरला जातो. अवतारांसह कार्य करण्याच्या कोडमधील त्रुटीमुळे तुम्हाला प्रमाणीकरण पास केल्याशिवाय Grafana कडून HTTP विनंती पाठवणे सुरू करता येईल आणि या विनंतीचा परिणाम पहा. हे वैशिष्ट्य वापरले जाऊ शकते, उदाहरणार्थ, Grafana वापरून कंपन्यांच्या अंतर्गत नेटवर्कचा अभ्यास करण्यासाठी. समस्या काढून टाकले समस्यांमध्ये
  ग्राफाना ६.७.४ आणि ७.०.२. सुरक्षा उपाय म्हणून, Grafana चालवणार्‍या सर्व्हरवरील URL “/avatar/*” वर प्रवेश प्रतिबंधित करण्याची शिफारस केली जाते.

• प्रकाशित Android साठी सुरक्षा निराकरणाचा जून संच, जो 34 भेद्यता निश्चित करतो. चार समस्यांना गंभीर तीव्रता स्तर नियुक्त केला आहे: दोन भेद्यता (CVE-2019-14073, CVE-2019-14080) मालकीच्या क्वालकॉम घटकांमध्ये) आणि सिस्टममधील दोन भेद्यता ज्या विशेषत: डिझाइन केलेल्या बाह्य डेटावर प्रक्रिया करताना कोड कार्यान्वित करण्यास परवानगी देतात. -2020 - पूर्णांक ओव्हरफ्लो ब्लूटूथ स्टॅकमध्ये, CVE-2020-8597 - pppd मध्ये EAP ओव्हरफ्लो).

स्त्रोत: opennet.ru