VS कोड, ग्राफाना, GNU Emacs आणि Apache Fineract मधील भेद्यता

अलीकडे ओळखल्या गेलेल्या अनेक असुरक्षा:

• व्हिज्युअल स्टुडिओ कोड (व्हीएस कोड) एडिटरमध्ये एक गंभीर भेद्यता (CVE-2022-41034) ओळखली गेली आहे, जे वापरकर्ता आक्रमणकर्त्याने तयार केलेली लिंक उघडतो तेव्हा कोडची अंमलबजावणी करण्यास अनुमती देते. कोड VS कोड चालवणार्‍या संगणकावर आणि "रिमोट डेव्हलपमेंट" फंक्शन वापरून VS कोडशी जोडलेल्या इतर कोणत्याही संगणकावर दोन्हीवर कार्यान्वित केला जाऊ शकतो. GitHub Codespaces आणि github.dev यासह व्हीएस कोडच्या वेब आवृत्तीच्या वापरकर्त्यांसाठी आणि त्यावर आधारित वेब संपादकांसाठी ही समस्या सर्वात मोठा धोका आहे.

  द्वारे नियंत्रित वेब सर्व्हरवरून डाउनलोड केलेल्या Jypiter Notebook फॉरमॅटमध्ये एडिटरमध्ये विशेषत: डिझाइन केलेल्या दस्तऐवजांवर प्रक्रिया करताना टर्मिनलसह विंडो उघडण्यासाठी आणि त्यामध्ये अनियंत्रित शेल कमांड कार्यान्वित करण्यासाठी सर्व्हिस लिंक्स "कमांड:" वर प्रक्रिया करण्याच्या क्षमतेमुळे असुरक्षा उद्भवते. आक्रमणकर्ता (अतिरिक्त पुष्टीकरणाशिवाय " .ipynb" विस्तारासह बाह्य फायली "isTrusted" मोडमध्ये उघडल्या जातात, जे "command:" वर प्रक्रिया करण्यास अनुमती देते).

• GNU Emacs टेक्स्ट एडिटरमध्ये एक भेद्यता (CVE-2022-45939) ओळखली गेली आहे, जी कोडसह फाइल उघडताना, ctags टूलकिट वापरून प्रक्रिया केलेल्या नावातील विशेष वर्णांच्या बदलीद्वारे कमांड कार्यान्वित करण्यास अनुमती देते.
• Grafana या ओपन डेटा व्हिज्युअलायझेशन प्लॅटफॉर्ममध्ये एक भेद्यता (CVE-2022-31097) ओळखली गेली आहे, जी Grafana अलर्टिंग सिस्टमद्वारे सूचना प्रदर्शित करताना JavaScript कोडची अंमलबजावणी करण्यास अनुमती देते. संपादक अधिकारांसह आक्रमणकर्ता एक खास डिझाइन केलेली लिंक तयार करू शकतो आणि प्रशासकाने या लिंकवर क्लिक केल्यास प्रशासक अधिकारांसह ग्राफाना इंटरफेसमध्ये प्रवेश मिळवू शकतो. ग्राफाना प्रकाशन 9.2.7, 9.3.0, 9.0.3, 8.5.9, 8.4.10 आणि 8.3.10 मध्ये असुरक्षिततेकडे लक्ष दिले गेले आहे.
• एक्सपोर्टर-टूलकिट लायब्ररीमधील एक भेद्यता (CVE-2022-46146) Prometheus साठी मेट्रिक्स एक्सपोर्ट मॉड्यूल्स तयार करण्यासाठी वापरली जाते. समस्या तुम्हाला मूलभूत प्रमाणीकरण बायपास करण्याची परवानगी देते.
• आर्थिक सेवा Apache Fineract तयार करण्यासाठी प्लॅटफॉर्ममध्ये एक असुरक्षा (CVE-2022-44635), जी अनधिकृत वापरकर्त्यास रिमोट कोडची अंमलबजावणी करण्यास अनुमती देते. फायली लोड करण्यासाठी घटकाद्वारे प्रक्रिया केलेल्या पथांमधील ".." वर्ण योग्यरित्या सुटत नसल्यामुळे समस्या उद्भवली आहे. असुरक्षा Apache Fineract 1.7.1 आणि 1.8.1 प्रकाशनांमध्ये निश्चित करण्यात आली होती.
• Apache Tapestry Java फ्रेमवर्कमधील एक भेद्यता (CVE-2022-46366) जी विशेष स्वरूपित डेटा डीसीरियलाइज केल्यावर कोड कार्यान्वित करण्यास अनुमती देते. समस्या फक्त Apache Tapestry 3.x च्या जुन्या शाखेत दिसून येते, जी यापुढे समर्थित नाही.
• Hive (CVE-2022-41131), पिनॉट (CVE-2022-38649), डुक्कर (CVE-2022-40189) आणि स्पार्क (CVE-2022-40954) मधील अपाचे एअरफ्लो प्रदात्यांमध्ये असुरक्षा, ज्यामुळे रिमोट कोड लोडिंग कट होते DAG फायलींमध्ये लेखन प्रवेश न घेता नोकरीच्या अंमलबजावणीच्या संदर्भात अनियंत्रित फाइल्स किंवा कमांड प्रतिस्थापन.

स्त्रोत: opennet.ru