Onlangs ontdekte kwetsbaarheden:
- In de editor Visual Studio Code (VS Code) is een kritieke kwetsbaarheid (CVE-2022-41034) ontdekt, die het mogelijk maakt om code uit te voeren wanneer een gebruiker een door de aanvaller voorbereide link opent. De code kan zowel op de computer met VS Code als op andere computers die via de functie 'Remote Development' zijn verbonden met VS Code worden uitgevoerd. Het probleem vormt de grootste bedreiging voor gebruikers van de webversie van VS Code en web-editors die daarop gebaseerd zijn, waaronder GitHub Codespaces en github.dev.
De kwetsbaarheid wordt veroorzaakt door de mogelijkheid om speciale 'command:'-links te verwerken om een terminalvenster te openen en willekeurige shell-opdrachten daarin uit te voeren, bij het verwerken van speciaal opgemaakte documenten in Jupyter Notebook-indeling, die zijn geĆ¼pload vanaf webserver, onder controle van de aanvaller (externe bestanden met de extensie '.ipynb' worden zonder aanvullende bevestiging geopend in de 'isTrusted'-modus, wat de verwerking van 'command:' mogelijk maakt).
- In de teksteditor GNU Emacs is een kwetsbaarheid (CVE-2022-45939) ontdekt, die het mogelijk maakt om opdrachten uit te voeren bij het openen van een codebestand door speciale tekens in de naam te substitueren, die worden verwerkt met behulp van de ctags-tool.
- In het open datavisualisatieplatform Grafana is een kwetsbaarheid (CVE-2022-31097) ontdekt, die het mogelijk maakt om JavaScript-code uit te voeren bij het tonen van een melding via het Grafana Alerting-systeem. Een aanvaller met redacteursrechten (Editor) kan een speciaal opgemaakte link voorbereiden en toegang krijgen tot de Grafana-interface met beheerdersrechten als een beheerder op deze link klikt. De kwetsbaarheid is verholpen in de versies Grafana 9.2.7, 9.3.0, 9.0.3, 8.5.9, 8.4.10 en 8.3.10.
- Kwetsbaarheid (CVE-2022-46146) in de exporter-toolkit-bibliotheek, die wordt gebruikt voor het maken van modules voor het exporteren van metrics voor Prometheus. Het probleem maakt het mogelijk om basisauthenticatie te omzeilen.
- Kwetsbaarheid (CVE-2022-44635) in het platform voor het creƫren van financiƫle diensten, Apache Fineract, waardoor een niet-geauthenticeerde gebruiker op afstand code kan uitvoeren. Het probleem is veroorzaakt door het ontbreken van juiste escapes voor de symbolen '..' in paden die door het component voor het uploaden van bestanden worden verwerkt. De kwetsbaarheid is verholpen in de versies Apache Fineract 1.7.1 en 1.8.1.
- Een kwetsbaarheid (CVE-2022-46366) in het Java-framework Apache Tapestry die het mogelijk maakt om eigen code uit te voeren bij het deserialiseren van speciaal opgemaakte gegevens. Dit probleem doet zich alleen voor in de oude tak van Apache Tapestry 3.x, die al niet meer wordt ondersteund.
- Kwetsbaarheden in de aanbieders Apache Airflow naar Hive (CVE-2022-41131), Pinot (CVE-2022-38649), Pig (CVE-2022-40189) en Spark (CVE-2022-40954), die leiden tot remote code execution via het uploaden van willekeurige bestanden of het invoegen van opdrachten in de context van het uitvoeren van taken, zonder schrijfrechten op DAG-bestanden.
Bron: opennet.ru
