Een aantal onlangs ontdekte gevaarlijke kwetsbaarheden:
- CVE-2022-24834 — een kwetsbaarheid in de Redis-database die een buffer overflow kan veroorzaken in de cjson- en cmsgpack-bibliotheken tijdens de uitvoering van een speciaal opgemaakte Lua-script. Deze kwetsbaarheid kan mogelijk leiden tot het uitvoeren van code op afstand op de server. Het probleem doet zich voor vanaf Redis 2.6 en is verholpen in de versies 7.0.12, 6.2.13 en 6.0.20. Als work-around kan de toegang via ACL worden geblokkeerd voor Redis-gebruikers om de EVAL- en EVALSHA-commando's uit te voeren.
- CVE-2023-36824 — een kwetsbaarheid in de Redis-database die leidt tot een buffer overflow bij het verwerken van sleutelnamen die zijn doorgegeven via de COMMAND GETKEYS- of COMMAND GETKEYSANDFLAGS-commando's, evenals sleutellijsten in ACL-regels. Deze kwetsbaarheid kan mogelijk leiden tot het uitvoeren van code op afstand op de server. Het probleem doet zich alleen voor in de 7.0.x tak en is verholpen in versie 7.0.12.
- CVE-2022-23537 — een kwetsbaarheid in het communicatieplatform Asterisk die leidt tot een buffer overflow bij de parsing van server speciaal opgemaakte STUN-berichten waarin een onbekende attribuut is aangegeven. Het probleem doet zich voor bij het gebruik van de ICE- of WebRTC-protocollen in Asterisk. De kwetsbaarheid is verholpen in de versies 16.30.1, 18.18.1, 19.8.1 en 20.3.1.
- CVE-2023-36664 — een kwetsbaarheid in Ghostscript, een set tools voor het verwerken, converteren en genereren van documenten in PostScript- en PDF-indelingen, die het mogelijk maakt om willekeurige code uit te voeren bij het openen van speciaal opgemaakte documenten in PostScript-indeling. Het probleem wordt veroorzaakt door een onjuiste verwerking van bestandsnamen die beginnen met het teken '|' of het %pipe%-prefix. De kwetsbaarheid is verholpen in versie Ghostscript 10.01.2.
In veel omgevingen wordt Ghostscript aangeroepen tijdens het maken van miniatuurafbeeldingen op het bureaublad of bij achtergrondindexering van gegevens. Daarom is het soms voldoende om gewoon een bestand met een exploit te uploaden of de map hiermee in Nautilus te bekijken. Een aanval op serversystemen kan worden georganiseerd via afbeeldingsverwerkers gebaseerd op de ImageMagick- en GraphicsMagick-pakketten, die Ghostscript aanroepen bij het verzenden van JPEG- of PNG-bestanden waarin in plaats van een afbeelding PostScript-code staat (dit bestand zal worden verwerkt in Ghostscript, aangezien het MIME-type wordt herkend op basis van de inhoud en niet op de extensie).
- CVE-2023-36475 — een kwetsbaarheid in Parse Server, de backend voor Node.js die werkt met het webframework Express, waarmee kwaadwillenden op afstand hun code op de server kunnen uitvoeren. De kwetsbaarheid maakt gebruik van de methode voor prototypevervuiling in JavaScript om eigen code uit te voeren via de BSON-parser van MongoDB. De kwetsbaarheid is geclassificeerd met een gevaarniveau van 9.8 uit 10. Het probleem is opgelost in de updates van parse-server 5.5.2 en 6.2.1.
Bron: opennet.ru
