Enkele recent ontdekte kwetsbaarheden:
- Er is een kritieke kwetsbaarheid (CVE-2022-41034) vastgesteld in de Visual Studio Code (VS Code)-editor, waardoor code kan worden uitgevoerd wanneer een gebruiker een door een aanvaller voorbereide link opent. De code kan worden uitgevoerd op de computer waarop VS Code draait of op een andere computer die is verbonden met VS Code via de functie 'Remote Development'. Het probleem is vooral gevaarlijk voor gebruikers van de webversie van VS Code en webeditors die daarop zijn gebaseerd, waaronder GitHub Codespaces en github.dev.
De kwetsbaarheid wordt veroorzaakt door de mogelijkheid om "command:"-servicelinks te verwerken om een terminalvenster te openen en daarin willekeurige shell-opdrachten uit te voeren bij het verwerken van speciaal opgemaakte documenten in het Jypiter Notebook-formaat die vanuit de editor zijn gedownload. webservers, gecontroleerd door de aanvaller (externe bestanden met de extensie ".ipynb" worden geopend in de "isTrusted"-modus zonder extra bevestiging, waardoor "command:"-verwerking mogelijk is).
- Er is een kwetsbaarheid (CVE-2022-45939) ontdekt in de teksteditor GNU Emacs, waarmee opdrachten kunnen worden uitgevoerd bij het openen van een bestand met code, door speciale tekens in de bestandsnaam te vervangen die worden verwerkt met behulp van de ctags-toolkit.
- Er is een kwetsbaarheid (CVE-2022-31097) vastgesteld in het open source datavisualisatieplatform Grafana, waardoor JavaScript-code kan worden uitgevoerd wanneer er een melding wordt weergegeven via het Grafana Alerting-systeem. Een aanvaller met Editor-rechten kan een speciaal vervaardigde link aanmaken en met beheerdersrechten toegang krijgen tot de Grafana-interface als de beheerder op de link klikt. Het beveiligingslek is verholpen in Grafana-releases 9.2.7, 9.3.0, 9.0.3, 8.5.9, 8.4.10 en 8.3.10.
- Er is een kwetsbaarheid (CVE-2022-46146) in de exporter-toolkit-bibliotheek die wordt gebruikt om modules voor het exporteren van metrische gegevens voor Prometheus te maken. Het probleem maakt het mogelijk om de basisverificatie te omzeilen.
- Een kwetsbaarheid (CVE-2022-44635) in het Apache Fineract-platform voor financiële dienstverlening maakt het mogelijk dat een niet-geverifieerde gebruiker op afstand code kan uitvoeren. Het probleem wordt veroorzaakt door een gebrek aan goede escape-mogelijkheden voor ".."-tekens in paden die worden verwerkt door het bestanduploadcomponent. Deze kwetsbaarheid is verholpen in de releases Apache Fineract 1.7.1 en 1.8.1.
- Een kwetsbaarheid (CVE-2022-46366) in het Java-framework Apache Tapestry maakt het mogelijk om aangepaste code uit te voeren bij het deserialiseren van speciaal vervaardigde gegevens. Het probleem doet zich alleen voor in de oude Apache Tapestry 3.x-branch, die niet langer wordt ondersteund.
- Kwetsbaarheden in Apache Airflow-providers voor Hive (CVE-2022-41131), Pinot (CVE-2022-38649), Pig (CVE-2022-40189) en Spark (CVE-2022-40954) die leiden tot uitvoering van code op afstand via willekeurige bestandsuploads of opdrachtvervanging in de context van taakuitvoering zonder schrijftoegang tot DAG-bestanden.
Bron: opennet.ru
