Farlige sårbarheter i QEMU, Node.js, Grafana og Android

Flere nylig oppdagede sårbarheder:

• The vulnerability (CVE-2020-13765) i QEMU, som potensielt kan føre til eksekvering av kode med rettighetene til QEMU-prosessen på verts-systemet ved lasting av et spesialdesignet kjernebilde i gjestsystemet. Problemet skyldes en buffer-overløpsfeil i koden som kopierer innholdet fra ROM under oppstart av systemet og viser seg når innholdet av et 32-bits kjernebilde lastes inn i minnet. Fiksen er foreløpig tilgjengelig kun i form av en patch.
• Fire sårbarheter i Node.js. Sårbarhetene er løst i versjoner 14.4.0, 10.21.0 og 12.18.0.
  • CVE-2020-8172 — tillater omgåelse av vertssertifikatkontrollen ved gjenbruk av TLS-økt.
  • CVE-2020-8174 — potensielt muliggjør kjøring av kode på systemet på grunn av buffer-overløp i funksjonene napi_get_value_string_*(), som oppstår ved spesifikke kall til N-API (C API for å skrive native tillegg).
  • CVE-2020-10531 — heltalls-overløp i ICU (International Components for Unicode) for C/C++, som kan føre til buffer-overløp ved bruk av funksjonen UnicodeString::doAppend().
  • CVE-2020-11080 — muliggjør en tjenestenekt (100% CPU belastning) ved å sende store SETTINGS-rammer ved tilkobling over HTTP/2.
• The vulnerability i plattformen for interaktiv visualisering av metrikker Grafana, som brukes for å lage grafisk overvåking basert på ulike datakilder. Feilen i koden som håndterer avatarer tillater å initiere sending av HTTP-forespørsel fra Grafana til hvilket som helst URL uten autentisering og se resultatet av denne forespørselen. Denne egenskapen kan brukes, for eksempel, for å utforske det interne nettverket til selskaper som bruker Grafana. Problemet og løst i versjoner
  Grafana 6.7.4 og 7.0.2. Som en midlertidig løsning anbefales det å begrense tilgangen til URL "\/avatar\/*" på serveren med Grafana.
• Published juni-samlingen av sikkerhetsoppdateringer for Android, hvor 34 sårbarheter er rettet. Fire av problemene er tildelt kritisk fare nivå: to sårbarheter (CVE-2019-14073, CVE-2019-14080) i proprietære komponenter fra Qualcomm og to sårbarheter i systemet som tillater kjøring av kode ved behandling av spesialdesignede eksterne data (CVE-2020-0117 — heltalls- overløp i Bluetooth-stakken, CVE-2020-8597 — overløp i EAP i pppd).

Kilde: opennet.ru