QEMU, Node.js, Grafana ਅਤੇ ਵਿੱਚ ਖਤਰਨਾਕ ਕਮਜ਼ੋਰੀਆਂ Android

ਹਾਲ ਹੀ ਵਿੱਚ ਪਛਾਣੀਆਂ ਗਈਆਂ ਕਈ ਕਮਜ਼ੋਰੀਆਂ:

• ਕਮਜ਼ੋਰੀ (CVE-2020-13765) QEMU ਵਿੱਚ, ਜੋ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਹੋਸਟ ਸਿਸਟਮ 'ਤੇ QEMU ਪ੍ਰਕਿਰਿਆ ਦੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਨਾਲ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਵੱਲ ਲੈ ਜਾ ਸਕਦਾ ਹੈ ਜਦੋਂ ਗੈਸਟ ਸਿਸਟਮ ਵਿੱਚ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤੇ ਕਰਨਲ ਚਿੱਤਰ ਨੂੰ ਲੋਡ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਇਹ ਸਮੱਸਿਆ ਸਿਸਟਮ ਬੂਟ ਪੜਾਅ ਦੌਰਾਨ ROM ਕਾਪੀ ਕੋਡ ਵਿੱਚ ਇੱਕ ਬਫਰ ਓਵਰਫਲੋ ਕਾਰਨ ਹੁੰਦੀ ਹੈ ਅਤੇ 32-ਬਿੱਟ ਕਰਨਲ ਚਿੱਤਰ ਦੀ ਸਮੱਗਰੀ ਨੂੰ ਮੈਮੋਰੀ ਵਿੱਚ ਲੋਡ ਕਰਨ ਵੇਲੇ ਆਪਣੇ ਆਪ ਨੂੰ ਪ੍ਰਗਟ ਕਰਦੀ ਹੈ। ਇੱਕ ਫਿਕਸ ਵਰਤਮਾਨ ਵਿੱਚ ਸਿਰਫ ਰੂਪ ਵਿੱਚ ਉਪਲਬਧ ਹੈ ਪੈਚ.
• ਚਾਰ ਕਮਜ਼ੋਰੀਆਂ Node.js ਕਮਜ਼ੋਰੀਆਂ ਹਟਾਇਆ ਰੀਲੀਜ਼ 14.4.0, 10.21.0 ਅਤੇ 12.18.0 ਵਿੱਚ।
  • CVE-2020-8172 - TLS ਸੈਸ਼ਨ ਦੀ ਮੁੜ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ ਹੋਸਟ ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਮਾਣਿਕਤਾ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ।
  • CVE-2020-8174 – napi_get_value_string_*() ਫੰਕਸ਼ਨ ਵਿੱਚ ਇੱਕ ਬਫਰ ਓਵਰਫਲੋ ਜੋ ਸਿਸਟਮ ਨੂੰ ਕੁਝ ਕਾਲਾਂ ਦੌਰਾਨ ਹੁੰਦਾ ਹੈ, ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਦਾ ਕਾਰਨ ਬਣ ਸਕਦਾ ਹੈ। ਐਨ-ਏਪੀਆਈ (ਮੂਲ ਐਡ-ਆਨ ਲਿਖਣ ਲਈ C API)।
  • CVE-2020-10531 - C/C++ ਲਈ ICU (ਯੂਨੀਕੋਡ ਲਈ ਅੰਤਰਰਾਸ਼ਟਰੀ ਹਿੱਸੇ) ਵਿੱਚ ਇੱਕ ਪੂਰਨ ਅੰਕ ਓਵਰਫਲੋ, UnicodeString::doAppend() ਫੰਕਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ ਇੱਕ ਬਫਰ ਓਵਰਫਲੋ ਦਾ ਕਾਰਨ ਬਣ ਸਕਦਾ ਹੈ।
  • CVE-2020-11080 — HTTP/2 ਰਾਹੀਂ ਕਨੈਕਟ ਕਰਨ ਵੇਲੇ ਵੱਡੇ "SETTINGS" ਫਰੇਮਾਂ ਦੇ ਸੰਚਾਰ ਦੁਆਰਾ ਸੇਵਾ ਤੋਂ ਇਨਕਾਰ (100% CPU ਲੋਡ) ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ।
• ਕਮਜ਼ੋਰੀ ਗ੍ਰਾਫਾਨਾ ਇੰਟਰਐਕਟਿਵ ਮੈਟ੍ਰਿਕਸ ਵਿਜ਼ੂਅਲਾਈਜ਼ੇਸ਼ਨ ਪਲੇਟਫਾਰਮ ਵਿੱਚ, ਜੋ ਕਿ ਵੱਖ-ਵੱਖ ਡੇਟਾ ਸਰੋਤਾਂ ਦੇ ਅਧਾਰ ਤੇ ਵਿਜ਼ੂਅਲ ਨਿਗਰਾਨੀ ਗ੍ਰਾਫ ਬਣਾਉਣ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ, ਅਵਤਾਰ ਹੈਂਡਲਿੰਗ ਕੋਡ ਵਿੱਚ ਇੱਕ ਬੱਗ ਗ੍ਰਾਫਾਨਾ ਨੂੰ ਪ੍ਰਮਾਣੀਕਰਨ ਤੋਂ ਬਿਨਾਂ ਕਿਸੇ ਵੀ URL ਤੇ HTTP ਬੇਨਤੀ ਭੇਜਣ ਅਤੇ ਉਸ ਬੇਨਤੀ ਦਾ ਨਤੀਜਾ ਵੇਖਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਇਸ ਵਿਸ਼ੇਸ਼ਤਾ ਦੀ ਵਰਤੋਂ, ਉਦਾਹਰਣ ਵਜੋਂ, ਗ੍ਰਾਫਾਨਾ ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲੀਆਂ ਕੰਪਨੀਆਂ ਦੇ ਅੰਦਰੂਨੀ ਨੈਟਵਰਕ ਦਾ ਅਧਿਐਨ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ। ਸਮੱਸਿਆ ਖਤਮ ਕੀਤਾ ਮੁੱਦਿਆਂ ਵਿੱਚ
  ਗ੍ਰਾਫਾਨਾ 6.7.4 ਅਤੇ 7.0.2। ਇੱਕ ਹੱਲ ਵਜੋਂ, ਅਸੀਂ ਗ੍ਰਾਫਾਨਾ ਚਲਾ ਰਹੇ ਸਰਵਰ 'ਤੇ "/avatar/*" URL ਤੱਕ ਪਹੁੰਚ ਨੂੰ ਸੀਮਤ ਕਰਨ ਦੀ ਸਿਫ਼ਾਰਸ਼ ਕਰਦੇ ਹਾਂ।
• ਪ੍ਰਕਾਸ਼ਿਤ ਜੂਨ ਸੁਰੱਖਿਆ ਪੈਚ ਨੋਟਸ ਲਈ Android, ਜਿਸ ਵਿੱਚ 34 ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਠੀਕ ਕੀਤਾ ਗਿਆ ਸੀ। ਚਾਰ ਮੁੱਦਿਆਂ ਨੂੰ ਇੱਕ ਗੰਭੀਰ ਗੰਭੀਰਤਾ ਪੱਧਰ ਨਿਰਧਾਰਤ ਕੀਤਾ ਗਿਆ ਸੀ: ਦੋ ਕਮਜ਼ੋਰੀਆਂ (CVE-2019-14073, CVE-2019-14080) Qualcomm ਮਲਕੀਅਤ ਹਿੱਸਿਆਂ ਵਿੱਚ) ਅਤੇ ਸਿਸਟਮ ਵਿੱਚ ਦੋ ਕਮਜ਼ੋਰੀਆਂ ਜੋ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤੇ ਬਾਹਰੀ ਡੇਟਾ (CVE-2020-0117 - ਪੂਰਨ ਅੰਕ) ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦੇ ਸਮੇਂ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀਆਂ ਹਨ। ਓਵਰਫਲੋ ਬਲੂਟੁੱਥ ਸਟੈਕ ਵਿੱਚ, CVE-2020-8597 – pppd ਵਿੱਚ EAP ਓਵਰਫਲੋ).

ਸਰੋਤ: opennet.ru