QEMU, Node.js, Grafana ਅਤੇ Android ਵਿੱਚ ਖਤਰਨਾਕ ਕਮਜ਼ੋਰੀਆਂ

ਹਾਲ ਹੀ ਵਿੱਚ ਪਛਾਣੀਆਂ ਗਈਆਂ ਕਈ ਕਮਜ਼ੋਰੀਆਂ:

• ਕਮਜ਼ੋਰੀ (CVE-2020-13765) QEMU ਵਿੱਚ, ਜੋ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਹੋਸਟ ਸਾਈਡ 'ਤੇ QEMU ਪ੍ਰਕਿਰਿਆ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਨਾਲ ਕੋਡ ਨੂੰ ਲਾਗੂ ਕਰਨ ਦਾ ਕਾਰਨ ਬਣ ਸਕਦਾ ਹੈ ਜਦੋਂ ਇੱਕ ਕਸਟਮ ਕਰਨਲ ਚਿੱਤਰ ਮਹਿਮਾਨ ਵਿੱਚ ਲੋਡ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਸਮੱਸਿਆ ਸਿਸਟਮ ਬੂਟ ਦੌਰਾਨ ROM ਕਾਪੀ ਕੋਡ ਵਿੱਚ ਇੱਕ ਬਫਰ ਓਵਰਫਲੋ ਕਾਰਨ ਹੁੰਦੀ ਹੈ ਅਤੇ ਉਦੋਂ ਵਾਪਰਦੀ ਹੈ ਜਦੋਂ ਇੱਕ 32-ਬਿੱਟ ਕਰਨਲ ਚਿੱਤਰ ਦੀ ਸਮੱਗਰੀ ਨੂੰ ਮੈਮੋਰੀ ਵਿੱਚ ਲੋਡ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਫਿਕਸ ਵਰਤਮਾਨ ਵਿੱਚ ਸਿਰਫ ਫਾਰਮ ਵਿੱਚ ਉਪਲਬਧ ਹੈ ਪੈਚ.
• ਚਾਰ ਕਮਜ਼ੋਰੀਆਂ Node.js ਵਿੱਚ. ਕਮਜ਼ੋਰੀਆਂ ਹਟਾਇਆ ਰੀਲੀਜ਼ 14.4.0, 10.21.0 ਅਤੇ 12.18.0 ਵਿੱਚ।
  • CVE-2020-8172 - TLS ਸੈਸ਼ਨ ਦੀ ਮੁੜ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ ਹੋਸਟ ਸਰਟੀਫਿਕੇਟ ਪੁਸ਼ਟੀਕਰਨ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ।
  • CVE-2020-8174 - napi_get_value_string_*() ਫੰਕਸ਼ਨਾਂ ਵਿੱਚ ਇੱਕ ਬਫਰ ਓਵਰਫਲੋ ਦੇ ਕਾਰਨ ਸਿਸਟਮ 'ਤੇ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ ਜੋ ਕੁਝ ਕਾਲਾਂ ਦੌਰਾਨ ਵਾਪਰਦਾ ਹੈ N-API (ਨੇਟਿਵ ਐਡ-ਆਨ ਲਿਖਣ ਲਈ C API)।
  • CVE-2020-10531 C/C++ ਲਈ ICU (ਯੂਨੀਕੋਡ ਲਈ ਇੰਟਰਨੈਸ਼ਨਲ ਕੰਪੋਨੈਂਟਸ) ਵਿੱਚ ਇੱਕ ਪੂਰਨ ਅੰਕ ਓਵਰਫਲੋ ਹੈ ਜੋ ਯੂਨੀਕੋਡਸਟ੍ਰਿੰਗ::doAppend() ਫੰਕਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ ਇੱਕ ਬਫਰ ਓਵਰਫਲੋ ਹੋ ਸਕਦਾ ਹੈ।
  • CVE-2020-11080 - HTTP/100 ਦੁਆਰਾ ਕਨੈਕਟ ਕਰਦੇ ਸਮੇਂ ਵੱਡੇ "ਸੈਟਿੰਗਜ਼" ਫਰੇਮਾਂ ਦੇ ਪ੍ਰਸਾਰਣ ਦੁਆਰਾ ਸੇਵਾ ਤੋਂ ਇਨਕਾਰ (2% CPU ਲੋਡ) ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ।
• ਕਮਜ਼ੋਰੀ ਗ੍ਰਾਫਾਨਾ ਇੰਟਰਐਕਟਿਵ ਮੈਟ੍ਰਿਕਸ ਵਿਜ਼ੂਅਲਾਈਜ਼ੇਸ਼ਨ ਪਲੇਟਫਾਰਮ ਵਿੱਚ, ਵੱਖ-ਵੱਖ ਡੇਟਾ ਸਰੋਤਾਂ ਦੇ ਅਧਾਰ ਤੇ ਵਿਜ਼ੂਅਲ ਮਾਨੀਟਰਿੰਗ ਗ੍ਰਾਫ ਬਣਾਉਣ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ। ਅਵਤਾਰਾਂ ਨਾਲ ਕੰਮ ਕਰਨ ਲਈ ਕੋਡ ਵਿੱਚ ਇੱਕ ਗਲਤੀ ਤੁਹਾਨੂੰ ਪ੍ਰਮਾਣੀਕਰਨ ਪਾਸ ਕੀਤੇ ਬਿਨਾਂ Grafana ਤੋਂ ਕਿਸੇ ਵੀ URL ਤੇ ਇੱਕ HTTP ਬੇਨਤੀ ਭੇਜਣਾ ਅਰੰਭ ਕਰਨ ਅਤੇ ਇਸ ਬੇਨਤੀ ਦਾ ਨਤੀਜਾ ਵੇਖਣ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ। ਇਸ ਵਿਸ਼ੇਸ਼ਤਾ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ, ਉਦਾਹਰਨ ਲਈ, ਗ੍ਰਾਫਾਨਾ ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲੀਆਂ ਕੰਪਨੀਆਂ ਦੇ ਅੰਦਰੂਨੀ ਨੈਟਵਰਕ ਦਾ ਅਧਿਐਨ ਕਰਨ ਲਈ. ਸਮੱਸਿਆ ਖਤਮ ਕੀਤਾ ਮੁੱਦਿਆਂ ਵਿੱਚ
  ਗ੍ਰਾਫਾਨਾ 6.7.4 ਅਤੇ 7.0.2। ਸੁਰੱਖਿਆ ਦੇ ਹੱਲ ਵਜੋਂ, ਗ੍ਰਾਫਾਨਾ ਨੂੰ ਚਲਾਉਣ ਵਾਲੇ ਸਰਵਰ 'ਤੇ URL “/avatar/*” ਤੱਕ ਪਹੁੰਚ ਨੂੰ ਸੀਮਤ ਕਰਨ ਦੀ ਸਿਫ਼ਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।

• ਪ੍ਰਕਾਸ਼ਿਤ ਐਂਡਰਾਇਡ ਲਈ ਸੁਰੱਖਿਆ ਫਿਕਸ ਦਾ ਜੂਨ ਸੈੱਟ, ਜੋ 34 ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਠੀਕ ਕਰਦਾ ਹੈ। ਚਾਰ ਮੁੱਦਿਆਂ ਨੂੰ ਇੱਕ ਗੰਭੀਰ ਗੰਭੀਰਤਾ ਪੱਧਰ ਨਿਰਧਾਰਤ ਕੀਤਾ ਗਿਆ ਹੈ: ਮਲਕੀਅਤ ਕੁਆਲਕਾਮ ਕੰਪੋਨੈਂਟਸ ਵਿੱਚ ਦੋ ਕਮਜ਼ੋਰੀਆਂ (CVE-2019-14073, CVE-2019-14080) ਅਤੇ ਸਿਸਟਮ ਵਿੱਚ ਦੋ ਕਮਜ਼ੋਰੀਆਂ ਜੋ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤੇ ਗਏ ਬਾਹਰੀ ਡੇਟਾ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦੇ ਸਮੇਂ ਕੋਡ ਨੂੰ ਲਾਗੂ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀਆਂ ਹਨ ( -2020 - ਪੂਰਨ ਅੰਕ ਓਵਰਫਲੋ ਬਲੂਟੁੱਥ ਸਟੈਕ ਵਿੱਚ, CVE-2020-8597 - pppd ਵਿੱਚ EAP ਓਵਰਫਲੋ).

ਸਰੋਤ: opennet.ru