Niebezpieczne luki w QEMU, Node.js, Grafanie i Androidzie

Kilka ostatnio zidentyfikowanych luk:

• Słaby punkt (CVE-2020-13765) w QEMU, co może potencjalnie spowodować wykonanie kodu z uprawnieniami procesu QEMU po stronie hosta, gdy do gościa zostanie załadowany niestandardowy obraz jądra. Problem jest spowodowany przepełnieniem bufora w kodzie kopiującym ROM podczas uruchamiania systemu i pojawia się, gdy do pamięci ładowana jest zawartość 32-bitowego obrazu jądra. Poprawka jest obecnie dostępna tylko w formularzu skrawek.
• Cztery luki w Node.js. Luki wyłączony w wersjach 14.4.0, 10.21.0 i 12.18.0.
  • CVE-2020-8172 — umożliwia ominięcie weryfikacji certyfikatu hosta podczas ponownego korzystania z sesji TLS.
  • CVE-2020-8174 — Potencjalnie umożliwia wykonanie kodu w systemie z powodu przepełnienia bufora w funkcjach napi_get_value_string_*(), które występuje podczas niektórych wywołań N-API (C API do pisania natywnych dodatków).
  • CVE-2020-10531 to przepełnienie liczb całkowitych w ICU (International Components for Unicode) dla C/C++, które może prowadzić do przepełnienia bufora podczas korzystania z funkcji UnicodeString::doAppend().
  • CVE-2020-11080 - umożliwia odmowę usługi (100% obciążenia procesora) poprzez transmisję dużych ramek „USTAWIENIA” przy połączeniu przez HTTP/2.
• Słaby punkt w interaktywnej platformie wizualizacji metryk Grafana, służącej do budowania wizualnych wykresów monitoringowych w oparciu o różne źródła danych. Błąd w kodzie do pracy z awatarami pozwala zainicjować wysłanie żądania HTTP z Grafany na dowolny adres URL bez przejścia uwierzytelnienia i zobaczyć wynik tego żądania. Funkcję tę można wykorzystać np. do badania wewnętrznej sieci firm korzystających z Grafany. Problem wyłączony w kwestiach
  Grafana 6.7.4 i 7.0.2. Ze względów bezpieczeństwa zaleca się ograniczenie dostępu do adresu URL „/avatar/*” na serwerze, na którym działa Grafana.

• opublikowany Czerwcowy zestaw poprawek bezpieczeństwa dla Androida, który łata 34 luki. Czterem kwestiom przypisano krytyczną wagę: dwie luki (CVE-2019-14073, CVE-2019-14080) w autorskich komponentach Qualcomm) oraz dwie luki w systemie, które umożliwiają wykonanie kodu podczas przetwarzania specjalnie zaprojektowanych danych zewnętrznych (CVE-2020 -0117 - liczba całkowita przelewowy w stosie Bluetooth, CVE-2020-8597 – Przepełnienie protokołu EAP w pppd).

Źródło: opennet.ru