Várias vulnerabilidades recentemente identificadas:
- () no QEMU, que pode potencialmente permitir a execução de código com os privilégios do processo QEMU na máquina host ao inicializar um sistema convidado com uma imagem de kernel especialmente formatada. O problema é causado por um estouro de buffer no código de cópia de conteúdo da ROM durante a inicialização do sistema e se manifesta ao carregar o conteúdo de uma imagem de kernel de 32 bits na memória. A correção está disponível apenas na forma de .
- no Node.js. As vulnerabilidades estão nas versões 14.4.0, 10.21.0 e 12.18.0.
- CVE-2020-8172 — permite contornar a verificação do certificado do host ao reutilizar uma sessão TLS.
- CVE-2020-8174 — potencialmente permite a execução de código no sistema devido a um estouro de buffer nas funções napi_get_value_string_*(), que ocorre durante certas chamadas a (API C para escrever complementos nativos).
- CVE-2020-10531 — estouro inteiro no ICU (International Components for Unicode) para C/C++, que pode levar a um estouro de buffer ao usar a função UnicodeString::doAppend().
- CVE-2020-11080 — permite um ataque de negação de serviço (100% de carga na CPU) ao enviar grandes quadros 'SETTINGS' durante uma conexão HTTP/2.
- na plataforma de visualização interativa de métricas Grafana, usada para criar gráficos de monitoramento visual a partir de várias fontes de dados. Um erro no código de gerenciamento de avatares permite, sem autenticação, a realização de uma requisição HTTP pelo Grafana para qualquer URL e visualizar o resultado dessa requisição. Essa característica pode ser utilizada, por exemplo, para explorar redes internas de empresas que utilizam o Grafana. O problema está nas versões
Grafana 6.7.4 e 7.0.2. Como uma solução alternativa de proteção, recomenda-se restringir o acesso ao URL '/avatar/*' no servidor com Grafana. - o conjunto de atualizações de junho que corrige problemas de segurança para Android, que resolve 34 vulnerabilidades. Quatro problemas foram classificados como de nível crítico: duas vulnerabilidades (CVE-2019-14073, CVE-2019-14080) em componentes proprietários da Qualcomm e duas vulnerabilidades no sistema que permitem a execução de código ao processar dados externos especialmente formatados (CVE-2020-0117 — estouro inteiro CVE-2020-8597 — estouro EAP no pppd ).
Fonte: opennet.ru
