Nebezpečné zraniteľnosti v QEMU, Node.js, Grafana a Android

Niekoľko nedávno zistených zraniteľností:

• Zraniteľnosť (CVE-2020-13765) v QEMU, ktorá môže potenciálne viesť k vykonaniu kódu s právami procesu QEMU na strane hostiteľského systému pri načítaní špeciálne prispôsobeného obrazu jadra do hosťovského systému. Problém je spôsobený pretečením vyrovnávacej pamäte v kóde kopírovania obsahu ROM počas štartovania systému a prejavuje sa pri načítaní obsahu 32-bitového obrazu jadra do pamäte. Oprava je zatiaľ dostupná len vo forme patchu.
• Štyri zraniteľnosti v Node.js. Zraniteľnosti been eliminated v verziách 14.4.0, 10.21.0 a 12.18.0.
  • CVE-2020-8172 – umožňuje obísť overenie certifikátu hostiteľa pri opätovnom použití relácie TLS.
  • CVE-2020-8174 – potenciálne umožňuje vykonanie kódu v systéme z dôvodu pretečenia zásobníka v funkciách napi_get_value_string_*(), ktoré sa vyskytuje pri určitých volaniach na N-API (C API pre písanie natívnych doplnkov).
  • CVE-2020-10531 – celočíselné pretečenie v ICU (International Components for Unicode) pre C/C++, ktoré môže viesť k pretečeniu vyrovnávacej pamäte pri použití funkcie UnicodeString::doAppend().
  • CVE-2020-11080 – umožňuje vykonať odmietnutie služby (100% zaťaženie CPU) prostredníctvom odovzdávania veľkých rámcov „SETTINGS“ pri pripojení cez HTTP/2.
• Zraniteľnosť v platforme interaktívnej vizualizácie metrík Grafana, ktorá sa používa na vykresľovanie grafov vizuálneho monitorovania na základe rôznych zdrojov údajov. Chyba v kóde pre prácu s avatármi umožňuje bez autentifikácie iniciovať odosielanie HTTP požiadavky zo strany Grafana na akúkoľvek URL a pozrieť si výsledok tejto požiadavky. Uvedená vlastnosť môže byť použitá, napríklad na preskúmanie vnútornej siete spoločností, ktoré používajú Grafana. Problém bola odstránená v verziách
  Grafana 6.7.4 a 7.0.2. Ako obchádzajúcu ochranu sa odporúča obmedziť prístup k URL „/avatar/*“ na serveri s Grafana.
• Zverejnené júnový balík opráv problémov so zabezpečením pre Android, v ktorom bolo odstránených 34 zraniteľností. Štyrom problémom bol priradený kritický stupeň nebezpečenstva: dve zraniteľnosti (CVE-2019-14073, CVE-2019-14080) v proprietárnych komponentoch Qualcomm a dve zraniteľnosti v systéme, ktoré umožňujú vykonať kód pri spracovaní špeciálne prispôsobených externých údajov (CVE-2020-0117 – celočíselné pretečenie v Bluetooth zásobníku, CVE-2020-8597 – pretečenie EAP v pppd.).

Zdroj: opennet.ru