Niekoľko nedávno zistených zraniteľností:
- Tri zraniteľnosti vo voľnom systéme automatizovaného projektovania LibreCAD a v knižnici libdxfrw umožňujúce vyvolať kontrolované pretečenie zásobníka a potenciálne dosiahnuť vykonanie svojho kódu pri otvorení špeciálne upravených súborov vo formátoch DWG a DXF. Problémy boli zatiaľ odstránené iba v podobe záplat (CVE-2021-21898, CVE-2021-21899, CVE-2021-21900).
- Zraniteľnosť (CVE-2021-41817) v metóde Date.parse poskytnutej v štandardnej knižnici programovacieho jazyka Ruby. Nedostatky v regulárnych výrazoch používaných na analýzu dátumov v metóde Date.parse môžu byť využité na vykonanie DoS útokov, ktoré vedú k značnej spotrebe CPU a pamäte pri spracovaní špeciálne formátovaných údajov.
- Zraniteľnosť v platforme strojového učenia TensorFlow (CVE-2021-41228), ktorá umožňuje vykonať svoj kód pri spracovaní útokom poskytnutých údajov pomocou utilitky saved_model_cli, ktorá je predaná prostredníctvom parametra „—input_examples“. Problém je spôsobený používaním externých údajov pri volaní kódu funkciou „eval“. Problém bol odstránený vo vydaniach TensorFlow 2.7.0, TensorFlow 2.6.1, TensorFlow 2.5.2 a TensorFlow 2.4.4.
- Zraniteľnosť (CVE-2021-43331) v systéme správy e-mailových distribúcií GNU Mailman, spôsobená nekorektným spracovaním niektorých typov URL. Problém umožňuje vykonanie JavaScript kódu prostredníctvom zadaného špeciálne upraveného URL na stránke s nastaveniami. V Mailman bola tiež zistená ďalšia zraniteľnosť (CVE-2021-43332), ktorá umožňuje používateľovi s právami moderátora uhádnuť heslo administrátora. Problémy boli odstránené vo vydaní Mailman 2.1.36.
- Séria zraniteľností v textovom editore Vim, ktoré môžu viesť k pretečeniu zásobníka a potenciálne k vykonaniu kódu útočníka pri otvorení špeciálne upravených súborov pomocou voľby „-S“ (CVE-2021-3903, CVE-2021-3872, CVE-2021-3927, CVE-2021-3928, opravy — 1, 2, 3, 4).
Zdroj: opennet.ru
