Nevarne ranljivosti v QEMU, Node.js, Grafana in Android

Nekaj nedavno odkritih ranljivosti:

• Ranljivost (CVE-2020-13765) v QEMU, ki lahko potencialno privede do izvajanja kode s pravicami procesa QEMU na strani gostiteljske naprave ob nalaganju posebej oblikovane slike jedra v gostujočem sistemu. Ta težava je povzročena s prelivanjem pomnilnika v kodi za kopiranje vsebine ROM ob nalaganju sistema in se kaže pri nalaganju vsebine 32-bitne slike jedra v pomnilnik. Popravilo je trenutno na voljo le v obliki popravka.
• Štiri ranljivosti v Node.js. Ranljivosti so odpravljena v izdajah 14.4.0, 10.21.0 in 12.18.0.
  • CVE-2020-8172 — omogoča obhod preverjanja potrdila gostitelja pri ponovni uporabi TLS seje.
  • CVE-2020-8174 — potencialno omogoča izvajanje kode v sistemu zaradi prelivanja pomnilnika v funkcijah napi_get_value_string_*(), ki nastane pri določenih klicih na N-API (C API za pisanje nativnih razširitev).
  • CVE-2020-10531 — celoštevilski preliv v ICU (Mednarodne komponente za Unicode) za C/C++, ki lahko privede do prelivanja pomnilnika pri uporabi funkcije UnicodeString::doAppend().
  • CVE-2020-11080 — omogoča izvajanje napada na dostopnost (100% obremenitev CPU) s prenosom velikih okvirjev "SETTINGS" pri povezavi preko HTTP/2.
• Ranljivost v platformi interaktivne vizualizacije metrik Grafana, ki se uporablja za gradnjo grafov za vizualno spremljanje na podlagi različnih virov podatkov. Napaka v kodi za obravnavo avatarjev omogoča brez preverjanja identitete sprožitev pošiljanja HTTP zahtevka s strani Grafane na katerikoli URL in ogled rezultata te zahteve. Omenjena značilnost se lahko uporablja, na primer, za raziskovanje notranje mreže podjetij, ki uporabljajo Grafano. Težava ispravljena v izdajah
  Grafana 6.7.4 in 7.0.2. Kot obvozno zaščito se priporoča omejitev dostopa do URL "\/avatar\/*" na strežniku z Grafano.
• Objavljeno junijski sklop popravkov varnostnih težav za Android, v katerem je odpravljenih 34 ranljivosti. Štirim težavam je dodeljena kritična raven nevarnosti: dve ranljivosti (CVE-2019-14073, CVE-2019-14080) v lastniških komponentah Qualcomm in dve ranljivosti v sistemu, ki omogočata izvajanje kode pri obdelavi posebej oblikovanih zunanjih podatkov (CVE-2020-0117 — celoštevilsko prelivanje v Bluetooth skladu, CVE-2020-8597 — prelivanje EAP v pppd).

Izvor: opennet.ru