Nuglaanta (CVE-2021-3997) ayaa lagu aqoonsaday utility systemd-tmpfiles kaas oo u ogolaanaya soo noqnoqoshada aan la xakameynin inay dhacdo. Dhibaatada waxaa loo isticmaali karaa in lagu sameeyo diidmada adeegga inta lagu jiro nidaamka boot-ka iyada oo la abuurayo tiro badan oo buug-hoosaadyo ah oo ku jira tusaha / tmp. Hagaajinta hadda waxaa lagu heli karaa qaab balastar ah. Cusbooneysiinta xirmada si loo xalliyo dhibaatada waxaa lagu bixiyaa Ubuntu iyo SUSE, laakiin weli lagama heli karo Debian, RHEL iyo Fedora (hagaajin ayaa ku jira tijaabada).
Markaad abuurayso kumanaan buug-hoosaadyo ah, samaynta "systemd-tmpfiles --remove" shilalka hawlgalka sababtoo ah daal badan Caadi ahaan, utility systemd-tmpfiles wuxuu fuliyaa hawlaha tirtirka iyo abuurista hagayaasha hal wicitaan ("systemd-tmpfiles -create -remove -boot -exclude-prefix=/dev"), iyadoo tirtirka la sameeyay marka hore ka dibna abuurista, i.e. Guuldarrooyinka marxaladda tirtirka waxay keeni doontaa in faylasha muhiimka ah ee lagu qeexay /usr/lib/tmpfiles.d/*.conf aan la abuurin.
Xaalad weerar oo khatar badan oo ku saabsan Ubuntu 21.04 ayaa sidoo kale lagu xusay: maadaama shilka systemd-tmpfiles uusan abuurin faylka / run / quful / subsys faylka, iyo buugga / run / qufulka waa mid ay qoraan dhammaan isticmaaleyaasha, weeraryahanku wuxuu abuuri karaa / orod/quful/kabista hagaha hoos yimaada aqoonsigeeda iyo, iyada oo loo marayo abuuritaanka isku xidhka calaamada ah ee isku xidha faylalka qufulka ee habsocodka nidaamka, habaynta qoraalka nidaamka faylalka.
Intaa waxaa dheer, waxaan ogaan karnaa daabacaadda sii deynta cusub ee mashaariicda Flatpak, Samba, FreeRDP, Clamav iyo Node.js, kuwaas oo baylahdu ay go'an tahay:
- Siideynta saxda ah ee xirmada qalabka lagu dhisayo xirmooyinka Flatpak iskiis u ah 1.10.6 iyo 1.12.3, laba dayacan ayaa la hagaajiyay: Nuglaanta koowaad (CVE-2021-43860) waxay ogolaataa, marka xirmo laga soo dejiyo kayd aan la aamini karin, iyada oo loo marayo khalkhalgelinta xogta badan, si loo qariyo muujinta rukhsad sare oo gaar ah inta lagu jiro habka rakibidda. Nuglaanta labaad (la'aanteed CVE) ayaa u oggolaanaysa amarka "flatpak-builder-mirror-screenshots-url" inuu abuuro hagayaal ku yaal aagga nidaamka faylka ee ka baxsan buugga dhismaha inta lagu jiro isu-ururinta xirmada.
- Cusboonaysiinta Samba 4.13.16 waxay meesha ka saaraysaa nuglaanta (CVE-2021-43566) taas oo u oggolaanaysa macmiilku inuu wax ka beddelo isku xirka calaamadaha SMB1 ama qaybaha NFS si uu u abuuro hagaha server ka baxsan aagga FS ee la dhoofiyo (dhibaatada waxaa keenay xaalad jinsiyadeed. wayna adagtahay in laga faa'iidaysto ficil ahaan, laakiin aragti ahaan waa suurtagal). Noocyadii ka horreeyay 4.13.16 waxaa saameeya dhibaatadu.
Warbixin ayaa sidoo kale la daabacay oo ku saabsan nuglaansho kale oo la mid ah (CVE-2021-20316), taas oo u oggolaanaysa macmiilka la xaqiijiyay inuu akhriyo ama beddelo waxa ku jira faylka ama xogta badan ee tusaha ee aagga server-ka FS ee ka baxsan qaybta la dhoofiyo iyada oo loo marayo khalkhalgelinta xiriiriyeyaasha calaamadaha. Dhibaatadu waxay ku xiran tahay siideynta 4.15.0, laakiin sidoo kale waxay saameysaa laamihii hore. Si kastaba ha noqotee, hagaajinta laamihii hore lama daabici doono, maadaama dhismihii hore ee Samba VFS uusan ogolayn hagaajinta dhibaatada iyadoo ay ugu wacan tahay ku-xidhka hawlgallada metadata si loo fayl-gareeyo waddooyinka (Samba 4.15 lakabka VFS si buuxda ayaa dib loo habeeyey). Maxaa dhibka ka dhigaya mid khatar yar waa in ay aad u adag tahay in la shaqeeyo iyo xuquuqda isticmaaluhu waa in ay oggolaato in la akhriyo ama loo qoro faylka ama tusaha bartilmaameedka ah.
- Siideynta mashruuca FreeRDP 2.5, kaas oo bixiya hirgelinta bilaashka ah ee Hab-maamuuska Mashiinka Fog (RDP), wuxuu hagaajiyaa seddex arrimood oo amniga ah (CVE identifiers lama meelayn) taas oo horseedi karta qulqul xad dhaaf ah marka la isticmaalayo meel aan sax ahayn, ka baaraandegidda diiwaan si gaar ah loo habeeyay dejinta iyo muujinta magac ku-darka oo si khaldan loo habeeyey. Isbeddellada nooca cusub waxaa ka mid ah taageerada maktabadda OpenSSL 3.0, hirgelinta goobta TcpConnectTimeout, la-qabsiga LibreSSL oo la wanaajiyey iyo xal u helidda dhibaatooyinka boodhka ee deegaannada ku saleysan Wayland.
- Siideynta cusub ee xirmada antivirus ee bilaashka ah ClamAV 0.103.5 iyo 0.104.2 waxay meesha ka saaraysaa nuglaanshaha CVE-2022-20698, kaas oo la xidhiidha akhrinta tilmaame ee khaldan oo kuu ogolaanaya inaad meel fog ka keento shil habka haddii xirmada lagu soo ururiyey libjson- c maktabada iyo CL_SCAN_GENERAL_COLLECT_METADATA ikhtiyaarka waa la dajiyay ee goobaha (clamscan --gen-json).
- Nidaamka Node.js wuxuu cusbooneysiiyaa 16.13.2, 14.18.3, 17.3.1 iyo 12.22.9 wuxuu hagaajiyaa afar dayacan: ka gudubka xaqiijinta shahaado marka la xaqiijinayo isku xirka shabakada sababtoo ah u beddelka khaldan ee SAN (Magacyada Mawduuca Kale) ee qaabka xargaha (CVE- 2021 -44532); si khaldan u maaraynta tirinta qiyamka badan ee mawduuca iyo goobaha soo saaraha, kaas oo loo isticmaali karo in lagu dhaafo xaqiijinta goobaha lagu sheegay shahaadooyinka (CVE-2021-44533); Xayiraadaha dhaafitaanka ee la xidhiidha nooca SAN URI ee shahaadooyinka (CVE-2021-44531); Ansixinta wax gelinta aan ku filnayn shaqada console.table(), kaas oo loo isticmaali karo in lagu meeleeyo xadhig madhan furayaasha dhijitaalka ah (CVE-2022-21824).
Source: opennet.ru