Nuglaanshaha khatarta ah ee QEMU, Node.js, Grafana iyo Android

Dhawr baylah ah oo dhawaan la aqoonsaday:

• Nuglaanta (CVE-2020-13765QEMU, kaas oo sababi kara in kood lagu fuliyo mudnaanta nidaamka QEMU ee dhinaca martida loo yahay marka sawirka kernel-ka caadiga ah lagu shubo martida. Dhibaatadu waxa sababa bakhaar ku soo qulqulaya koodhka nuqulka ROM-ka inta lagu jiro bootinta nidaamka waxayna dhacdaa marka waxa ku jira sawirka 32-bit kernel lagu shubo xusuusta. Hagaajinta hadda waxa kaliya oo lagu heli karaa foomka balastar.
• Afar baylahda ku yaal Node.js. Nuglaanta meesha laga saaray in la sii daayo 14.4.0, 10.21.0 iyo 12.18.0.
  • CVE-2020-8172 - Waxay ogolaataa xaqiijinta shahaadada martida loo yahay in la hareer maro marka dib loo isticmaalayo kalfadhiga TLS.
  • CVE-2020-8174 - Waxay suurtogal u tahay inay ogolaato fulinta koodka nidaamka sababtoo ah qulqulka qulqulka ee napi_get_value_string_*() ee dhaca inta lagu jiro wicitaanada qaarkood N-API (C API ee qorista add-ons-ka asalka ah).
  • CVE-2020-10531 waa isku-darka qulqulka ICU (Qaybaha Caalamiga ah ee Unicode) ee C/C++ taas oo u horseedi karta qulqul xad dhaaf ah marka la isticmaalayo UnicodeString:: doAppend().
  • CVE-2020-11080 - waxay ogolaataa diidmada adeegga (100% culeyska CPU) iyada oo loo sii marayo gudbinta "DEGYADA" waaweyn marka lagu xirayo HTTP/2.
• Nuglaanta gudaha Grafana isdhexgalka mitirka muuqaalka muuqaalka, loo isticmaalo in lagu dhiso garaafyada la socodka muuqaalka ee ku salaysan ilo xogeedyo kala duwan. Cilad ku jirta koodka la shaqaynta avatars-ka waxa uu kuu ogolaanayaa inaad bilawdo diritaanka codsiga HTTP ee Grafana URL kasta adoon gudbin aqoonsiga oo arag natiijada codsigan. Tilmaamahan waxaa loo isticmaali karaa, tusaale ahaan, si loo barto shabakada gudaha ee shirkadaha isticmaalaya Grafana. Dhib meesha laga saaray arrimaha
  Grafana 6.7.4 iyo 7.0.2. Nabadgelyo ahaan, waxaa lagula talinayaa in la xaddido gelitaanka URL-ka "/ avatar/*" ee serfarka ku shaqeeya Grafana.

• la daabacay Bisha Juun ee hagaajinta amniga Android, kaas oo hagaajinaya 34 dayacan Afar arrimood ayaa loo qoondeeyay heerka darnaanta halista ah: laba dayacan (CVE-2019-14073, CVE-2019-14080) ee qaybaha Qualcomm ee lahaanshaha) iyo laba dayacan oo nidaamka u oggolaanaya fulinta kood marka la farsameynayo xogta dibadda ee si gaar ah loo habeeyay (CVE-2020) -0117 - isku celcelis buuxdhaafay ku dhex jira Bluetooth, CVE-2020-8597 - EAP oo buux dhaafiyay ppd).

Source: opennet.ru