nga kompania Google raporti mbi identifikimin e 15 dobĂ«sive tĂ« reja (CVE-2019-19523 â CVE-2019-19537) nĂ« drejtuesit USB, tĂ« ofruar nĂ« bĂ«rthamĂ«n Linux. Kjo Ă«shtĂ« sasia e tretĂ« e problemeve tĂ« gjetura gjatĂ« testimit fuzzing tĂ« stekĂ«s USB nĂ« paketĂ«. â mĂ« parĂ« ky hetues pĂ«r praninĂ« e 29 dobĂ«sive.
Këtë herë lista përfshin vetëm dobësi që shkaktojnë qasje në zona memorje që janë liruar tashmë (use-after-free) ose çojnë në rrjedhje të të dhënave nga memoria e bërthamës. Problemet që mund të përdoren për të shkaktuar ndalim në shërbim nuk janë përfshirë në raport. Dobësitë mund të eksploatohen teksa lidhen me kompjuterët përmes dispozitivëve USB të përgatitur posaçërisht. Rregullimet për të gjitha problemet e përmendura në raport tashmë janë përfshirë në bërthamë, por disa nga ato që nuk janë përfshirë në raport për momentin mbeten pa rregullim.
DobĂ«sitĂ« mĂ« tĂ« rrezikshme tĂ« klasĂ«s âuse-after-freeâ, qĂ« mund tĂ« çojnĂ« nĂ« ekzekutimin e kodit tĂ« sulmuesit, janĂ« eliminuar nĂ« drejtuesit adutux, ff-memless, ieee802154, pn533, hiddev, iowarrior, mcba_usb dhe yurex. NĂ«n CVE-2019-19532 janĂ« raportuar gjithashtu 14 dobĂ«si nĂ« drejtuesit HID tĂ« shkaktuar nga gabime qĂ« lejojnĂ« shkrimin pĂ«rtej kufirit tĂ« memories (out-of-bounds write). NĂ« drejtuesit ttusb_dec, pcan_usb_fd dhe pcan_usb_pro janĂ« gjetur probleme qĂ« çojnĂ« nĂ« rrjedhje tĂ« tĂ« dhĂ«nave nga memoria e bĂ«rthamĂ«s. NĂ« kodin e stekĂ«s USB pĂ«r punĂ«n me pajisje simbolike Ă«shtĂ« gjetur njĂ« problem (CVE-2019-19537), shkaktuar nga njĂ« gjendje garuese (race condition).
Gjithashtu mund të theksohet
i katër dobësive (CVE-2019-14895, CVE-2019-14896, CVE-2019-14897, CVE-2019-14901) në drejtuesin për çipat wireless Marvell, të cilat mund të çojnë në mbipërshkimin e memories. Një sulm mund të kryhet në distancë duke dërguar paketa të hartuara në një mënyrë specifike gjatë lidhjes me një pikë akses wireless të sulmuesit. Si kërcënim më të mundshëm shënohet ndalimi në shërbim nga distanca (rrëzimi i bërthamës), por nuk përjashtohet mundësia e ekzekutimit të kodit në sistem.
Burimi: opennet.ru
