Flera nyligen upptÀckta sÄrbarheter:
- Den korrigerande utgĂ„van av Perl 5.38.1 Ă„tgĂ€rdade en sĂ„rbarhet (CVE-2023-47038) som kan leda till att en byte skrivs utanför den allokerade bufferten vid hantering av kompilering av reguljĂ€ra uttryck med ett felaktigt omdefinierat internt Unicode-attribut med ett namn som börjar pĂ„ âutf8::perlâ. Problemet uppstĂ„r frĂ„n och med Perl version 5.30.
Dessutom har Perl 5.38.1 ÄtgÀrdat en Windows-specifik sÄrbarhet (CVE-2023-47039) som möjliggör körning av egen kod vid körning av skript om det finns möjlighet att placera en fil cmd.exe i den aktuella katalogen (pÄ grund av avsaknaden av stÀdning av sökvÀgar för att söka efter körbara filer försöker Perl först att köra cmd.exe i den aktuella katalogen). Till exempel kan en angripare placera sin cmd.exe i katalogen C:\ProgramData och höja sina privilegier om administratören kör Perl-skriptet frÄn denna katalog.
- I molnplattformen ownCloud, som separerades frÄn projektet Nextcloud 2016, har en sÄrbarhet (CVE-2023-49103) upptÀckts som pÄverkar applikationen graphapi och som möjliggör att innehÄllet i miljövariabler kan faststÀllas, vilka kan innehÄlla administratörens lösenord, licensnyckel och inloggningsuppgifter för e-post. servernProblemet orsakas av anvÀndning av ett tredjepartsbibliotek i graphapi, som bland annat tillhandahÄller en handler för GetPhpInfo.php, som anropar funktionen phpinfo(), vars output innehÄller miljövariabler.
- I multimediaramverket GStreamer har tvĂ„ sĂ„rbarheter upptĂ€ckts: CVE-2023-44446 â accessering av minne efter att det frigjorts (Use-After-Free) i koden för parsing av MXF-filer; CVE-2023-44429 â buffertöverflöd i koden för parsing av AV1-formatet. Det första problemet beror pĂ„ att objektet inte kontrolleras innan operationer utförs med det, medan det andra beror pĂ„ avsaknaden av storlekskontroll av data innan de kopieras till en fast buffert. SĂ„rbarheterna kan leda till att angriparens kod körs vid försök att bearbeta speciellt formaterade MXF-filer och multimedia-data i AV1-format. AngreppsvĂ€garna Ă€r beroende av implementationen av den attackerade applikationen. För dessa problem har en risknivĂ„ pĂ„ 8,8 av 10 tilldelats. SĂ„rbarheterna har Ă„tgĂ€rdats i GStreamer-version 1.22.7.
- I operativsystemet Zephyr RTOS har 25 sÄrbarheter identifierats, varav de flesta potentiellt kan leda till exekvering av angriparens kod. SÄrbarheterna orsakas av buffertöverskridningar i WiFi-shell, Bluetooth-stacken, IPM-drivrutinen, USB-stacken, IEEE 802.15.4-drivrutinen, Mgmt-subsystemet, filsystemet, eS-WiFi-drivrutinen och CANbus-subsystemet. De flesta sÄrbarheterna ÄtgÀrdades i version Zephyr 3.5.0, men ett problem (CVE-2023-4261) förblir ofixat (detaljer om denna sÄrbarhet publiceras inte förrÀn en fix finns tillgÀnglig).
KĂ€lla: opennet.ru
