Sårbarheter i VS Code, Grafana, GNU Emacs och Apache Fineract

Några nyligen upptäckta sårbarheter:

• En kritisk sårbarhet (CVE-2022-41034) har upptäckts i Visual Studio Code (VS Code), vilket gör det möjligt att köra kod genom att användaren öppnar en länk som förberetts av en angripare. Koden kan köras både på datorn med VS Code och på andra datorer som anslutits till VS Code via funktionen "Remote Development". Problemet utgör den största risken för användare av webversionen av VS Code och webbredigerare baserade på den, inklusive GitHub Codespaces och github.dev.

  Sårbarheten orsakas av möjligheten att bearbeta tjänstelänkar "command:" för att öppna ett terminalfönster och köra godtyckliga shell-kommandon när särskilt utformade dokument i formatet Jupyter Notebook läses in från webbserver., som kontrolleras av angriparen (externa filer med tillägget ".ipynb" öppnas utan ytterligare bekräftelser i läget "isTrusted", vilket tillåter bearbetning av "command:").

• I textredigeraren GNU Emacs har en sårbarhet (CVE-2022-45939) upptäckts som möjliggör exekvering av kommandon vid öppning av en kodfil, genom att substituera specialtecken i namnet, vilket bearbetas med hjälp av verktyget ctags.
• I den öppna datavisualiseringsplattformen Grafana har en sårbarhet (CVE-2022-31097) identifierats, som möjliggör exekvering av JavaScript-kod vid visning av ett meddelande via Grafana Alerting-systemet. En angripare med redigeringsrättigheter kan förbereda en särskilt utformad länk och få åtkomst till Grafana-gränssnittet med administratörsbehörighet om en administratör klickar på denna länk. Sårbarheten har åtgärdats i versionerna Grafana 9.2.7, 9.3.0, 9.0.3, 8.5.9, 8.4.10 och 8.3.10.
• En sårbarhet (CVE-2022-46146) i biblioteket exporter-toolkit, som används för att skapa moduler för export av metrik för Prometheus. Problemet gör det möjligt att kringgå basic-autentisering.
• En sårbarhet (CVE-2022-44635) i plattformen för finansiella tjänster Apache Fineract, vilket möjliggör för en icke-autentiserad användare att åstadkomma fjärrkörning av kod. Problemet orsakas av bristen på korrekt återspegling av tecken ".." i sökvägar som bearbetas av komponenten för filuppladdning. Sårbarheten har åtgärdats i versionerna Apache Fineract 1.7.1 och 1.8.1.
• En sårbarhet (CVE-2022-46366) i Java-ramverket Apache Tapestry som möjliggör utförande av egen kod vid deserialisering av särskilt utformade data. Problemet uppstår endast i den gamla versionen av Apache Tapestry 3.x, som redan inte längre stöds.
• Sårbarheter i leverantörerna Apache Airflow mot Hive (CVE-2022-41131), Pinot (CVE-2022-38649), Pig (CVE-2022-40189) och Spark (CVE-2022-40954) som leder till fjärrkodexekvering genom uppladdning av godtyckliga filer eller kommandoinjektion i kontexten av jobs, utan att ha skrivåtkomst till DAG-filer.

Källa: opennet.ru