The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Опасные уязвимости в QEMU, Node.js, Grafana и Android

04.06.2020 08:43

Несколько недавно выявленных уязвимостей:

  • Уязвимость (CVE-2020-13765) в QEMU, которая потенциально может привести к выполнению кода с правами процесса QEMU на стороне хост-системы при загрузке в гостевой системе специально оформленного образа ядра. Проблема вызвана переполнением буфера в коде копирования содержимого ПЗУ на этапе загрузки системы и проявляется при загрузке содержимого 32-разрядного образа ядра в память. Исправление пока доступно только в форме патча.
  • Четыре уязвимости в Node.js. Уязвимости устранены в выпусках 14.4.0, 10.21.0 и 12.18.0.
    • CVE-2020-8172 - позволяет обойти проверку сертификата хоста при повторном использовании TLS-сеанса.
    • CVE-2020-8174 - потенциально позволяет добиться выполнения кода в системе из-за переполнения буфера в функциях napi_get_value_string_*(), возникающего при определённых обращениях к N-API (Си API для написания нативных дополнений).
    • CVE-2020-10531 - целочисленное переполнение в ICU (International Components for Unicode) для C/C++, которое может привести к переполнению буфера при использовании функции UnicodeString::doAppend().
    • CVE-2020-11080 - позволяет осуществить отказ в обслуживании (100% нагрузка на CPU) через передачу больших кадров "SETTINGS" при подключении по HTTP/2.
  • Уязвимость в платформе интерактивной визуализации метрик Grafana, применяемой для построения графиков наглядного мониторинга на основе различных источников данных. Ошибка в коде работы с аватарами позволяет без прохождения аутентификации инициировать отправку HTTP-запроса со стороны Grafana на любой URL и посмотреть результат этого запроса. Указанная особенность может применяться, например, для изучения внутренней сети компаний, использующих Grafana. Проблема устранена в выпусках Grafana 6.7.4 и 7.0.2. В качестве обходного пути защиты рекомендуется ограничить доступ к URL "/avatar/*" на сервере с Grafana.
  • Опубликован июньский набор исправлений проблем с безопасностью для Android, в котором устранены 34 уязвимости. Четырём проблемам присвоен критический уровень опасности: две уязвимости (CVE-2019-14073, CVE-2019-14080) в проприетарных компонентах Qualcomm) и две уязвимости в системе, позволяющие выполнить код при обработке специально оформленных внешних данных (CVE-2020-0117 - целочисленное переполнение в Bluetooth-стеке, CVE-2020-8597 - переполнение EAP в pppd).


  1. OpenNews: Уязвимость в Android-прошивках Samsung, эксплуатируемая через отправку MMS
  2. OpenNews: Уязвимость в Android, позволяющая удалённо выполнить код при включённом Bluetooth
  3. OpenNews: Уязвимость, позволяющая выйти из изолированного окружения QEMU
  4. OpenNews: Уязвимость в vhost-net, позволяющая обойти изоляцию в системах на базе QEMU-KVM
  5. OpenNews: Новые выпуски Node.js 13.8, 12.15 и 10.19 с устранением уязвимостей
Лицензия: CC-BY
Тип: Проблемы безопасности
Короткая ссылка: https://opennet.ru/53085-qemu
Ключевые слова: qemu, node.js, grafana, android, security
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение (35) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.2, Аноним (2), 09:04, 04/06/2020 [ответить] [﹢﹢﹢] [ · · · ]  
  • +7 +/
    > CVE-2019-14073, CVE-2019-14080 в проприетарных компонентах Qualcomm

    Какой позор! Пора Qualcomm открыть оставшиеся блобы.

     
     
  • 2.5, kjjhg (?), 09:27, 04/06/2020 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Находить уязвимости позор?
     
     
  • 3.11, Аноним (11), 10:05, 04/06/2020 [^] [^^] [^^^] [ответить]  
  • +17 +/
    Наличие проприетарный прошивки (вместо свободной), да еще с уязвимостями - позор производителю.
     
     
  • 4.31, gjgu (?), 20:23, 04/06/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Напиши свободную, кто мешает? Так вы любите говорить?
     
     
  • 5.36, Аноним (36), 23:00, 04/06/2020 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Полную спеку на железо дай, тогда и напишут. Без спеки приходится реверсить проприетарные блобы и втыкать в ассемблерные помои и по крупицам собирать инфу о формате общения с железякой месяцами, если не годами.
     
  • 2.23, Аноним (-), 14:18, 04/06/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Пора Qualcomm открыть оставшиеся блобы.

    Типа фирмвари сотового модема, на основе проприетарной RTOS, весом в дохрена мегов, способной шарахаться по всему процессору? Да и что ты с ним делать будешь? Secureboot все-равно измененный вариант забутявить не даст.

     

  • 1.3, Аноним (3), 09:15, 04/06/2020 Скрыто модератором [﹢﹢﹢] [ · · · ]
  • –2 +/
     
     
  • 2.15, Аноним (15), 12:17, 04/06/2020 Скрыто модератором
  • +6 +/
     
     
  • 3.24, Аноним (24), 14:40, 04/06/2020 Скрыто модератором
  • +2 +/
     
  • 2.20, Аноним (20), 13:59, 04/06/2020 Скрыто модератором
  • +2 +/
     

     ....ответы скрыты модератором (3)

  • 1.4, Аноним (4), 09:20, 04/06/2020 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    У меня grafana обновилась сразу до 7.0.3.
     
     
  • 2.9, Аноним (9), 10:02, 04/06/2020 [^] [^^] [^^^] [ответить]  
  • +6 +/
    Это трояны её обновили на свою дырявую версию.
     

  • 1.8, YetAnotherOnanym (ok), 09:59, 04/06/2020 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    > целочисленное переполнение в ICU (International Components for Unicode) для C/C++

    Сдавайтесь, беглецы от C-проблем, мы вас всё равно нашли и догнали!

     
     
  • 2.13, пох. (?), 11:37, 04/06/2020 [^] [^^] [^^^] [ответить]  
  • +/
    >> целочисленное переполнение в ICU (International Components for Unicode) для C/C++
    > Сдавайтесь, беглецы от C-проблем, мы вас всё равно нашли и догнали!

    а RCE (RCE, блжад!) в графане - это тоже "c-проблемы", да?

    Впрочем, на фоне их поебды над phantomJS (теперь в качестве почти обязательного плагина приезжает...приезжает...приезжает ОЙ - хромог с nodejs! Бандленные - так что обновлять их уязвимости ты не можешь) - подумаешь, мелочи.

     
     
  • 3.21, Аноним (20), 14:03, 04/06/2020 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Ну, понимаешь, хипстеры умеют орать о том какие все лохи в безопасноти. Это не подразумевает что они в безопасности не лохи, но вот этот момент профаны с графанами уточнять не любят.
     
  • 2.16, Аноним (-), 12:27, 04/06/2020 [^] [^^] [^^^] [ответить]  
  • +/
    У раста зато "C-проблем" нет. Но не потому, что Раст беспроблемен, а потому, что на нём ничего не написали, чем бы массово пользовались люди.
     
     
  • 3.17, пох. (?), 12:29, 04/06/2020 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Как не написали - вот, мурзила целая! Целых 3% (или уже меньше?) - пользуются.

    Сколько там CVE в очередном ненужном обновлении - десяток, больше?

     
     
  • 4.18, Аноним (-), 12:47, 04/06/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    В лисе раста тоже процента 3 от силы.
     
     
  • 5.30, пох. (?), 20:21, 04/06/2020 [^] [^^] [^^^] [ответить]  
  • +/
    а ты думаешь, cve у нее связаны с html5 адресной строкой и новым, улучшенным js-собирателем телеметрии?

     
  • 3.34, Онаним (?), 21:38, 04/06/2020 [^] [^^] [^^^] [ответить]  
  • +/
    У всех хипстерских язычков, "защищающих программы от ошибок программиста" общая проблема: контингент под них пишет как раз именно тот, от ошибок которого они собрались программы защитить...
     
  • 2.26, Аноним (26), 15:20, 04/06/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Ну да, если написать на <lang-name> то уязвимостей из-за говнокода не будет, конечно.
     
  • 2.29, ann (??), 16:55, 04/06/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Обязательно надо придти и навонять. На твоём православном уже что-то дельное написали? Давай порази, а я пока организую тебе целочисленное переполнение на расте.
     

  • 1.10, Аноним (9), 10:02, 04/06/2020 Скрыто модератором [﹢﹢﹢] [ · · · ]
  • –3 +/
     
     
  • 2.12, Аноним (12), 10:32, 04/06/2020 Скрыто модератором
  • –5 +/
     
     
  • 3.14, пох. (?), 12:11, 04/06/2020 Скрыто модератором
  • +3 +/
     
     
  • 4.32, bergentroll (ok), 20:56, 04/06/2020 Скрыто модератором
  • –1 +/
     
  • 2.27, Аноним (26), 15:22, 04/06/2020 Скрыто модератором
  • +/
     
  • 2.33, Онаним (?), 21:34, 04/06/2020 Скрыто модератором
  • +/
     

     ....ответы скрыты модератором (5)

  • 1.19, семильянова (?), 13:03, 04/06/2020 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    сколько переполнений буфера

    Ритчи со Стауструпом, прямо переполняют друг-друга

     
     
  • 2.37, Аноним (37), 10:02, 05/06/2020 [^] [^^] [^^^] [ответить]  
  • +/
    а rust просто ржавеет в сторонке от переполнения желчью
     

  • 1.22, Аноним (22), 14:15, 04/06/2020 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > в проприетарных компонентах Qualcomm

    То есть один мой старый телефон 2015 года выпуска уже заведомо дырявый так как асус уже года 4 как забил на обновления...

     
  • 1.25, InuYasha (?), 14:59, 04/06/2020 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    >>Четырём проблемам присвоен критический уровень опасности

    Кто в теме - скажите, можно ли поставить новый Android на MTK6735 (изначально был 5.0)?

     
     
  • 2.28, Aller2TeaM (ok), 16:10, 04/06/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Не уверен, но по моему у меня на как раз него был 6-й.
     
  • 2.35, microsoft (?), 22:07, 04/06/2020 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Если 9 или 10 то нет, макчимум 7
     

  • 1.38, Вебмакака (?), 19:19, 06/06/2020 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Си не виноват, что на нем пишут неквалифицированные человеческие программисты. У рептилодов проблем с переполнением в Си нет!
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Спонсоры:
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2020 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру