Уязвимости в Sun Web Server, yaSSL, MySQL, RealPlayer, libthai и IRC-серверах

29.01.2010 16:37

Несколько новых уязвимостей:

В Sun Java System Web Server найдено три уязвимости, дающие возможность злоумышленнику выполнить свой код на сервере, а также получить доступ к служебным файлом с возможностью их модификации;
В коде библиотеки yaSSL обнаружена критическая уязвимость, позволяющая злоумышленнику выполнить свой код в приложении, использующем yaSSL, в момент обработки специальным образом оформленного SSL-сертификата. Подтверждена подверженность MySQL данной уязвимости, при его сборке с yaSSL и активации поддержки SSL-шифрования для соединений с СУБД. Причем для MySQL уже выпущен эксплоит. Проблема исправлена в версии yaSSL 1.9.9.
В библиотеке libthai с реализацией языка Thai найдена уязвимость, позволяющая организовать выполнение кода при обработке функциями библиотеки слишком длинных строк. Проблема устранена в версии libthai 1.1.3.
В мультимедиа проигрывателях Helix Player и RealPlayer, включая версии под Linux, найдено 11 уязвимостей, некоторые из которых позволяют выполнить код злоумышленника при проигрывании специальным образом скомпонованного мультимедиа файла или GIF изорбажения;
В нескольких IRC серверах, среди которых Hybrid2, oftc-hybrid, ircd-hybrid и ircd-ratbox, найдены уязвимости, позволяющие вызвать DoS атаку или выполнить код на сервере через передачу некорректных аргументов в команде "LINKS";

исправить +/–

Лицензия: CC BY 3.0

Короткая ссылка: https://opennet.ru/25214-irc

Ключевые слова: irc, realplayer, yaSSL, MySQL, security

При перепечатке указание ссылки на opennet.ru обязательно

Обсуждение (10)

1.1, аноним (?), 18:22, 29/01/2010 [ответить] [﹢﹢﹢] [ · · · ] [↓] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+/–
> реализацией языка Thai Тайского языка. Слава богу, эта библиотека почти нигде не используется.

2.2, sHaggY_caT (ok), 18:35, 29/01/2010 [^] [^^] [^^^] [ответить] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+/–
А в Тайланде :(?

1.4, Хоменко (ok), 21:08, 29/01/2010 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+/–
О! RealPlayer жив!

2.7, Zenitur (?), 01:02, 30/01/2010 [^] [^^] [^^^] [ответить] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+/–
А что с ним сделается? Не просто жив, но и внедрился в мой новый мобильник без возможности удаления. А вот зачем там GIF - не знаю.

1.5, User294 (ok), 22:40, 29/01/2010 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+/–
Во дерьма! Кстати приветы жабистам вопившим про безопасность явы.

2.8, Zenitur (?), 01:05, 30/01/2010 [^] [^^] [^^^] [ответить] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+/–
>Во дерьма! Кстати приветы жабистам вопившим про безопасность явы. Так не ява, а ява веб сервер. Остались бы у них деньги, они бы после открытия исходного кода Java их давали за найденные баги как Google сейчас. Кстати, теперь это будет называться Oracle Web Server?

3.10, минона (?), 09:03, 30/01/2010 [^] [^^] [^^^] [ответить] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+/–
написан то на яве? >Кстати, теперь это будет называться Oracle Web Server? у них уже есть с таким именем. и с добавкой powered by Apache.

4.11, Zenitur (?), 11:13, 31/01/2010 [^] [^^] [^^^] [ответить] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+/–
>Написан то на яве? А ошибки в яве нашли?

5.12, минона (?), 14:14, 31/01/2010 [^] [^^] [^^^] [ответить] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+/–
в данном случае - не знаю, не смотрел. но различные vulnerability в яве читаю регулярно. в любом случае даже это доказывает, что можно писать дырявые программы и на яве.

1.6, User294 (ok), 22:42, 29/01/2010 [ответить] [﹢﹢﹢] [ · · · ] [↑] [п╨ п╪п╬п╢п╣я─п╟я┌п╬я─я┐]	+/–
p.s. кто там хостинги хотел валить - а что, этот yassl так уж часто используется?Вроде довольно экзотичная либа. Чаще GnuTLS или OpenSSL вроде для SSL юзают, так, чисто по наблюдениям :)

игнорирование участников | лог модерирования

Добавить комментарий

Имя:

E-Mail:

Текст: