Опасные уязвимости в QEMU, Node.js, Grafana и Android

04.06.2020 08:43

Несколько недавно выявленных уязвимостей:

Уязвимость (CVE-2020-13765) в QEMU, которая потенциально может привести к выполнению кода с правами процесса QEMU на стороне хост-системы при загрузке в гостевой системе специально оформленного образа ядра. Проблема вызвана переполнением буфера в коде копирования содержимого ПЗУ на этапе загрузки системы и проявляется при загрузке содержимого 32-разрядного образа ядра в память. Исправление пока доступно только в форме патча.
Четыре уязвимости в Node.js. Уязвимости устранены в выпусках 14.4.0, 10.21.0 и 12.18.0.
- CVE-2020-8172 - позволяет обойти проверку сертификата хоста при повторном использовании TLS-сеанса.
- CVE-2020-8174 - потенциально позволяет добиться выполнения кода в системе из-за переполнения буфера в функциях napi_get_value_string_*(), возникающего при определённых обращениях к N-API (Си API для написания нативных дополнений).
- CVE-2020-10531 - целочисленное переполнение в ICU (International Components for Unicode) для C/C++, которое может привести к переполнению буфера при использовании функции UnicodeString::doAppend().
- CVE-2020-11080 - позволяет осуществить отказ в обслуживании (100% нагрузка на CPU) через передачу больших кадров "SETTINGS" при подключении по HTTP/2.
Уязвимость в платформе интерактивной визуализации метрик Grafana, применяемой для построения графиков наглядного мониторинга на основе различных источников данных. Ошибка в коде работы с аватарами позволяет без прохождения аутентификации инициировать отправку HTTP-запроса со стороны Grafana на любой URL и посмотреть результат этого запроса. Указанная особенность может применяться, например, для изучения внутренней сети компаний, использующих Grafana. Проблема устранена в выпусках Grafana 6.7.4 и 7.0.2. В качестве обходного пути защиты рекомендуется ограничить доступ к URL "/avatar/*" на сервере с Grafana.
Опубликован июньский набор исправлений проблем с безопасностью для Android, в котором устранены 34 уязвимости. Четырём проблемам присвоен критический уровень опасности: две уязвимости (CVE-2019-14073, CVE-2019-14080) в проприетарных компонентах Qualcomm) и две уязвимости в системе, позволяющие выполнить код при обработке специально оформленных внешних данных (CVE-2020-0117 - целочисленное переполнение в Bluetooth-стеке, CVE-2020-8597 - переполнение EAP в pppd).

исправить +11 +/–

Лицензия: CC BY 3.0

Короткая ссылка: https://opennet.ru/53085-qemu

Ключевые слова: qemu, node.js, grafana, android, security

При перепечатке указание ссылки на opennet.ru обязательно

Обсуждение (35)

1.2, Аноним (2), 09:04, 04/06/2020 [ответить] [﹢﹢﹢] [ · · · ]	+7 +/–
> CVE-2019-14073, CVE-2019-14080 в проприетарных компонентах Qualcomm Какой позор! Пора Qualcomm открыть оставшиеся блобы.

2.5, kjjhg (?), 09:27, 04/06/2020 [^] [^^] [^^^] [ответить]	–1 +/–
Находить уязвимости позор?

3.11, Аноним (11), 10:05, 04/06/2020 [^] [^^] [^^^] [ответить]	+17 +/–
Наличие проприетарный прошивки (вместо свободной), да еще с уязвимостями - позор производителю.

4.31, gjgu (?), 20:23, 04/06/2020 [^] [^^] [^^^] [ответить]	+/–
Напиши свободную, кто мешает? Так вы любите говорить?

5.36, Аноним (36), 23:00, 04/06/2020 [^] [^^] [^^^] [ответить]	+4 +/–
Полную спеку на железо дай, тогда и напишут. Без спеки приходится реверсить проприетарные блобы и втыкать в ассемблерные помои и по крупицам собирать инфу о формате общения с железякой месяцами, если не годами.

2.23, Аноним (-), 14:18, 04/06/2020 [^] [^^] [^^^] [ответить]	+1 +/–
> Пора Qualcomm открыть оставшиеся блобы. Типа фирмвари сотового модема, на основе проприетарной RTOS, весом в дохрена мегов, способной шарахаться по всему процессору? Да и что ты с ним делать будешь? Secureboot все-равно измененный вариант забутявить не даст.

1.3, Аноним (3), 09:15, 04/06/2020 Скрыто ботом-модератором [﹢﹢﹢] [ · · · ] [к модератору]	–2 +/–

2.15, Аноним (15), 12:17, 04/06/2020 Скрыто ботом-модератором [к модератору]	+6 +/–

3.24, Аноним (24), 14:40, 04/06/2020 Скрыто ботом-модератором [к модератору]	+2 +/–

2.20, Аноним (20), 13:59, 04/06/2020 Скрыто ботом-модератором [к модератору]	+2 +/–

....ответы скрыты (3)

1.4, Аноним (4), 09:20, 04/06/2020 [ответить] [﹢﹢﹢] [ · · · ]	–1 +/–
У меня grafana обновилась сразу до 7.0.3.

2.9, Аноним (9), 10:02, 04/06/2020 [^] [^^] [^^^] [ответить]	+6 +/–
Это трояны её обновили на свою дырявую версию.

1.8, YetAnotherOnanym (ok), 09:59, 04/06/2020 [ответить] [﹢﹢﹢] [ · · · ]	+1 +/–
> целочисленное переполнение в ICU (International Components for Unicode) для C/C++ Сдавайтесь, беглецы от C-проблем, мы вас всё равно нашли и догнали!

2.13, пох. (?), 11:37, 04/06/2020 [^] [^^] [^^^] [ответить]

+/–

>> целочисленное переполнение в ICU (International Components for Unicode) для C/C++
> Сдавайтесь, беглецы от C-проблем, мы вас всё равно нашли и догнали!

а RCE (RCE, блжад!) в графане - это тоже "c-проблемы", да?

Впрочем, на фоне их поебды над phantomJS (теперь в качестве почти обязательного плагина приезжает...приезжает...приезжает ОЙ - хромог с nodejs! Бандленные - так что обновлять их уязвимости ты не можешь) - подумаешь, мелочи.

3.21, Аноним (20), 14:03, 04/06/2020 [^] [^^] [^^^] [ответить]	+4 +/–
Ну, понимаешь, хипстеры умеют орать о том какие все лохи в безопасноти. Это не подразумевает что они в безопасности не лохи, но вот этот момент профаны с графанами уточнять не любят.

2.16, Аноним (-), 12:27, 04/06/2020 [^] [^^] [^^^] [ответить]	+/–
У раста зато "C-проблем" нет. Но не потому, что Раст беспроблемен, а потому, что на нём ничего не написали, чем бы массово пользовались люди.

3.17, пох. (?), 12:29, 04/06/2020 [^] [^^] [^^^] [ответить]

–2 +/–

Как не написали - вот, мурзила целая! Целых 3% (или уже меньше?) - пользуются.

Сколько там CVE в очередном ненужном обновлении - десяток, больше?

4.18, Аноним (-), 12:47, 04/06/2020 [^] [^^] [^^^] [ответить]	+1 +/–
В лисе раста тоже процента 3 от силы.

5.30, пох. (?), 20:21, 04/06/2020 [^] [^^] [^^^] [ответить]	+/–
а ты думаешь, cve у нее связаны с html5 адресной строкой и новым, улучшенным js-собирателем телеметрии?

3.34, Онаним (?), 21:38, 04/06/2020 [^] [^^] [^^^] [ответить]	+/–
У всех хипстерских язычков, "защищающих программы от ошибок программиста" общая проблема: контингент под них пишет как раз именно тот, от ошибок которого они собрались программы защитить...

2.26, Аноним (26), 15:20, 04/06/2020 [^] [^^] [^^^] [ответить]	+/–
Ну да, если написать на <lang-name> то уязвимостей из-за говнокода не будет, конечно.

2.29, ann (??), 16:55, 04/06/2020 [^] [^^] [^^^] [ответить]	+/–
Обязательно надо придти и навонять. На твоём православном уже что-то дельное написали? Давай порази, а я пока организую тебе целочисленное переполнение на расте.

1.10, Аноним (9), 10:02, 04/06/2020 Скрыто ботом-модератором [﹢﹢﹢] [ · · · ] [к модератору]	–3 +/–

2.12, Аноним (12), 10:32, 04/06/2020 Скрыто ботом-модератором [к модератору]	–5 +/–

3.14, пох. (?), 12:11, 04/06/2020 Скрыто ботом-модератором [к модератору]	+3 +/–

4.32, bergentroll (ok), 20:56, 04/06/2020 Скрыто ботом-модератором [к модератору]	–1 +/–

2.27, Аноним (26), 15:22, 04/06/2020 Скрыто ботом-модератором [к модератору]	+/–

2.33, Онаним (?), 21:34, 04/06/2020 Скрыто ботом-модератором [к модератору]	+/–

....ответы скрыты (5)

1.19, семильянова (?), 13:03, 04/06/2020 [ответить] [﹢﹢﹢] [ · · · ]	+/–
сколько переполнений буфера Ритчи со Стауструпом, прямо переполняют друг-друга

2.37, Аноним (37), 10:02, 05/06/2020 [^] [^^] [^^^] [ответить]	+/–
а rust просто ржавеет в сторонке от переполнения желчью

1.22, Аноним (22), 14:15, 04/06/2020 [ответить] [﹢﹢﹢] [ · · · ]	+/–
> в проприетарных компонентах Qualcomm То есть один мой старый телефон 2015 года выпуска уже заведомо дырявый так как асус уже года 4 как забил на обновления...

1.25, InuYasha (?), 14:59, 04/06/2020 [ответить] [﹢﹢﹢] [ · · · ]	–1 +/–
>>Четырём проблемам присвоен критический уровень опасности Кто в теме - скажите, можно ли поставить новый Android на MTK6735 (изначально был 5.0)?

2.28, Aller2TeaM (ok), 16:10, 04/06/2020 [^] [^^] [^^^] [ответить]	+/–
Не уверен, но по моему у меня на как раз него был 6-й.

2.35, microsoft (?), 22:07, 04/06/2020 [^] [^^] [^^^] [ответить]	–1 +/–
Если 9 или 10 то нет, макчимум 7

1.38, Вебмакака (?), 19:19, 06/06/2020 [ответить] [﹢﹢﹢] [ · · · ]	+/–
Си не виноват, что на нем пишут неквалифицированные человеческие программисты. У рептилодов проблем с переполнением в Си нет!

игнорирование участников | лог модерирования

Добавить комментарий

Текст: