 |
Адрес в интернете: https://news.hostdb.ru/index/show/id/7548 |
Уязвимости в libupnp, Nagios, FreeBSD ftpd, glibc, VLC, Wireshark и libvirt
Несколько недавно обнаруженных уязвимостей:
В библиотеках libupnp4 и libupnp, представляющих свободную реализацию протокола UPnP, выявлено 8 уязвимостей, в том числе позволяющих организовать удалённое выполнение кода через эксплуатацию использующего libupnp серверного приложения. Уязвимость может быть эксплуатирована путем отправки специально оформленных SSDP-запросов. Проблемы устранены в выпуске libupnp 1.6.18.
В системе мониторинга Nagios XI выявлена порция уязвимостей, среди которых присутствует проблема, позволяющая удалённо выполнить с правами root код на сервере путём отправки специально оформленных параметров в административном интерфейсе, в том числе при наличии доступа в web-интерфейс в режиме только для чтения. Проблема исправлена в выпуске 2012R1.5.
В штатном FTP-сервере ftpd из состава FreeBSD 9.1 найдена проблема, позволяющая удалённо инициировать отказ в обслуживании через подстановку в качестве аргумента команды stat специально оформленной маски. Выполнение запроса приводит к чрезмерной нагрузке на CPU. Сообщается, что проблема вызвана особенностью реализации функции glob в BSD libc и также проявляется варианте данной функции из состава Glibc. В NetBSD и OpenBSD проблема была исправлена в 2011 году.
В Glibc найдена проблема безопасности, проявляющаяся в форме краха при обработке регулярными выражениями специально оформленных многобайтовых последовательностей в функции re_search. Например, атакующий может добиться краха sed и других приложений, использующих функцию re_search. Исправление пока доступно только в виде патча.
В медиаплеере VLC найдена уязвимость, позволяющая организовать выполнение кода при воспроизведении специально подготовленных ASF-файлов. Проблема устранена в репозитории проекта. В скором времени ожидается выпуск VLC 2.0.6 с устранением уязвимости.
В сетевом анализаторе Wireshark 1.8.5 и 1.6.13 устранено около десятка уязвимостей, в том числе две проблемы, позволяющие организовать выполнение кода при разборе трафика NTLMSSP и DCP-ETSI.
В библиотеке libvirt выявлена уязвимость, позволяющая организовать выполнение кода при отправке специально оформленных запросов. Проблема устранена в Git-репозитории проекта.
Распечатано с HostDB.ru.