Zum Inhalt springen
BlogSicherheitLinode Security Digest August 8-12, 2022

Linode Security Digest 8. bis 12. August 2022

Linode Security Digest

In der Zusammenfassung dieser Woche werden wir diskutieren:

  • eine Cross-Site-Scripting-Schwachstelle, die zur Remotecodeausführung in Joplin führen kann;
  • eine Pufferüberlaufschwachstelle in zlib; und
  • mehrere Schwachstellen im NVIDIA GPU-Anzeigetreiber identifiziert.

Joplin Remote Code Execution durch XSS

In Joplin wurde eine Schwachstelle in der Codeausführung über XSS entdeckt, die es Angreifern ermöglichen könnte, beliebige Befehle über eine manipulierte Nutzlast auszuführen, die in die Node-Titel injiziert wird. Joplin ist eine kostenlose, quelloffene, Markdown-basierte Notiz-App, die mit mehreren Betriebssystemen wie Windows, Mac und Linux kompatibel ist. 

Die Schwachstelle rührt daher, dass die gefährliche Methode SetInnerHTML() mit uneingekapselten Benutzereingaben in GotoAnything.tsx verwendet wird. Dadurch kann ein Angreifer Remotecodeausführung auf dem System des Opfers erreichen, indem er einfach ein Notebook mit der anfälligen Nutzlast in Knotentiteln freigibt. Die Nutzlast wird ausgeführt, sobald das Opfer nach dem Notebook sucht.

Der Patch wurde in Joplins Version 2.9.1 veröffentlicht. Joplin Version v2.8.8 und frühere Versionen sind betroffen. Diese als CVE-2022-35131 registrierte Schwachstelle wurde im CVSS-Scoring von NVD mit 9,0 bewertet, da sie sich stark auf die Vertraulichkeit, Integrität und Verfügbarkeit auswirkt. Ein erfolgreicher Angriff erfordert, dass jeder authentifizierte Benutzer nach dem verwundbaren Notebook sucht.

Wir empfehlen Ihnen, Joplin so bald wie möglich auf die neueste Version zu aktualisieren, insbesondere wenn Sie gemeinsam genutzte Notebooks erhalten.

Zlib Heap-basierte Pufferüberlauf-Schwachstelle

Eine Heap-basierte Pufferüberlaufschwachstelle wurde in zlib, einer beliebten Allzweckbibliothek für die Datenkompression, entdeckt. Die Sicherheitslücke wurde als CVE-2022-37434 registriert und betrifft alle Versionen unter 1.2.12.

Die Ausnutzung der Schwachstelle ist aufgrund des Heap-basierten Pufferüberlaufs oder Pufferüberlaufs in inflate.c durch ein großes Gzip-Header-Extrafeld möglich. Laut dem Pull-Request-Kommentar, den die Entwickler erstellt haben, könnte es zu einem Pufferüberlauf des zur Verfügung gestellten Platzes kommen, wenn das Extrafeld größer als der vom Benutzer mit inflateGetHeader() zur Verfügung gestellte Platz ist und wenn mehrere Aufrufe von inflate() die zusätzlichen Header-Daten liefern. Diese Sicherheitslücke betrifft nur Anwendungen, die die Methode inflateGetHeader() verwenden. 

Mehrere Sicherheitslücken in NVIDIA GPU Display-Treibern entdeckt

NVIDIAeiner der bekanntesten Hersteller von Grafikprozessoren, hat einen Sicherheitshinweis für mehrere Schwachstellen veröffentlicht, die in seinem Grafikprozessor-Anzeigetreiber für Windows- und Linux-Plattformen entdeckt wurden. Diese Schwachstellen können ausgenutzt werden, um verschiedene Arten von Angriffen auszuführen, wie z. B. Denial-of-Service, Offenlegung von Informationen, Privilegienerweiterung, Codeausführung oder Datenmanipulation. 

Eine der schwerwiegenden Sicherheitslücken, CVE-2022-31607, betrifft die Kernel-Mode-Schicht (nvidia.ko), bei der ein lokaler Benutzer mit grundlegenden Fähigkeiten eine unsachgemäße Eingabevalidierung verursachen kann, die zu mehreren Ausnutzungspfaden führt, so NVIDIA' security advisory. Diese Sicherheitslücke betrifft Linux und hat einen CVSS-Score von 7.8 mit einer hohen Bewertung für Vertraulichkeit, Integrität und Verfügbarkeit. 

CVE-2022-31608 beschreibt eine Sicherheitslücke in einer optionalen D-Bus-Konfigurationsdatei, die zur Codeausführung führen kann. Die Sicherheitslücke könnte von einem lokalen Benutzer mit grundlegenden Fähigkeiten ausgenutzt werden. Die meisten der im Sicherheitshinweis von NVIDIAerwähnten CVEs erfordern lokale Rechte auf dem System des Opfers, um erfolgreich ausgenutzt werden zu können. 

Sie können diesen Leitfaden von NVIDIA verwenden, um herauszufinden, welcher NVIDIA Anzeigetreiber derzeit auf Ihrem PC installiert ist.


Kommentare (2)

  1. Author Photo

    The link for this Joplin(https://joplin.org/) is wrong it should be https://joplinapp.org/

Kommentar abgeben

Ihre E-Mail Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit *gekennzeichnet