In der Zusammenfassung dieser Woche werden wir diskutieren:
- Eine Sicherheitslücke in dem weit verbreiteten BackupBuddy WordPress Backup Plugin
- Apple iOS- und macOS-Updates zur Behebung einer Zero-Day-Schwachstelle, die in freier Wildbahn ausgenutzt wird
- Performance-Tests von VMWare zur Verringerung der spekulativen Ausführung von Retbleed
- Eine Reihe von Kubernetes/Rancher-bezogenen Sicherheitslücken
BackupBuddy - CVE-2022-31474
Die Entwickler von iThemes haben eine Schwachstelle in ihrem BackupBuddy-Plugin in den Versionen 8.5.8.0 bis 8.7.4.1 entdeckt. Die Sicherheitslücke mit der Bezeichnung CVE-2022-31474 ermöglicht es einem Angreifer, die im Plugin verfügbare Option "Local Directory Copy" zu missbrauchen, um Backups aller Dateien zu erstellen, auf die WordPress Zugriff hat. Bei Installationen ohne entsprechende Berechtigungen kann dies bedeuten, dass das gesamte Dateisystem von böswilligen Akteuren heruntergeladen werden kann.
Es gibt zwei verschiedene Fehler, die diese Schwachstelle ermöglichten. Die erste besteht darin, dass die für das Herunterladen lokaler Backups vorgesehene Funktion nicht angemessen überprüft wurde, so dass sie von jeder administrativen Seite aus aufgerufen werden konnte, auch von Seiten, auf die nicht authentifizierte Benutzer Zugriff hatten. Zweitens wurde der Zielpfad für das Backup nicht überprüft, so dass Benutzer beliebige Dateien, auf die WordPress Zugriff hatte, zum Herunterladen angeben konnten.
iThemes empfiehlt, Ihr Plugin sofort auf Version 8.7.5 oder höher zu aktualisieren und die Zugriffslogs Ihres Servers auf Strings zu überprüfen, die local-destination-id und /etc/passwd oder wp-config.php mit einer HTTP 2xx Antwort enthalten.
Apple iOS und macOS Updates
Apple hat einen Patch für eine aktiv ausgenutzte Zero-Day-Schwachstelle veröffentlicht, die es böswilligen Akteuren ermöglicht, beliebigen Code mit Kernel-Rechten auf Geräten mit macOS Big Sur 11.7, macOS Monterey 12.6, iOS 16, iOS 15.7 und iPadOS 15.7 auszuführen. Die von einem anonymen Hacker entdeckte Sicherheitslücke CVE-2022-32917 ist vermutlich der achte Zero-Day-Patch, den Apple in diesem Jahr veröffentlicht.
Details über die spezifische Sicherheitslücke sind spärlich, aber wir empfehlen, die Richtlinien von Apple zu befolgen und Ihre Geräte sofort zu aktualisieren.
Retbleed-Korrektur kann die Leistung von Linux-VMs um 70% verlangsamen
Retbleed ist ein spekulativer Ausführungsfehler im Zusammenhang mit Spectre, der einige Intel- und AMD-Chips betrifft und es einem Angreifer ermöglichen kann, private Daten aus dem Speicherbereich eines Programms zu erhalten.
Manikandan Jagatheesan vom Performance-Engineering-Team von VMWare hat letzte Woche wertvolle Informationen zu Leistungstests an die Linux-Kernel-Mailingliste geschickt.
Die Ergebnisse von Manikandan zeigen dramatische Leistungsrückgänge bei Linux-VMs unter ESXi:
- Berechnen (bis zu -70%)
- Vernetzung (bis zu -30%)
- Lagerung (bis zu -13%)
Linux-Kernel 15.9 enthält eine Reihe von Funktionsaktualisierungen. Manikandans Untersuchungen zeigen jedoch, dass die Auswirkungen auf die Leistung direkt auf diesen speziellen Commit zurückgeführt werden können, der sich auf das Patchen von Retbleed bezieht.
Obwohl Linode-Server jetzt standardmäßig einen Upstream-Kernel verwenden, haben wir den Fix für Retbleed in unseren 5.19 Custom-Kernel für Kunden aufgenommen.
K8S - Rancher & Helm Schwachstellen
CVE-2022-31247 - Diese Rancher Privilegien Eskalation Schwachstelle betrifft Versionen bis einschließlich 2.5.15 und 2.6.6. Die Ausnutzung ermöglicht es einem Angreifer, Eigentümerrechte für andere Projekte innerhalb seines Clusters oder eines anderen Projekts in einem nachgelagerten Cluster zu erlangen.
CVE-2021-36783 - Rancher Versionen bis einschließlich 2.5.12 und 2.6.3 enthalten eine Offenlegung von Informationen Fehler, der Klartext Offenlegung von sensiblen Informationen durch unsachgemäße Vorlage Antwort Sanitization ermöglicht.
CVE-2022-36049 - Dieser Fehler im Helm SDK betrifft flux2 v0.0.17 bis v0.32.0 und helm-controller v0.0.4 bis v0.23.0. Diese Dienste sind anfällig für einen Denial-of-Service-Angriff aufgrund von Ressourcenmangel durch einen Fehler in der Eingabevalidierung, der dazu führen kann, dass dem Host-Gerät der Speicher ausgeht.
Kommentare