En el resumen de esta semana, hablaremos de:
- un comunicado de seguridad de Grafana ;
- Desbordamiento de enteros en VLC; y
- una vulnerabilidad de condición de carrera de Snapd.
Grafana Liberación de seguridad
Escalada de privilegios: Acceso no autorizado a puntos finales arbitrarios
CVE-2022-39328 es una condición de carrera en Grafana codebase, que permite a un usuario no autenticado consultar un punto final arbitrario en Grafana. Una condición de carrera en la creación del contexto HTTP podría hacer que a una petición HTTP se le asignaran los middlewares de autenticación/autorización de otra llamada. Bajo carga pesada, es posible que una llamada protegida por un middleware privilegiado reciba el middleware de una consulta pública en su lugar. Como resultado, un usuario no autenticado puede realizar con éxito una consulta a puntos finales protegidos con intenciones maliciosas.
Todas las instalaciones para Grafana versiones >=9.2.x están afectadas. Para solucionar completamente CVE-2022-39328, Grafana recomienda actualizar sus instancias.
Escalada de privilegios: Los nombres de usuario y las direcciones de correo electrónico no son de confianza.
Grafana Los administradores pueden invitar a otros miembros a la organización de la que son administradores. Cuando los administradores añaden miembros a la organización, los usuarios no existentes reciben una invitación por correo electrónico, mientras que los miembros existentes se añaden directamente a la organización. Cuando se envía un enlace de invitación, permite a cualquier persona con acceso al enlace registrarse con cualquier nombre de usuario/dirección de correo electrónico que el usuario elija y convertirse en miembro de la organización. La puntuación CVSS para CVE-2022-39306 es 6,4 Moderado.
All installations for Grafana versions <=9.x, <8.x are impacted. To fully address CVE-2022-39306, Grafana recommends upgrading your instances.
Enumeración de nombres de usuario
Cuando se utiliza la función de olvido de contraseña en la página de inicio de sesión, se realiza una solicitud POST a la URL /api/user/password/sent-reset-email. Cuando el nombre de usuario o el correo electrónico no existen, una respuesta JSON contiene un mensaje de "usuario no encontrado", que puede ser aprovechado por usuarios no autenticados para revelar información sobre los extremos afectados.
The CVSS score for CVE-2022-39307 is 5.3 Moderate. All installations for Grafana versions <=9.x, <8.x are impacted. To fully address this vulnerability, Grafana recommends upgrading your instances.
Desbordamiento de enteros en VLC
VLC media player (anteriormente VideoLAN Client y comúnmente conocido como simplemente VLC) es un software de reproducción multimedia y servidor de streaming multimedia gratuito y de código abierto, portátil y multiplataforma desarrollado por el proyecto VideoLAN. CVE-2022-41325 reside en el módulo VNC. VLC puede mostrar un flujo de vídeo VNC utilizando su URI: vlc vnc://dirección_ip_del_servidor:puerto/
Si un atacante tiene control sobre un servidor VNC, puede engañar a VLC para que asigne un búfer de memoria más corto de lo esperado. El atacante tiene entonces una poderosa primitiva relativa de "escribir-lo-que-donde". Pueden bloquear VLC, o ejecutar código arbitrario bajo ciertas condiciones. Aunque el soporte de VNC se proporciona a través de una librería de terceros (LibVNCClient), el código afectado se encuentra en el propio VLC.
Las versiones 3.0.17.4 y anteriores están afectadas. El equipo de VLC ha corregido la vulnerabilidad con el commit aquí.
Vulnerabilidad de condición de carrera de Snapd
El programa snap-confine es utilizado internamente por snapd para construir el entorno de ejecución de las aplicaciones snap, que son paquetes de software en contenedores. CVE-2022-3328 describe una vulnerabilidad de condición de carrera en la función must_mkdir_and_open_with_perms() en snap-confine, que se instala como un programa SUID-root por defecto en Ubuntu. Esto se introdujo como parte de la corrección de CVE-2021-44731.
Un atacante con privilegios de usuario normales puede utilizar la vulnerabilidad de escalada de privilegios multipath(CVE-2022-41974) y la vulnerabilidad de enlace simbólico multipath, vincular el directorio /tmp a cualquier directorio del sistema de archivos y promover los permisos de usuario normales a permisos ROOT.
Las versiones de snapd afectadas son 2.54.3 - 2.57.6. Por el momento, se ha publicado la versión de seguridad oficial para solucionar esta vulnerabilidad. Se recomienda que los usuarios afectados actualicen a una versión más reciente.
Comentarios