Linode Security Digest 24-31 juillet 2022

Cette semaine, nous aborderons les vulnérabilités OpenJDK récemment découvertes, une vulnérabilité de débordement de tas dans Redis et une exécution de code PHP arbitraire dans Drupal core.

Vulnérabilités d'OpenJDK

OpenJDK a publié la semaine dernière un avis de sécurité contenant quatre vulnérabilités. 

CVE-2022-21541 est une vulnérabilité difficile à exploiter dans le composant hotspot/runtime qui permet à des attaquants non authentifiés disposant d'un accès réseau via plusieurs protocoles de compromettre Java, ce qui pourrait entraîner la création, la suppression ou la modification non autorisée de données critiques ou de toutes les données accessibles par Openjdk. 

CVE-2022-21540 existe dans le composant hotspot/compiler et est une faille facilement exploitable qui permet à des attaquants non authentifiés ayant un accès réseau via plusieurs protocoles d'avoir un accès en lecture non autorisé à un sous-ensemble de données accessibles par openjdk. Cette faille n'a qu'un faible impact sur la confidentialité des données.

CVE-2022-21549 dans le composant core-libs/java.util peut entraîner des mises à jour, des insertions ou des suppressions non autorisées de certaines données accessibles par openjdk.

Remarque : ces trois vulnérabilités s'appliquent aux déploiements Java - généralement dans des clients exécutant des applications Java Web Start ou des applets Java en bac à sable - qui chargent et exécutent du code non fiable (par exemple, du code provenant d'Internet) et s'appuient sur le bac à sable Java pour assurer la sécurité. Ces vulnérabilités peuvent également être exploitées en utilisant les API dans le composant spécifié, par exemple par l'intermédiaire d'un service web qui fournit des données aux API. 

CVE-2022-34169 est un problème de troncature d'entier dans la bibliothèque Java XSLT de Apache Xalan. Ce problème peut être utilisé pour corrompre les fichiers de classe Java générés par le compilateur interne XSLTC et exécuter du bytecode Java arbitraire.

Dépassement de capacité dans Redis

Redis est souvent considéré comme un serveur de structures de données. Cela signifie que Redis permet d'accéder à des structures de données mutables via un ensemble de commandes, qui sont envoyées à l'aide d'un modèle serveur-client avec des sockets TCP et un protocole simple. Ainsi, différents processus peuvent interroger et modifier les mêmes structures de données de manière partagée.

Il existe une condition de débordement de tas qui peut être déclenchée par une écriture hors limites à travers un fichier spécialement conçu. XAUTOCLAIM sur une clé de flux dans un état spécifique et potentiellement conduire à l'exécution de code à distance. CVE-2022-31144 affecte les versions 7.0.0 ou plus récentes de Redis. Le problème est corrigé dans la version 7.0.4 de Redis.

Drupal Core - Vulnérabilité d'exécution de code PHP arbitraire

Drupal a publié quatre avis décrivant quatre types de vulnérabilités. L'une d'entre elles a été classée "critique" et les trois autres "modérément critiques". La vulnérabilité "critique", répertoriée sous le nom de CVE-2022-25277, affecte Drupal 9.3 et 9.4. Le problème concerne le noyau de Drupal et peut conduire à l'exécution arbitraire de code PHP sur les serveurs web Apache en téléchargeant des fichiers spécialement conçus.

Les trois autres sont modérément critiques selon Drupal.

CVE-2022-25276 peut entraîner des scripts intersites, des fuites de cookies ou d'autres vulnérabilités car la route iframe Media oEmbed ne valide pas correctement le paramètre de domaine iframe, ce qui permet aux embeds d'être affichés dans le contexte du domaine principal.

Dans certaines circonstances, le formulaire Drupal core API évalue l'accès aux éléments du formulaire de manière incorrecte. La CVE-2022-25278 peut permettre à un utilisateur de modifier des données auxquelles il ne devrait pas avoir accès.

CVE-2022-25275 survient dans certaines situations lorsque le module Image ne vérifie pas correctement l'accès aux fichiers images non stockés dans le répertoire standard des fichiers publics lors de la génération d'images dérivées à l'aide du système de styles d'images.

Mise à jour vers Drupal 9.4.3 ou 9.3.19 afin d'appliquer les correctifs pour ces vulnérabilités. Note : Toutes les versions de Drupal 9 antérieures à la 9.3.x sont en fin de vie et ne bénéficient pas de couverture de sécurité, et Drupal 8 a atteint sa fin de vie. Le noyau de Drupal 7 n'est pas concerné.