이번 주 다이제스트에서 우리는 다음에 대해 논의 할 것입니다 :
- Grafana 보안 릴리스;
- VLC의 정수 오버플로; 그리고
- Snapd 경쟁 조건 취약점.
Grafana 보안 릴리스
권한 에스컬레이션: 임의의 엔드포인트에 대한 무단 액세스
CVE-2022-39328은 Grafana 코드베이스의 경쟁 조건으로, 인증되지 않은 사용자가 Grafana 에서 임의의 엔드포인트를 쿼리할 수 있게 해줍니다. HTTP 컨텍스트 생성의 경쟁 조건으로 인해 HTTP 요청에 다른 호출의 인증/권한 부여 미들웨어가 할당될 수 있습니다. 부하가 많은 경우 권한 있는 미들웨어로 보호되는 호출이 공개 쿼리의 미들웨어를 대신 수신할 수 있습니다. 그 결과 인증되지 않은 사용자가 악의적인 의도를 가지고 보호된 엔드포인트를 성공적으로 쿼리할 수 있습니다.
Grafana 버전 >=9.2.x의 모든 설치가 영향을 받습니다. CVE-2022-39328을 완전히 해결하려면 Grafana 에서 인스턴스 업그레이드를 권장합니다.
권한 에스컬레이션: 사용자 이름/이메일 주소를 신뢰할 수 없음
Grafana 관리자는 자신이 관리자로 있는 조직에 다른 구성원을 초대할 수 있습니다. 관리자가 조직에 회원을 추가하면 기존 회원이 조직에 직접 추가되는 동안 기존 회원이 아닌 사용자에게는 이메일 초대가 전송됩니다. 초대 링크가 전송되면 링크에 액세스할 수 있는 사람은 누구나 사용자가 선택한 사용자 이름/이메일 주소로 가입하여 조직의 구성원이 될 수 있습니다. CVE-2022-39306의 CVSS 점수는 6.4 보통입니다.
All installations for Grafana versions <=9.x, <8.x are impacted. To fully address CVE-2022-39306, Grafana recommends upgrading your instances.
사용자 이름 열거
로그인 페이지에서 비밀번호 찾기 기능을 사용할 경우 /api /user/password/sent-reset-email URL로 POST 요청이 이루어집니다. 사용자 이름이나 이메일이 존재하지 않는 경우 JSON 응답에 "사용자를 찾을 수 없음" 메시지가 포함되며, 인증되지 않은 사용자가 이를 활용하여 영향을 받은 엔드포인트의 정보를 공개할 수 있습니다.
The CVSS score for CVE-2022-39307 is 5.3 Moderate. All installations for Grafana versions <=9.x, <8.x are impacted. To fully address this vulnerability, Grafana recommends upgrading your instances.
VLC의 정수 오버플로
VLC 미디어 플레이어(이전에는 VideoLAN 클라이언트, 일반적으로 간단히 VLC라고 함)는 VideoLAN 프로젝트에서 개발한 무료 오픈 소스 휴대용 크로스 플랫폼 미디어 플레이어 소프트웨어 및 스트리밍 미디어 서버입니다. CVE-2022-41325는 VNC 모듈에 있습니다. VLC는 URI를 사용하여 VNC 비디오 스트림을 표시할 수 있습니다( vlc vnc://ip_address_of_server:port/).
공격자가 VNC 서버를 제어할 수 있는 경우, VLC를 속여 메모리 버퍼를 예상보다 짧게 할당할 수 있습니다. 그러면 공격자는 강력한 상대적 "어디에 쓰기" 프리미티브를 갖게 됩니다. 공격자는 특정 조건에서 VLC를 충돌시키거나 임의의 코드를 실행할 수 있습니다. VNC 지원은 타사 라이브러리(LibVNCClient)를 통해 제공되지만, 영향을 받는 코드는 VLC 자체에 있습니다.
버전 3.0.17.4 이하가 영향을 받습니다. VLC 팀은 여기에서 커밋을 통해 취약점을 수정했습니다.
스냅드 경쟁 조건 취약점
스냅-컨파인 프로그램은 컨테이너화된 소프트웨어 패키지인 스냅 애플리케이션의 실행 환경을 구성하기 위해 스냅드에서 내부적으로 사용됩니다. CVE-2022-3328은 Ubuntu 에 기본적으로 SUID-루트 프로그램으로 설치되는 snap-confine의 must_mkdir_and_open_with_perms() 함수의 경쟁 조건 취약성에 대해 설명합니다. 이는 CVE-2021-44731에 대한 수정의 일부로 도입되었습니다.
일반 사용자 권한을 가진 공격자는 다중 경로 권한 상승 취약점(CVE-2022-41974) 및 다중 경로 심볼릭 링크 취약점을 사용하여 /tmp 디렉터리를 파일 시스템의 모든 디렉터리에 바인딩하고 일반 사용자 권한을 ROOT 권한으로 승격할 수 있습니다.
영향을 받는 스냅드 버전은 2.54.3 - 2.57.6입니다. 현재 이 취약점을 수정한 공식 보안 버전이 출시되었습니다. 영향을 받는 사용자는 최신 버전으로 업그레이드하는 것이 좋습니다.
내용