Linode Security Digest 8-12 de agosto de 2022

Na digressão desta semana, discutiremos:

• uma vulnerabilidade de scripts cruzados que pode levar à execução remota do código em Joplin;
• uma vulnerabilidade de excesso de amortecimento em zlib; e
• Várias vulnerabilidades identificadas no driver de exibição NVIDIA GPU .

Execução de código remoto Joplin através de XSS

Uma vulnerabilidade de execução de código via XSS foi identificada em Joplin que poderia permitir aos atacantes executar comandos arbitrários através de uma carga útil trabalhada injetada nos títulos dos Nodos. Joplin é um aplicativo livre, de código aberto, baseado em markdown, compatível com múltiplos sistemas operacionais como Windows, Mac, e Linux. 

A vulnerabilidade deriva de como o método perigosamenteSetInnerHTML() é usado com a entrada de usuários não escalonados no GotoAnything.tsx. Isto permite que um agressor alcance a execução remota do código no sistema da vítima apenas compartilhando um notebook com a carga útil vulnerável nos títulos dos nós. A carga útil é executada sempre que a vítima procura o notebook.

O patch foi liberado na versão 2.9.1 do Joplin. A versão Joplin v2.8.8 e versões anteriores são afetadas. Esta vulnerabilidade, registrada como CVE-2022-35131, foi classificada em 9,0 na pontuação CVSS na NVD devido ao alto impacto na confidencialidade, integridade e disponibilidade. Um ataque bem sucedido requer que qualquer usuário autenticado procure o notebook vulnerável.

Recomendamos que você atualize o Joplin para a versão mais recente o mais rápido possível, especialmente se você receber cadernos compartilhados.

Vulnerabilidade ao transbordamento de amortecedores em Zlib Heap

Foi identificada uma vulnerabilidade de estouro de buffer baseado em pilha na zlib, uma popular biblioteca de uso geral usada para compressão de dados. A vulnerabilidade foi registrada como CVE-2022-37434 e afeta todas as versões abaixo de 1.2.12.

A exploração da vulnerabilidade é possível devido ao excesso de leitura de buffer baseado em pilha ou ao excesso de buffer em inflacionar.c através de um grande campo extra de cabeçotes gzip. De acordo com o comentário de solicitação pull que os desenvolvedores criaram, se o campo extra fosse maior que o espaço que o usuário forneceu com inflateGetHeader(), e se várias chamadas de inflate() entregassem os dados de cabeçalho extra, então poderia haver um estouro de buffer do espaço fornecido. Esta vulnerabilidade afeta apenas aplicações que utilizam o método inflateGetHeader(). 

Várias vulnerabilidades descobertas nos drivers de vídeo NVIDIA GPU

NVIDIAA GPU , um dos fabricantes mais populares de computadores, lançou um aviso de segurança para várias vulnerabilidades descobertas em seu driver de monitor GPU para as plataformas Windows e Linux. Essas vulnerabilidades podem ser exploradas para realizar vários tipos de ataques, como negação de serviço, divulgação de informações, aumento de privilégios, execução de código ou adulteração de dados. 

Uma das vulnerabilidades de alta diversidade, CVE-2022-31607, afeta a camada do modo kernel (nvidia.ko), onde um usuário local com capacidades básicas pode causar validação de entrada imprópria levando a vários caminhos de exploração, de acordo com NVIDIA' consultoria de segurança. Esta vulnerabilidade afeta o Linux, e tem uma pontuação CVSS de 7,8 com uma alta classificação em confidencialidade, integridade e disponibilidade. 

CVE-2022-31608 descreve uma vulnerabilidade em um arquivo opcional de configuração do D-Bus que pode levar à execução do código. A vulnerabilidade pode ser alavancada por um usuário local com capacidades básicas. A maioria dos CVEs mencionados em NVIDIA's security advisory requerem privilégios locais no sistema da vítima para que a exploração seja bem sucedida. 

Você pode usar este guia em NVIDIA para entender qual o driver do display NVIDIA que está atualmente instalado em seu PC.