Linode Security Digest 24-31 de julho de 2022

Esta semana, vamos cobrir as vulnerabilidades recém-descobertas do OpenJDK, uma vulnerabilidade de transbordamento em Redis, e uma execução arbitrária do código PHP no núcleo Drupal.

Vulnerabilidades do OpenJDK

O OpenJDK lançou um alerta de segurança na semana passada, contendo quatro vulnerabilidades. 

CVE-2022-21541 é um componente difícil de explorar a vulnerabilidade em hotspot/runtime que permite que atacantes não autenticados com acesso à rede via múltiplos protocolos comprometam o Java, o que poderia levar à criação, exclusão ou modificação não autorizada do acesso a dados críticos ou a todos os dados acessíveis ao openjdk. 

O CVE-2022-21540 existe no componente hotspot/compiler e é uma falha facilmente explorável que permite ataques não autenticados com acesso à rede através de múltiplos protocolos resultando em acesso de leitura não autorizado a um subconjunto de dados acessíveis openjdk. Esta cve tem apenas um baixo impacto sobre a confidencialidade dos dados.

CVE-2022-21549 no componente core-libs/java.util pode resultar em atualização não autorizada, inserir ou excluir o acesso a alguns dos dados acessíveis ao openjdk.

Nota: Todas as três vulnerabilidades se aplicam a implementações Java - tipicamente em clientes que executam aplicações Java Web Start com sandbox ou applets Java com sandbox - que carregam e executam código não confiável (por exemplo, código que vem da Internet) e dependem do sandbox Java para segurança. Esta vulnerabilidade também pode ser explorada usando APIs no componente especificado, por exemplo, através de um serviço web que fornece dados para as APIs. 

CVE-2022-34169 é uma edição de truncagem Integer em Apache Xalan Java XSLT library. Isto pode ser usado para corromper arquivos de classe Java gerados pelo compilador interno XSLTC e executar bytecode Java arbitrário.

Transbordo de pilhas em Redis

Redis é freqüentemente referido como um servidor de estruturas de dados. Isto significa que o Redis fornece acesso a estruturas de dados mutáveis através de um conjunto de comandos, que são enviados usando um modelo servidor-cliente com soquetes TCP e um protocolo simples. Assim, processos diferentes podem consultar e modificar as mesmas estruturas de dados de uma forma compartilhada.

Há uma condição de transbordamento de pilha que pode ser acionada por uma escrita fora dos limites através de um XAUTOCLAIM em uma chave de fluxo em um estado específico e potencialmente levar à execução de código remoto. CVE-2022-31144 afeta as versões Redis 7.0.0 ou mais recentes. O problema é corrigido na versão 7.0.4 do Redis.

Drupal Core - Vulnerabilidade de Execução Arbitrária de Código PHP

Drupal lançou quatro alertas que descrevem quatro tipos de vulnerabilidades. Uma delas foi classificada como "crítica" e as outras três como "moderadamente crítica". A vulnerabilidade "crítica", rastreada como CVE-2022-25277, afeta o Drupal 9.3 e 9.4. O problema afeta o núcleo do Drupal e pode levar à execução arbitrária do código PHP em servidores web Apache ao fazer upload de arquivos especialmente criados.

Os três restantes são moderadamente críticos, de acordo com Drupal.

CVE-2022-25276 poderia levar a scripts cruzados, cookies vazados, ou outras vulnerabilidades porque a rota iframe do iframe da mídia não valida adequadamente a configuração do domínio iframe, o que permite a exibição de embasamentos no contexto do domínio primário.

Em determinadas circunstâncias, o formulário principal do Drupal API avalia incorretamente o acesso ao elemento do formulário. O CVE-2022-25278 pode fazer com que um usuário consiga alterar dados aos quais não deveria ter acesso.

CVE-2022-25275 surge em algumas situações quando o módulo Image não verifica corretamente o acesso a arquivos de imagem não armazenados no diretório de arquivos públicos padrão ao gerar imagens derivadas usando o sistema de estilos de imagem.

Atualização para Drupal 9.4.3 ou 9.3.19 para aplicar correções para estas vulnerabilidades. Nota: Todas as versões do Drupal 9 anteriores à 9.3.x estão em fim de vida e não recebem cobertura de segurança e o Drupal 8 atingiu seu fim de vida. O núcleo do Drupal 7 não é afetado.