Топ самых интересных CVE за июнь 2022 года
Дисклеймер!
Внимание! Вся представленная информация предназначена для ознакомительного изучения. Автор не несет никакой ответственности за причиненный вред с использованием изложенной информации.
Подходит к концу июнь, а это значит пора посмотреть на самые интересные уязвимости за уходящий месяц текущего года.
Atlassian. Confluence Server & Confluence Data Center. CVE-2022–26134
В популярной вики-системе Confluence компании Atlassian обнаружили критическую уязвимость (10 баллов из 10 возможных по шкале CVSS версии 3.1) внедрения OGNL-кода (Object-Graph Navigation Language), которая позволяет злоумышленникам удаленно выполнять произвольный код в уязвимом ПО без прохождения процедуры аутентификации. Вендор рекомендует своим клиентам в срочном порядке обновить Confluence до версий, выпущенных 2 июня 2022 и позже.
Подробнее:
https://cve.mitre.org/cgi-bin/cvename.cgi? name=CVE-2022–26134
https://jira.atlassian.com/browse/CONFSERVER-79016
https://confluence.atlassian.com/doc/confluence-security-advisory-2022–06–02–1130377146.html
StarWind Software Inc. StarWind SAN & NAS. CVE-2022–32268
В программном обеспечении для хранения данных StarWind SAN & NAS версии 0.2 (сборка 1914) была обнаружена уязвимость удаленного выполнения кода вследствие некорректной работы команды REST, которая не проверяет вводимый параметр при изменении имени сетевого узла. В результате злоумышленник может ввести произвольные данные в команду, которая будет выполняться с правами суперпользователя. National Vulnerability Database присудили 7.2 балла этой уязвимости по шкале CVSS 3.1. Производитель ПО рекомендует обновиться до версии 1.2 (сборка 2481) или выше.
Подробнее:
https://cve.mitre.org/cgi-bin/cvename.cgi? name=CVE-2022–32268
https://www.starwindsoftware.com/security/sw-20220531–0001/
https://nvd.nist.gov/vuln/detail/CVE-2022–32268
The Linux Foundation. Containerd CRI plugin. CVE-2022–31030
В реализации CRI (Container Runtime Interface) от разработчиков containerd была обнаружена ошибка в API (функция execSync), вследствие которой программное обеспечение внутри контейнера может привести к бесконтрольному потреблению всей доступной памяти компьютера службой containerd. Эксплуатация уязвимости приведет к отказу в обслуживании всей системы. Ошибка была исправлена в версиях 1.5.13 и 1.6.6, пользователям рекомендуется обновить свое программного обеспечение до указанных версий. NVD оценили CVE в 5.5 балла по шкале CVSS 3.1.
Подробнее:
https://cve.mitre.org/cgi-bin/cvename.cgi? name=CVE-2022–31030
https://github.com/containerd/containerd/security/advisories/GHSA-5ffw-gxpp-mxpf
https://nvd.nist.gov/vuln/detail/CVE-2022–31030
Dell Inc. Dell SupportAssist Client Consumer & Dell SupportAssist Client Commercial. CVE-2022–29092, CVE-2022–29093, CVE-2022–29094 & CVE-2022–29095
В программном обеспечении Dell SupportAssist Client Consumer & Dell SupportAssist Client Commercial было обнаружено 4 различных уязвимости, среди которых:
уязвимость повышения привилегий
Идентификатор: CVE-2022–29092
CVSS 3.1: 7.8 балла
Рекомендации: использовать SupportAssist UI для загрузки компонента с исправлением
уязвимости перезаписи и удаления произвольных файлов
Идентификатор: CVE-2022–29093 и CVE-2022–29094
CVSS 3.1: обе уязвимости получили 7.1 балла
Рекомендации: обновить ПО до версий 3.2.0 и 3.11.4
уязвимость межсайтового выполнения сценариев
Рассмотрим каждую CVE подробнее.
Уязвимость повышения привилегий (CVE-2022–29092)
Dell SupportAssist Client Consumer (3.11.0 и предыдущие версии) и Dell SupportAssist Client Commercial (3.2.0 и предыдущие версии) подвержены уязвимости локального повышения привилегий, которая позволяет злоумышленнику с правами обычного пользователя несанкционированно получить административный доступ к целевой системе.
Уязвимости перезаписи и удаления произвольных файлов (CVE-2022–29093 и CVE-2022–29094)
Dell SupportAssist Client Consumer (3.10.4 и предыдущие версии) и Dell SupportAssist Client Commercial (3.1.1 и предыдущие версии) подвержены уязвимостям перезаписи и удаления произвольных файлов. Злоумышленник, прошедший процедуру аутентификации с правами обычного пользователя, имеет возможность перезаписывать и/или удалять произвольные файлы на уязвимой системе. Эксплуатация уязвимостей приведет к нарушению целостности и/или доступности хранящейся на компьютере информации.
Уязвимость межсайтового выполнения сценариев (CVE-2022–29095)
Dell SupportAssist Client Consumer (3.10.4 и предыдущие версии) и Dell SupportAssist Client Commercial (3.1.1 и предыдущие версии) содержат уязвимость межсайтового выполнения сценариев, которая позволяет удаленному злоумышленнику без прохождения процедуры аутентификации при определенных условиях выполнять вредоносный код на целевой системе.
Подробнее:
https://cve.mitre.org/cgi-bin/cvename.cgi? name=CVE-2022–29092
https://cve.mitre.org/cgi-bin/cvename.cgi? name=CVE-2022–29093
https://cve.mitre.org/cgi-bin/cvename.cgi? name=CVE-2022–29094
https://www.dell.com/support/kbdoc/en-us/000200456/dsa-2022–139-dell-supportassist-for-home-pcs-and-business-pcs-security-update-for-multiple-security-vulnerabilities
Gradle Inc. Gradle Enterprise. CVE-2022–30586 & CVE-2022–30587
В коммерческой версии популярной системы сборки Gradle Enterprise было обнаружено две уязвимости, связанных с некорректным контролем доступа.
CVE-2022–30586. Функционал сброса пароля системного пользователя через инструмент командной строки (Gradle Enterprise Admin CLI) позволяет выполнить внедрение команд операционной системы, а также раскрыть новый устанавливаемый системный пароль. Производитель ПО рекомендует использовать Gradle Enterprise Admin CLI версии 1.3.1 или более поздней версии. NVD оценила уязвимость в 7.2 балла по открытому стандарту CVSS 3.1.
CVE-2022–30587. Gradle Enterprise до версии 2022.2.4 во время развертывания в режиме автоматической установки раскрывает криптографический ключ, используемый для шифрования паролей подключения к внешним системам, в манифестах Kubernetes. Пользователи, не использующие автоматическую установку, не подвержены данной уязвимости. Уязвимость получила 7.5 балла по шкале CVSS 3.1.
Вендор рекомендует пользователям, использующих автоматическую установку, обновиться до версии 2022.2.4.
Подробнее:
https://cve.mitre.org/cgi-bin/cvename.cgi? name=CVE-2022–30586
https://security.gradle.com/advisory/2022–09
https://nvd.nist.gov/vuln/detail/CVE-2022–30586
https://cve.mitre.org/cgi-bin/cvename.cgi? name=CVE-2022–30587
https://security.gradle.com/advisory/2022–10
https://nvd.nist.gov/vuln/detail/CVE-2022–30587
Grafana Labs. Grafana. CVE-2022–32275
В программной системе визуализации данных Grafana версии 8.4.3 была обнаружена ошибка, позволяющая читать файлы через обращение к ним по URI.
Например, dashboard/snapshot/%7B%7Bconstructor.constructor'/… /… /… /… /… /… /… /… /etc/passwd
NVD оценила уязвимость в 7.5 балла по открытому стандарту CVSS 3.1.
Рекомендуется обновить программное обеспечение до актуальной версии — 9.0.2.
Подробнее:
https://cve.mitre.org/cgi-bin/cvename.cgi? name=CVE-2022–32275
https://github.com/BrotherOfJhonny/grafana#second-point---cve-2022–32275
https://nvd.nist.gov/vuln/detail/CVE-2022–32275
Microsoft. Microsoft Windows SMBv3. CVE-2022–32230
В операционных системах Windows корпорации Microsoft обнаружена уязвимость в реализации протокола SMBv3, которая позволяет удаленному злоумышленнику, не прошедшему процедуру аутентификации, вызвать отказ в обслуживании (BSOD) на контроллерах домена вследствие разыменования нулевого указателя в ядре Windows. Специалисты из Rapid7 посчитали, что данная уязвимость оценивается в 7.5 балла по шкале CVSS 3.1.
Системным администраторам рекомендуется применить официальные исправления от Microsoft в их обновлении от апреля 2022 года.
Подробнее:
https://cve.mitre.org/cgi-bin/cvename.cgi? name=CVE-2022–32230
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022–32230
https://www.rapid7.com/blog/post/2022/06/14/cve-2022–32230-windows-smb-denial-of-service-vulnerability-fixed/
VMware, Inc. Spring Data MongoDB. CVE-2022–22980
Программное обеспечение Spring Data MongoDB компании VMware уязвимо к внедрению SpEL-выражений при использовании методов запроса с аннотациями @Querry или @Aggregation и с параметризованными выражениями SpEL без фильтрации пользовательского ввода. Пользователям рекомендуется обновиться до версий 3.4.1+ или 3.3.5+.
Производитель ПО оценил уязвимость в 9.0 балла по стандарту CVSS 3.1.
Подробнее:
https://cve.mitre.org/cgi-bin/cvename.cgi? name=CVE-2022–22980
https://tanzu.vmware.com/security/cve-2022–22980
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator? vector=AV: N/AC: H/PR: N/UI: N/S: C/C: H/I: H/A: H/E: P/RL: O/RC: C/CR: H/IR: H/AR: H/MAV: N/MAC: H/MPR: N/MUI: N/MS: C/MC: H/MI: H/MA: H&version=3.1
https://spring.io/blog/2022/06/20/spring-data-mongodb-spel-expression-injection-vulnerability-cve-2022–22980
Cisco Systems, Inc. Cisco ESA, Cisco Secure Email and Web Manager.CVE-2022–20664 & CVE-2022–20798
В устройствах Cisco Email Security Appliance & Cisco Secure Email and Web Manager обнаружили две уязвимости:
раскрытие чувствительной информации
Идентификатор: CVE-2022–20664
CVSS 3.1: 7.7 балла
Рекомендации: в зависимости от релиза Cisco AsyncOS обновиться до версии: Cisco Secure Email and Web Manager: 13.6.2–090,14.1.0–227 и Cisco Email Security Appliance: 14.0.2–020
обход механизма аутентификации
Идентификатор: CVE-2022–20798
CVSS 3.1: 9.8 балла
Рекомендации: в зависимости от релиза Cisco AsyncOS обновиться до версии: Cisco Secure Email and Web Manager: 13.0.0–277; 13.6.2–090; 13.8.1–090; 14.0.0–418; 14.1.0–250 и Cisco Email Security Appliance: 14.0.1–033
Уязвимость раскрытия чувствительной информации (CVE-2022–20664)
Уязвимость в веб-интерфейсах управления устройств Cisco Email Security Appliance и Cisco Secure Email and Web Manager позволяет удаленному злоумышленнику, прошедшему процедуру аутентификации, получить конфиденциальную информацию с внешнего сервера аутентификации LDAP, подключенного к уязвимым устройствам.
Уязвимость обхода механизма аутентификации (CVE-2022–20798)
Уязвимость в функциях внешней аутентификации устройств Cisco Email Security Appliance и Cisco Secure Email and Web Manager позволяет удаленному злоумышленнику обойти процедуру аутентификации и получить несанкционированный доступ в веб-интерфейсы управления уязвимых устройств.
Подробнее:
https://cve.mitre.org/cgi-bin/cvename.cgi? name=CVE-2022–20664
https://cve.mitre.org/cgi-bin/cvename.cgi? name=2022–20798
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sma-esa-auth-bypass-66kEcxQD
Fortinet, Inc. FortiDDoS. CVE-2022–29060
В телекоммуникационном оборудовании FortiDDoS компании Fortinet исследователь обнаружил уязвимость жестко запрограммированного криптографического ключа. В результате эксплуатации уязвимости удаленный злоумышленник имеет возможность подписать JWT-токены для устройств посредством получения криптографического ключа с одного устройства. Вендор рекомендует обновить устройство до версии 5.6.0 или выше. НКЦКИ оценила уязвимость в 7.8 балла по шкале CVSS 3.1.
Подробнее:
https://safe-surf.ru/upload/VULN/VULN-20220616.4.pdf
https://fortiguard.fortinet.com/psirt/FG-IR-22–071
