Внимание! Вся представленная информация предназначена для ознакомительного изучения. Автор не несет никакой ответственности за причиненный вред с использованием изложенной информации. Подходит к концу июнь, а это значит пора посмотреть на самые интересные уязвимости за уходящий месяц текущего года. В популярной вики-системе Confluence компании Atlassian обнаружили критическую уязвимость (10 баллов из 10 возможных по шкале CVSS версии 3.1) внедрения OGNL-кода (Object-Graph Navigation Language), которая позволяет злоумышленникам удаленно выполнять произвольный код в уязвимом ПО без прохождения процедуры аутентификации. Вендор рекомендует своим клиентам в срочном порядке обновить Confluence до версий, выпущенных 2 июня 2022 и позже. Подробнее: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-26134 https://jira.atlassian.com/browse/CONFSERVER-79016  https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html В программном обеспечении для хранения данных StarWind SAN & NAS версии 0.2 (сборка 1914) была обнаружена уязвимость удаленного выполнения кода вследствие некорректной работы команды REST, которая не проверяет вводимый параметр при изменении имени сетевого узла. В результате злоумышленник может ввести произвольные данные в команду, которая будет выполняться с правами суперпользователя. National Vulnerability Database присудили 7.2 балла этой уязвимости по шкале CVSS 3.1. Производитель ПО рекомендует обновиться до версии 1.2 (сборка 2481) или выше. Подробнее: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32268 https://www.starwindsoftware.com/security/sw-20220531-0001/ https://nvd.nist.gov/vuln/detail/CVE-2022-32268 В реализации CRI (Container Runtime Interface) от разработчиков containerd была обнаружена ошибка в API (функция execSync), вследствие которой программное обеспечение внутри контейнера может привести к бесконтрольному потреблению всей доступной памяти компьютера службой containerd. Эксплуатация уязвимости приведет к отказу в обслуживании всей системы. Ошибка была исправлена в версиях 1.5.13 и 1.6.6, пользователям рекомендуется обновить свое программного обеспечение до указанных версий. NVD оценили CVE в 5.5 балла по шкале CVSS 3.1. Подробнее: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-31030 https://github.com/containerd/containerd/security/advisories/GHSA-5ffw-gxpp-mxpf https://nvd.nist.gov/vuln/detail/CVE-2022-31030 В программном обеспечении Dell SupportAssist Client Consumer & Dell SupportAssist Client Commercial было обнаружено 4 различных уязвимости, среди которых: Идентификатор: CVE-2022-29092 CVSS 3.1: 7.8 балла Рекомендации: использовать SupportAssist UI для загрузки компонента с исправлением Идентификатор: CVE-2022-29093 и CVE-2022-29094 CVSS 3.1: обе уязвимости получили 7.1 балла Рекомендации: обновить ПО до версий 3.2.0 и 3.11.4 Идентификатор: CVE-2022-29095 CVSS 3.1: 8.3 балла Рекомендации: обновить ПО до версий 3.2.0 и 3.11.4 Рассмотрим каждую CVE подробнее. Dell SupportAssist Client Consumer (3.11.0 и предыдущие версии) и Dell SupportAssist Client Commercial (3.2.0 и предыдущие версии) подвержены уязвимости локального повышения привилегий, которая позволяет злоумышленнику с правами обычного пользователя несанкционированно получить административный доступ к целевой системе. Dell SupportAssist Client Consumer (3.10.4 и предыдущие версии) и Dell SupportAssist Client Commercial (3.1.1 и предыдущие версии) подвержены уязвимостям перезаписи и удаления произвольных файлов. Злоумышленник, прошедший процедуру аутентификации с правами обычного пользователя, имеет возможность перезаписывать и/или удалять произвольные файлы на уязвимой системе. Эксплуатация уязвимостей приведет к нарушению целостности и/или доступности хранящейся на компьютере информации. Dell SupportAssist Client Consumer (3.10.4 и предыдущие версии) и Dell SupportAssist Client Commercial (3.1.1 и предыдущие версии) содержат уязвимость межсайтового выполнения сценариев, которая позволяет удаленному злоумышленнику без прохождения процедуры аутентификации при определенных условиях выполнять вредоносный код на целевой системе. Подробнее: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29092 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29093 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29094 https://www.dell.com/support/kbdoc/en-us/000200456/dsa-2022-139-dell-supportassist-for-home-pcs-and-business-pcs-security-update-for-multiple-security-vulnerabilities В коммерческой версии популярной системы сборки Gradle Enterprise было обнаружено две уязвимости, связанных с некорректным контролем доступа. CVE-2022-30586. Функционал сброса пароля системного пользователя через инструмент командной строки (Gradle Enterprise Admin CLI) позволяет выполнить внедрение команд операционной системы, а также раскрыть новый устанавливаемый системный пароль. Производитель ПО рекомендует использовать Gradle Enterprise Admin CLI версии 1.3.1 или более поздней версии. NVD оценила уязвимость в 7.2 балла по открытому стандарту CVSS 3.1. CVE-2022-30587. Gradle Enterprise до версии 2022.2.4 во время развертывания в режиме автоматической установки раскрывает криптографический ключ, используемый для шифрования паролей подключения к внешним системам, в манифестах Kubernetes. Пользователи, не использующие автоматическую установку, не подвержены данной уязвимости. Уязвимость получила 7.5 балла по шкале CVSS 3.1. Вендор рекомендует пользователям, использующих автоматическую установку, обновиться до версии 2022.2.4. Подробнее: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-30586 https://security.gradle.com/advisory/2022-09 https://nvd.nist.gov/vuln/detail/CVE-2022-30586 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-30587 https://security.gradle.com/advisory/2022-10 https://nvd.nist.gov/vuln/detail/CVE-2022-30587 В программной системе визуализации данных Grafana версии 8.4.3 была обнаружена ошибка, позволяющая читать файлы через обращение к ним по URI. Например, dashboard/snapshot/%7B%7Bconstructor.constructor'/.. /.. /.. /.. /.. /.. /.. /.. /etc/passwd NVD оценила уязвимость в 7.5 балла по открытому стандарту CVSS 3.1. Рекомендуется обновить программное обеспечение до актуальной версии – 9.0.2. Подробнее: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32275 https://github.com/BrotherOfJhonny/grafana#second-point---cve-2022-32275 https://nvd.nist.gov/vuln/detail/CVE-2022-32275 В операционных системах Windows корпорации Microsoft обнаружена уязвимость в реализации протокола SMBv3, которая позволяет удаленному злоумышленнику, не прошедшему процедуру аутентификации, вызвать отказ в обслуживании (BSOD) на контроллерах домена вследствие разыменования нулевого указателя в ядре Windows. Специалисты из Rapid7 посчитали, что данная уязвимость оценивается в 7.5 балла по шкале CVSS 3.1. Системным администраторам рекомендуется применить официальные исправления от Microsoft в их обновлении от апреля 2022 года. Подробнее: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32230 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-32230 https://www.rapid7.com/blog/post/2022/06/14/cve-2022-32230-windows-smb-denial-of-service-vulnerability-fixed/ Программное обеспечение Spring Data MongoDB компании VMware уязвимо к внедрению SpEL-выражений при использовании методов запроса с аннотациями @Querry или @Aggregation и с параметризованными выражениями SpEL без фильтрации пользовательского ввода. Пользователям рекомендуется обновиться до версий 3.4.1+ или 3.3.5+. Производитель ПО оценил уязвимость в 9.0 балла по стандарту CVSS 3.1. Подробнее: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22980 https://tanzu.vmware.com/security/cve-2022-22980 https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H/E:P/RL:O/RC:C/CR:H/IR:H/AR:H/MAV:N/MAC:H/MPR:N/MUI:N/MS:C/MC:H/MI:H/MA:H&version=3.1 https://spring.io/blog/2022/06/20/spring-data-mongodb-spel-expression-injection-vulnerability-cve-2022-22980 В устройствах Cisco Email Security Appliance & Cisco Secure Email and Web Manager обнаружили две уязвимости: Идентификатор: CVE-2022-20664 CVSS 3.1: 7.7 балла Рекомендации: в зависимости от релиза Cisco AsyncOS обновиться до версии: Cisco Secure Email and Web Manager: 13.6.2-090,14.1.0-227 и Cisco Email Security Appliance: 14.0.2-020 Идентификатор: CVE-2022-20798 CVSS 3.1: 9.8 балла Рекомендации: в зависимости от релиза Cisco AsyncOS обновиться до версии: Cisco Secure Email and Web Manager: 13.0.0-277; 13.6.2-090; 13.8.1-090; 14.0.0-418; 14.1.0-250 и Cisco Email Security Appliance: 14.0.1-033 Уязвимость в веб-интерфейсах управления устройств Cisco Email Security Appliance и Cisco Secure Email and Web Manager позволяет удаленному злоумышленнику, прошедшему процедуру аутентификации, получить конфиденциальную информацию с внешнего сервера аутентификации LDAP, подключенного к уязвимым устройствам. Уязвимость в функциях внешней аутентификации устройств Cisco Email Security Appliance и Cisco Secure Email and Web Manager позволяет удаленному злоумышленнику обойти процедуру аутентификации и получить несанкционированный доступ в веб-интерфейсы управления уязвимых устройств. Подробнее: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-20664 https://cve.mitre.org/cgi-bin/cvename.cgi?name=2022-20798 https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sma-esa-auth-bypass-66kEcxQD В телекоммуникационном оборудовании FortiDDoS компании Fortinet исследователь обнаружил уязвимость жестко запрограммированного криптографического ключа. В результате эксплуатации уязвимости удаленный злоумышленник имеет возможность подписать JWT-токены для устройств посредством получения криптографического ключа с одного устройства. Вендор рекомендует обновить устройство до версии 5.6.0 или выше. НКЦКИ оценила уязвимость в 7.8 балла по шкале CVSS 3.1. Подробнее: https://safe-surf.ru/upload/VULN/VULN-20220616.4.pdf https://fortiguard.fortinet.com/psirt/FG-IR-22-071  Специалист