Викиновости

Критические уязвимости в PostgreSQL, BIND, ядре Linux и Asterisk

29 марта 2013 года

Опубликовано уведомление об обнаружении критической уязвимости в СУБД PostgreSQL. Никаких подробностей и данных о характере проблемы не сообщается до выпуска официальных обновлений, которые запланированы на 4 апреля. Судя по всему уязвимость очень опасная, так как впервые в истории проекта доступ к репозиториям будет ограничен (Архивная копия от 9 декабря 2017 на Wayback Machine), а обновления будут готовиться к выпуску и тестироваться в условиях повышенной секретности в узком кругу коммитеров, с целью избежания преждевременной утечки информации. Пользователям PostgreSQL рекомендуется подготовиться к выполнению 4 апреля внепланового обновления своих систем. Проблема затрагивает все поддерживаемые выпуски PostgreSQL.

Дополнительно можно отметить сведения об исправлении трех опасных уязвимостей:

  • В корректирующих выпусках DNS-сервера BIND 9.9.2-P2 и 9.8.4-P2 устранена уязвимость (Архивная копия от 3 июня 2016 на Wayback Machine) (CVE-2013-2266), позволяющая удалённо вывести из строя рекурсивные и авторитативные DNS-серверы, путем отправки специально оформленных запросов. Проблема вызвана утечкой памяти и проявляется в исчерпании всей доступной процессу named памяти. Проблема затрагивает только ветки BIND 9.7, 9.8 и 9.9. Пользователям ветки 9.7, которая уже не поддерживается, для решения проблемы рекомендуется пересобрать BIND без поддержки регулярных выражений (найти файл с "#define HAVE_REGEX_H 1" и поменять данную строку на "#undef HAVE_REGEX_H"). Проблему усугубляет достаточно простой метод эксплуатации.
  • В обновлениях ядра Linux 3.8.5, 3.4.38, 3.2.42 и 3.0.71 устранена уязвимость (CVE-2013-0913) в drm-драйвере i915 для видеокарт Intel. Уязвимость позволяет записать данные за пределы кучи и инициировать выполнение кода с правами ядра. Проблема была продемонстрирована на конкурсе Pwnium, в рамках которого был подготовлен частично работающий эксплоит для атаки на ChromeOS.
  • В платформе телефонии Asterisk 11.2.2 исправлены три уязвимости, позволяющие определить наличие имён пользователей, осуществить DoS-атаку через отправку специального HTTP POST-запроса и выполнить код на сервере через передачу специально подготовленных атрибутов ресурсов в заголовке SDP.

Источники править


 
 
Creative Commons
Эта статья содержит материалы из статьи «Критические уязвимости в PostgreSQL, BIND, ядре Linux и Asterisk», опубликованной OpenNET и распространяющейся на условиях лицензии Creative Commons Attribution (CC BY) — указание автора, источник и лицензию.
 
Эта статья загружена автоматически ботом NewsBots в архив и ещё не проверялась редакторами Викиновостей.
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.

Комментарии

Викиновости и Wikimedia Foundation не несут ответственности за любые материалы и точки зрения, находящиеся на странице и в разделе комментариев.



Источник — https://ru.wikinews.org/w/index.php?title=Критические_уязвимости_в_PostgreSQL,_BIND,_ядре_Linux_и_Asterisk&oldid=16669571