Викиновости

Серьезные уязвимости в GnuTLS, ClamAV, Solaris dhcpd и Openfire

11 ноября 2008 года

Обнаружено несколько новых уязвимостей, имеющих статус критических:

  • Возможность обхода ограничений безопасности в Jabber/XMPP сервере Openfire (Архивная копия от 3 марта 2009 на Wayback Machine). Из-за ошибки в AuthCheck фильтре злоумышленник может выполнить (Архивная копия от 23 декабря 2010 на Wayback Machine) административные операции на сервере, не имея на это полномочий, через модификацию URL запроса, используя подстановку вида "/setup/setup-/../../log.jsp?log=info...". Кроме того в SIP плагине найдена возможность совершения подстановки SQL запроса. Проблема не исправлена в последнем релизе Openfire 3.6.0a, хотя разработчики были проинформированы о наличии проблем в приватном порядке еще в мае.
  • Проблема проверки X.509 сертификатов в GnuTLS, позволяет злоумышленнику осуществить подмену параметров сертификата, которые будут восприняты GNU TLS клиентом как валидные. Проблема исправлена в GnuTLS 2.6.1;
  • Потенциальная возможность выполнения кода в системе или вызова краха процесса ClamAV, при проверке специальным образом сформированного VBA файла.

Проблема обусловлена наличием переполнения буфера в функции get_unicode_name() из модуля libclamav/vba_extract.c. Проблема устранена в ClamAV 0.94.1 Интересно, что в анонсе(недоступная ссылка) релиза ClamAV 0.94.1, выпущенного неделю назад, про уязвимость явно упомянуто не было.

  • В DHCP сервере (in.dhcpd) из состава Solaris (8,9,10) и OpenSolaris (до snv_103) найдены несколько уязвимостей(недоступная ссылка), позволяющие выполнить код злоумышленника с привилегиями суперпользователя, через отправку специальным образом оформленного DHCP запроса.

Источники править


 
 
Creative Commons
Эта статья содержит материалы из статьи «Серьезные уязвимости в GnuTLS, ClamAV, Solaris dhcpd и Openfire», опубликованной OpenNET и распространяющейся на условиях лицензии Creative Commons Attribution (CC BY) — указание автора, источник и лицензию.
 
Эта статья загружена автоматически ботом NewsBots в архив и ещё не проверялась редакторами Викиновостей.
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.

Комментарии

Викиновости и Wikimedia Foundation не несут ответственности за любые материалы и точки зрения, находящиеся на странице и в разделе комментариев.



Источник — https://ru.wikinews.org/w/index.php?title=Серьезные_уязвимости_в_GnuTLS,_ClamAV,_Solaris_dhcpd_и_Openfire&oldid=16580393