Викиновости

Уязвимости в KVM, Zabbix, Ghostscript, GNOME/GTK+, Wireshark, ntpd и Piwik

28 декабря 2009 года

Несколько свежих уязвимостей:

  • В системе виртуализации KVM обнаружено три уязвимости:
  • Локальный пользователь через формирование специально оформленного KVM_GET_SUPPORTED_CPUID запроса может использовать обнаруженное в обработчике целочисленное переполнение;
  • Локальный пользователь гостевой системы может инициировать крах ядра корневого KVM окружения;
  • Особенность обработки длинных наборов инструкций в функции x86 эмулятора в KVM, позволяет пользователям гостевых окружений совершить атаку, направленную на вызов отказа в обслуживании корневой системы.
  • В системе мониторинга Zabbix найдено 5 уязвимостей, некоторые из которых позволяют выполнить в web-интерфейсе действия с повышенными привилегиями, осуществить подстановку SQL кода или организовать запуск кода злоумышленника на сервере с правами системы мониторинга.
  • Переполнение буфера в Ghostscript 8.64 и 8.70 позволяет выполнить код злоумышленника при попытке печати через CUPS специально оформленного PDF файла;
  • Ошибка в реализации функции dk_window_begin_implicit_paint() из состава GTK+ иногда приводит к попыткам отрисовки в несуществующем окне, что привело к достаточно неожиданным последствиям: некоторые пользователи отмечают, что после 5 неудачных попыток ввода пароля в хранителе экрана GNOME, пользователь получает доступ к заблокированному рабочему столу без ввода корректного пароля. Проблема подтверждена в Ubuntu и Fedora. Ошибка устранена в GTK+ 2.18.5.
  • В анализаторе трафика Wireshark найдено несколько уязвимостей, одна из которых может привести к выполнению кода злоумышленника при попытке обработки определенным образом сформированного дампа перехваченного трафика;
  • В сервере точного времени ntpd найдена ошибка, которую можно использовать для совершения DoS атаки (излишняя нагрузка на CPU и рост размера лог-файлов) на сервер через организацию зацикленного обмена сообщениями между двумя серверами.
  • В свободном пакете для web-аналитики Piwik (позиционируется как свободная альтернатива сервису Google Analytics) найдена уязвимость, позволяющая атакующему выполнить свой PHP-код на сервере, через отправку специально оформленной сессионной Cookie. Проблема связана с некорректной проверкой ввода при выполнении операции unserialize(). Следует отметить, что аналогичная уязвимость также найдена в пакете PHPIDS (PHP-Intrusion Detection System).

Источники

править
 
 
Creative Commons
Эта статья содержит материалы из статьи «Уязвимости в KVM, Zabbix, Ghostscript, GNOME/GTK+, Wireshark, ntpd и Piwik», опубликованной OpenNET и распространяющейся на условиях лицензии Creative Commons Attribution (CC BY) — указание автора, источник и лицензию.
 
Эта статья загружена автоматически ботом NewsBots в архив и ещё не проверялась редакторами Викиновостей.
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.

Комментарии

Викиновости и Wikimedia Foundation не несут ответственности за любые материалы и точки зрения, находящиеся на странице и в разделе комментариев.



Источник — https://ru.wikinews.org/w/index.php?title=Уязвимости_в_KVM,_Zabbix,_Ghostscript,_GNOME/GTK%2B,_Wireshark,_ntpd_и_Piwik&oldid=8947291