Обзор уязвимостей за неделю: 19 июня 2020 года

На этой неделе исследователи безопасности сообщили об опасных уязвимостях в проприетарном TCP/IP-стеке Treck, предназначенном для встраиваемых систем, которые подвергают сотни миллионов IoT-устройств угрозе удаленного взлома.

Treck TCP/IP содержит в общей сложности 19 уязвимостей , объединенных под общим названием Ripple20. Их эксплуатация позволяет удаленно выполнить код, осуществить DoS-атаку и похитить конфиденциальные данные. Эксплуатация осуществляется путем отправки жертвам специально сформированных IP-пакетов или DNS-запросов, а в некоторых случаях атаки могут быть проведены непосредственно из интернета.

Компания Adobe выпустила внеплановые обновления безопасности, устраняющие 18 критических уязвимостей. Эксплуатация проблем позволяет злоумышленникам выполнить произвольный код на системах с уязвимыми версиями Adobe After Effects , Illustrator , Premiere Pro , Premiere Rush и Audition под управлением Windows или macOS.

В сервере приложений Apache TomEE была исправлена опасная уязвимость ( CVE-2020-11969 ), эксплуатация которой позволяет удаленному злоумышленнику получить несанкционированный доступ к приложению. Уязвимость связана с тем, что интерфейс JMX доступен неавторизованным пользователям через 1099/TCP-порт, если Apache TomEE настроен на использование встроенного брокера ActiveMQ, а унифицированный идентификатор ресурса (URI) брокера включает параметр useJMX=true.

В продукте Oracle Human Resources интегрированной группы приложений Oracle E-Business Suite были обнаружены две опасные уязвимости ( CVE-2020-2587, CVE-2020-2586 ). Эксплуатация проблем позволяет удаленному авторизованному пользователю повышать привилегии в приложении. Успешная эксплуатация уязвимостей может привести к несанкционированному созданию, удалению или изменению доступа к критически важным данным или может быть использована для осуществления частичной DoS-атаки.

Разработчики Drupal выпустили обновления, исправляющие ряд уязвимостей в ядре Drupal, в том числе одну RCE-уязвимость. Проблема (CVE-2020-13664) затрагивает версии Drupal 8 и 9. Злоумышленник может путем обмана заставить администратора посетить вредоносный сайт, что приведет к созданию в файловой системе специально именованного каталога. С помощью данного каталога злоумышленник может попытаться путем брутфорса проэксплуатировать уязвимость удаленного выполнения кода.

Разработчики из некоммерческой организации VideoLan выпустили версию медиапроигрывателя VLC Media Player 3.0.11, исправляющую опасные уязвимости , две из которых (CVE-2020-9308, CVE-2020-13428) позволяют удаленно выполнить код. Третья проблема (CVE-2019-19221) — уязвимость чтения за пределами поля, позволяющая удаленному злоумышленнику похитить конфиденциальную информацию.

Решение Rockwell Automation FactoryTalk View SE содержит критическую уязвимость ( CVE-2020-12029 ), эксплуатация которой позволяет удаленно выполнить код. Уязвимость связана с некорректной проверкой введенных пользователем данных в именах файлов в каталоге проекта.