Apache Software Foundation выпустила обновления безопасности для устранения трех серьезных проблем, затрагивающих продукты MINA, HugeGraph-Server и Traffic Control.
Уязвимости были исправлены в новых версиях программного обеспечения, выпущенных в период с 23 по 25 декабря. Однако праздничный период может привести к замедлению темпов исправления и увеличению риска эксплуатации.
Одна из ошибок отслеживается как CVE-2024-52046 и затрагивает версии MINA с 2.0 по 2.0.26, с 2.1 по 2.1.9 и с 2.2 по 2.2.3. Проблема получила оценку критичности 10 из 10 от Apache Software Foundation.
Apache MINA - это фреймворк для сетевых приложений, который предоставляет уровень абстракции для разработки высокопроизводительных и масштабируемых сетевых приложений.
Последняя проблема кроется в 'ObjectSerializationDecoder', вызванная небезопасной десериализацией Java, что потенциально может привести к удаленному выполнению кода (RCE).
Команда Apache пояснила, что уязвимость может быть использована, если метод 'IoBuffer#getObject()' используется в сочетании с определенными классами.
Apache устранил проблему, выпустив версии 2.0.27, 2.1.10 и 2.2.4, в которых уязвимый компонент был дополнен более строгими настройками безопасности.
Однако обновления до этих версий недостаточно. Пользователям также необходимо вручную установить запрет на использование всех классов, если это не разрешено явно, следуя одному из трех предложенных методов.
Уязвимость, затрагивающая Apache HugeGraph-Server версий с 1.0 по 1.3, представляет собой проблему обхода аутентификации, отслеживаемую как CVE-2024-43441. Она вызвана неправильной проверкой логики аутентификации.
Apache HugeGraph-Server - это сервер базы данных графов, обеспечивающий эффективное хранение, запрос и анализ данных на основе графов.
Проблема обхода аутентификации была решена в версии 1.5.0, которая является рекомендуемой целью обновления для пользователей HugeGraph-Server.
Третий недостаток идентифицируется как CVE-2024-45387 и оценивается Apache Software Foundation в 9,9 баллов критичности. Это проблема SQL-инъекции, затрагивающая Traffic Ops версий 8.0.0 - 8.0.1.
Apache Traffic Control - это инструмент для управления и оптимизации сетей доставки контента (CDN).
Последняя проблема в продукте вызвана недостаточной санацией ввода SQL-запросов, что позволяет выполнять произвольные SQL-команды с помощью специально созданных PUT-запросов.
Проблема была исправлена в версии Apache Traffic Control 8.0.2, выпущенной ранее на этой неделе. Команда Apache отметила, что версии от 7.0.0 до 8.0.0 не затронуты.
Системным администраторам настоятельно рекомендуется как можно скорее обновиться до последней версии продукта, тем более что хакеры часто предпочитают наносить удары в это время года, когда в компаниях меньше сотрудников и время реагирования увеличивается.
Официальный интернет-магазин Европейского космического агентства подвергся хакерской атаке, когда начал загружать код JavaScript, генерирующий фальшивую страницу оплаты Stripe при оформлении заказа.
Новый ботнет на базе Mirai активно эксплуатирует уязвимость удаленного выполнения кода, которая не получила трекерного номера и, судя по всему, не исправлена в сетевых видеорегистраторах DigiEver DS-2105 Pro.
Федеральный судья США постановил, что израильский производитель шпионского ПО NSO Group нарушил американские законы о взломе, используя «нулевые дни» WhatsApp для установки шпионского ПО Pegasus на не менее чем 1400 устройств.