Обзор исправлений сторонних компаний — сентябрь 2019 г.

Сентябрь знаменует собой окончание лета и наступление осени. Здесь, в Техасе, мы рады смене времен года и избавлению от жары. Впрочем, обычно она также несет с собой и неблагоприятные погодные явления, например, ураганы. И этот сентябрь не стал исключением из правила.

В области информационной безопасности тоже штормило. Вредоносное ПО бесчинствовало как на персональных компьютерах, так и на мобильных устройствах. Мы узнали о выявлении скрытых вредоносных приложений в магазине Google Play, скачанных более двух2 миллионов раз, о заражении вредоносными программами, помешавшем работе на объектах военных подрядчиков в трех разных странах, тысячах компьютеров в США и Европе, попавших под удар вируса Nodersok/Divergent, а также многих других проблемах безопасности.

В рамках последнего «Вторника обновлений» Microsoft выпустила обновления для исправления восьми8 уязвимостей безопасности своих продуктов и служб. Другие поставщики ПО также старались не отставать в вопросе борьбы с уязвимостями. Все крупные компании-разработчики программного обеспечения продолжают усердно работать над устранением уязвимостей, которые злоумышленники могут использовать для кибератак. Давайте рассмотрим, что же нам принес этот месяц.

Apple

В течение месяца Apple выпустила целых 15 обновлений, что значительно превышает их обычные показатели компании. Выпущены следующие обновления:

11 сентября

• iTunes 12.10 для Windows, для Windows 7 и более поздних версий.

19 сентября

• watchOS 6 для Apple Watch Series 3 и более поздних моделей (модели Apple Watch Series 1 и 2 начнут поддерживать watchOS 6 позже в этом году);
• Safari 13 для macOS Mojave 10.14.6 и macOS High Sierra 10.13.6;
• iOS 13 для iPhone 6s и более поздних моделей.

20 сентября

• Xcode 11.0 для macOS Mojave 10.14.4 и более поздних версий.

24 сентября

• iOS 13.1 и iPadOS 13.1 для iPhone 6s и более поздних моделей, iPad Air 2 и более поздних моделей, iPad mini 4 и более поздних моделей, а также для iPod touch 7-го поколения;
• Safari 13.0.1 для macOS Mojave 10.14.6 и macOS High Sierra 10.13.6;
• ПО Apple TV 7.4 для Apple TV (3-го поколения);
• tvOS 13 для Apple TV 4K и Apple TV HD.

26 сентября

• Дополнительное обновление macOS Mojave 10.14.6 версии 2, обновление системы безопасности 2019-005 для High Sierra и Sierra для macOS Sierra 10.12.6, macOS High Sierra 10.13.6 и macOS Mojave 10.14.6;
• watchOS 5.3.2 для Apple Watch Series 1 и Apple Watch Series 2;
• iOS 12.4.2 для iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3 и iPad touch 6-гопоколения.

27 сентября

• iOS 13.1.1 и iPadOS 13.1.1 для iPhone 6s и более поздних моделей, iPad Air 2 и более поздних моделей, iPad mini 4 и более поздних моделей, а также iPod touch 7-го поколения.

30 сентября

• watchOS 6.0.1 для Apple Watch Series 3 и более поздних моделей (модели Apple Watch Series 1 и 2 начнут поддерживать watchOS 6 позже в этом году);
• iOS 13.1.2 и iPadOS 13.1.2 для iPhone 6s и более поздних моделей, iPad Air 2 и более поздних моделей, iPad mini 4 и более поздних моделей, а также iPod touch 7-го поколения.

Хорошая новость заключается в том, что большая часть этих обновлений (кроме iOS 13) предназначена для устранения только одной или двух уязвимостей. Основное обновление мобильной операционной системы включает исправления девяти уязвимостей (меньше, чем обычно). Среди них уязвимости таких компонентов, как Bluetooth, CoreAudio, Face ID, Платформа, Клавиатураы, Сообщения, Быстрый просмотр, Safari и Загрузка страниц WebKit. Уязвимости могли приводить к раскрытию или утечке персональной информации, подмене адресной строки, межсайтовому выполнению сценариев, раскрытию памяти процесса, а также, в самых страшных случаях, к выполнению произвольного кода.

Уязвимость iOS под названием checkm8 не была исправлена. Более того, она отмечена обнаружившим ее исследователем проблем безопасности как «не подлежащая исправлению». В конце сентября было объявлено о том, что эта уязвимость может привести к необратимому снятию ограничений на доступ к файловой системе для устройств iPhone, начиная с модели iPhone 4 вплоть до X. Нам еще предстоит узнать, как компания Apple собирается решить эту проблему.

Дополнительную информацию о текущих и прошлых пакетах исправлений, а также о том, какие уязвимости ими устранены, можно найти на сайте поддержки Apple: https://support.apple.com/en-us/HT201222

Adobe

В этом месяце Adobe выпустила только три обновления (в августе их было восемь8). Два из них выпущены 10 сентября в рамках обычного «вторника обновлений» компании, а третье — 24 сентября:

• Обновление системы безопасности APSB19-46 для Adobe Flash Player (10 сентября).
• Обновление системы безопасности APSB19-45 для программы установки Adobe Application Manager (10 сентября).
• Обновление системы безопасности APSB19-47 для Adobe ColdFusion (24 сентября).

Обновление Flash Player стало наиболее масштабным. Оно охватывает программное обеспечение для Windows, macOS, Linux и Chrome OS. Обновление призвано устранить две2 критических уязвимости, каждую из которых можно было использовать для выполнения произвольного кода. Первая связана с использованием данных после освобождения памяти, а вторая — с выполнением метода из одного источника.

Обновление Application Manager устранило попавшую в категорию важных уязвимость небезопасной загрузки библиотек/взлома DLL, которая могла привести к выполнению произвольного кода. Обновление Cold Fusion исправило две критические уязвимости (проблему выполнения произвольного кода и уязвимость обхода каталога), а также проблему обхода системы безопасности из категории важных.

Дополнительную информацию можно найти в обзоре бюллетеня по безопасности:
https://helpx.adobe.com/security.html

Google

Операционная** система Chrome Operating System .** Последнее стабильное обновление для Chrome OS выпущено 27 сентября (версия 77.0.3865.105). По данным Google, оно содержит несколько обновлений системы безопасности, однако компания не указала, каких конкретно.

Браузер Chrome**.** Последнее стабильное обновление браузера Chrome для Windows, Mac и Linux выпущено 18 сентября (версия 77.0.3865.90). В блоге выпусков Google Chrome указано, что оно включает исправления четырех уязвимостей, связанных с использованием данных после освобождения памяти. Три уязвимости вошли в категорию высокой серьезности, а четвертая названа критической.

Для получения дополнительной информации посетите сайт:https://chromereleases.googleblog.com/

Android**. ** Google выпустила ежемесячный бюллетень по безопасности Android 3 сентября. Наиболее серьезной является критическая уязвимость компонента Media Framework, которая позволяет злоумышленнику выполнять произвольный код в контексте привилегированного процесса с помощью специально созданного файла. Среди других устраненных проблем — уязвимость выполнения произвольного кода в компоненте Framework, а также уязвимость компонента «Система», которая позволяет злоумышленнику выполнять произвольный код в контексте привилегированного процесса с помощью специально созданной передачи.

Августовские обновления Android включают исправления критической уязвимости компонента «Система», которая позволяет злоумышленнику выполнять произвольный код в контексте привилегированного процесса с помощью специально созданного файла PAC. Среди других устраненных проблем — уязвимости компонентов «Среда исполнения Android», Framework, Media Framework, «Система», Broadcom и Qualcomm.

Google подверглась критике из-за отсутствия исправления для уязвимости нулевого дня, информация о которой была предоставлена компанией Trend Micro еще в марте.

Дополнительную информацию об уязвимостях, устраненных с помощью обновлений Android, можно найти по ссылке: https://source.android.com/security/bulletin/2018-08-01

Oracle

Oracle обычно выпускает обновления безопасности один раз в квартал — в январе, апреле, июле и октябре. Последние обновление было выпущено в июле. Следующий пакет обновлений выйдет в октябре.

Клиенты Oracle могут получить дополнительную информацию о выпущенных обновлениях в кратком обзоре на сайте службы поддержки Oracle: https://login.oracle.com/mysso/signon.jsp

Mozilla

3Третьего сентября Mozilla выпустила Firefox 69, а 18 сентября — Firefox 69.0.1. В версии Firefox 69 устранены 20 приведенных ниже проблем безопасности (только одна из нихкоторых считается критической):

• #CVE-2019-11751: выполнение вредоносного кода с использованием параметров командной строки (критическая уязвимость)**.** Параметры командной строки, связанные с ведением журнала, не очищаются должным образом при запуске Firefox другой программой, например, когда пользователь переходит по вредоносным ссылкам в чате. Эта уязвимость позволяет записывать файл журнала в произвольное место, например, в папку «Автозагрузка» Windows.
• #CVE-2019-11746: проблема использования данных после освобождения памяти при манипуляциях с видео (высокая степень серьезности)**.** Уязвимость, связанная с использованием данных после освобождения памяти, возникавшая во время манипуляций с элементами video, если элемент body очищался во время использования. Это приводило к аварийному завершению работы браузера, которым могли воспользоваться злоумышленники.
• #CVE-2019-11744: м** Межсайтовое выполнение сценариев при применении свойства innerHTML к элементам title и text area (высокая степень серьезности).** Некоторые элементы HTML, такие как \ , могут содержать литеральные угловые скобки, которые не рассматриваются как разметка. В свойство .innerHTML этих элементов можно передать литеральный закрывающий тег. В этом случае последующее содержимое будет проанализировано, как если бы оно находилось вне тега. Если сайт не проверяет пользовательский ввод в отношении этих элементов так же серьезно, как и для других элементов, злоумышленники могли использовать эту уязвимость для атак типа «межсайтовое выполнение сценариев».
• #CVE-2019-11742: обход политики одного источника и применение фильтров и холстов SVG для кражи изображений из других источников (высокая степень серьезности)**.** Вследствие ошибки применения политики одного источника к кэшированным изображениям возникает нарушение этой политики, используя которое злоумышленники могли красть изображения разных источников и другие данные с помощью фильтров SVG и элемента \ .
• #CVE-2019-11736: манипулирование файлами и повышение привилегий в службе Mozilla Maintenance Service (высокая степень серьезности)**.** Служба Mozilla Maintenance Service не защищает от жесткой привязки одних файлов к другим в каталоге обновлений. Эта уязвимость позволяла заменять локальные файлы, в том числе исполняемый файл Maintenance Service, который выполняется с привилегированным доступом. Кроме того, во время проверки службой Maintenance Service соединений и символьных ссылок возникало состояние гонки, которое в определенных ситуациях не позволяло обнаружить манипуляции с локальными файлами и каталогами. Эту уязвимость потенциально можно было использовать для повышения привилегий пользователей с непривилегированным локальным доступом. Примечание: Эти атаки требуют локального доступа к системе и затрагивают только Windows. Они не распространяются на другие операционные системы.
• #CVE-2019-11753: повышение привилегий с помощью службы Mozilla Maintenance Service в пользовательском месте установки Firefox (высокая степень серьезности)**.** Установщик Firefox позволяет устанавливать Firefox в любое место, доступное пользователю для записи, оставляя его без защиты от манипуляций со стороны непривилегированных пользователей или вредоносных программ. Если Mozilla Maintenance Service используется для обновления этого незащищенного местоположения, а обновленная служба в незащищенном местоположении была изменена, то она могла выполняться с повышенными привилегиями во время обновления по причине отсутствия проверок целостности. Это позволяло повышать привилегии, если локальный исполняемый файл был заменен. Примечание: Эти атаки требуют локального доступа к системе и затрагивают только Windows. Они не распространяются на другие операционные системы.
• #CVE-2019-11752: уязвимость использования данных после освобождения памяти, возникающая при извлечении значения ключа из IndexedDB (высокая степень серьезности)**.** Существовала возможность удалить значение ключа IndexedDB, а затем попытаться извлечь его во время преобразования. Это приводило к возможности использования данных после освобождения памяти и аварийному завершению работы браузера, которым могли воспользоваться злоумышленники.
• #CVE-2019-9812: «** п П обег из песочницы» при использовании расширения Firefox Sync (высокая степень серьезности) **. Сбежать из песочницы можно было, используя процесс обработки ее содержимого, скомпрометированный из-за другой уязвимости. Для этого требовалось загрузить в данный процесс accounts.firefox.com и выполнить принудительный вход в учетную запись злоумышленника в Firefox Sync. В этом случае пользовательские параметры для отключения песочницы синхронизировались с локальным компьютером, и скомпрометированный браузер в случае аварийного завершения работы перезапускался без изолированной среды песочницы.
• #CVE-2019-11741: изоляция addons.mozilla.org и accounts.firefox.com (высокая степень серьезности)**.** Скомпрометированный процесс обработки содержимого песочницы мог выполнить атаку типа «универсальное межсайтовое выполнение сценариев» (UXSS) в отношении содержимого любого сайта, который он мог загрузить в рамках того же процесса. Поскольку addons.mozilla.org и accounts.firefox.com тесно связаны с Firefox, злоумышленники могут использовать эти сайты для изменения пользовательской конфигурации Firefox. Теперь эти два сайта будут изолированы в рамках собственного процесса. Их нельзя будет загрузить в стандартный процесс обработки содержимого.
• #CVE-2019-11743: доступ из другого источника к атрибутам процесса unload (умеренная степень серьезности)**.** События навигации не полностью соответствовали проекту спецификации W3C «Navigation-Timing Level 2» в некоторых случаях использования события unload. Спецификация разрешает доступ к подробным атрибутам синхронизации только из того же источника. Воспользовавшись этой уязвимостью, злоумышленники могли при помощи атак по сторонним каналам синхронизации получить доступ к истории из другого источника.
• #CVE-2019-11748: сохраняемость разрешений WebRTC в стороннем контексте (умеренная степень серьезности)**.** Технология WebRTC в Firefox будет учитывать предоставленные сайтам разрешения на доступ к микрофону и камере даже в стороннем контексте. В свете недавних значительных уязвимостей в другом программном обеспечении было принято решение не сохранять эти разрешения. Это исключает возможность незаметного встраивания доверенных ресурсов WebRTC в содержимое веб-страниц и злоупотребления ранее предоставленными разрешениями. Теперь разрешения будут запрашиваться у пользователей при каждом соответствующем случае.
• #CVE-2019-11749: доступ без запроса к данным камеры с помощью getUserMedia (умеренная степень серьезности)**.** В WebRTC существует уязвимость, в рамках которой вредоносное содержимое веб-страниц может применять методы проверок к API getUserMedia, используя ограничения, чтобы выявлять свойства камер в системе без запроса или уведомления пользователя. Используя эту уязвимость, злоумышленники могли получить возможность отслеживать действия пользователей.
• #CVE-2019-5849: недопустимое чтение в Skia (умеренная степень серьезности)**.** В графической библиотеке Skia существует уязвимость недопустимого чтения, приводящая к утечке данных из памяти.
• #CVE-2019-11750: смешение типов в Spidermonkey (умеренная степень серьезности)**.** В Spidermonkey существует уязвимость смешения типов, которая приводит к аварийному завершению работы, не подверженному злонамеренному использованию.
• #CVE-2019-11737: директивы политики защиты содержимого игнорируют порт и путь, если в качестве хоста указывается подстановочный знак (низкая степень серьезности)**.* Если в директивах политики защиты содержимого (CSP) в качестве хоста указан подстановочный знак (’\’), любые ограничения директивы в отношении порта или пути будут проигнорированы. Вследствие этого директивы CSP не применяются должным образом к содержимому.
• #CVE-2019-11738: обход политики защиты содержимого с помощью источников на основе хэша в директивах (низкая степень серьезности)**.** Если существует директива политики защиты содержимого (CSP), которая использует источник на основе хэша, принимающий пустую строку в качестве входных данных, разрешается выполнение любых javascript: URI. Благодаря этому злоумышленники могли обходить разрешения политики CSP и выполнять вредоносный код JavaScript.
• #CVE-2019-11747: функция «Забыть этот сайт» удаляет сайты из списка предварительной загрузки HSTS (низкая степень серьезности)**.** Функция «Забыть этот сайт» в разделе «История» предназначена для удаления всех сохраненных данных, указывающих на то, что пользователь посещал сайт. Эта функция в том числе удаляет любые настройки HTTP Strict Transport Security (HSTS), полученные с сайтов, использующих эту технологию. Из-за ошибки настройки HSTS удалялись также и для сайтов из списка предварительной загрузки. При следующем посещении сайта, если пользователь переходит на него по ссылке «http: адрес» вместо защищенного «https:адрес», настройки HSTS из списка предварительной загрузки не применялись. После такого посещения настройки HSTS восстанавливались.
• #** CVE **-2019-11734: ошибки безопасности памяти, исправленные в Firefox 69 (высокая степень серьезности)**.** Разработчики Mozilla ичленысообществаРэнделлДжесуп (Randell Jesup), Филипп (Philipp), КосминСабу (Cosmin Sabou) иНатальяЧореги (Natalia Csoregi) сообщилиобошибкахбезопасностипамятив Firefox 68. Некоторые из этих ошибок свидетельствовали о повреждении памяти, и мы предполагаем, что при достаточных усилиях некоторые из них могли быть использованы для выполнения произвольного кода.
• #CVE-2019-11735: ошибки безопасности памяти, исправленные в Firefox 69 и Firefox ESR 68.1 (высокая степень серьезности)**.** Разработчики Mozilla и члены сообщества Михаил Гаврилов, Тайсон Смит (Tyson Smith), Марсия Кноус (Marcia Knous), Том Риттер (Tom Ritter), Филипп (Philipp) и Боб Оуэнс (Bob Owens) сообщили об ошибках безопасности памяти в Firefox 68 и Firefox ESR 68. Некоторые из этих ошибок свидетельствовали о повреждении памяти, и мы предполагаем, что при достаточных усилиях некоторые из них могли быть использованы для выполнения произвольного кода.
• #CVE-2019-11740: ошибки безопасности памяти, исправленные в Firefox 69, Firefox ESR 68.1 и Firefox ESR 60.9 (высокая степень серьезности)**.** Разработчики Mozilla и члены сообщества Тайсон Смит (Tyson Smith) и Натан Фройд (Nathan Froyd) сообщили об ошибках безопасности памяти в Firefox 68, Firefox ESR 68 и Firefox 60.8. Некоторые из этих ошибок свидетельствовали о повреждении памяти, и мы предполагаем, что при достаточных усилиях некоторые из них могли быть использованы для выполнения произвольного кода.

Еще одна уязвимость умеренной степени серьезности была устранена в версии Firefox 69.0.1:

• CVE-2019-11754: Активация API Pointer Lock без уведомления пользователя**.** При активации API Pointer Lock веб-сайтом с помощью функции requestPointerLock() пользователь не получал соответствующего уведомления. Используя эту уязвимость, злоумышленники могли управлять указателем мыши пользователя.

Дополнительную информацию об этих и других уязвимостях, исправленных Mozilla, можно найти здесь: https://www.mozilla.org/en-US/security/advisories/.

Linux

Как обычно, в этом месяце вышли очередные инструкции по безопасности и обновления популярных дистрибутивов Linux. С момента прошлого обзора и до 30 сентября разработчики Ubuntu выпустили следующие 44 инструкции по безопасности. Некоторые из этих инструкций относятся к большому количеству уязвимостей. В других случаях для устранения одной и той же уязвимости выпущено несколько инструкций по безопасности. Аналогичное количество обновлений выпустили другие поставщики коммерческих продуктов Linux.

• USN-4143-1: у** У **язвимости SDL 2.0. Было обнаружено, что SDL 2.0 неправильно обрабатывает созданные файлы изображений, что приводит к целочисленному переполнению. Открытие пользователем вредоносного файла могло повлечь за собой аварийное завершение работы SDL 2.0 или даже выполнение вредоносного кода. (CVE-2017-2888) Было обнаружено, что SDL 2.0 неправильно обрабатывает созданные файлы изображений. 30 сентября 2019 г.
• USN-4142-2: уязвимость e2fsprogs. Обновление USN-4142-1 исправило уязвимость в наборе e2fsprogs. Данная инструкция включает соответствующее обновление для Ubuntu 12.04 ESM и Ubuntu 14.04 ESM. Исходная инструкция по безопасности: Было обнаружено, что e2fsprogs неправильно обрабатывает определенные разделы ext4. Злоумышленник мог использовать это для выполнения произвольного кода. 30 сентября 2019 г.
• USN-4142-1: уязвимость e2fsprogs. Было обнаружено, что e2fsprogs неправильно обрабатывает определенные разделы ext4. Злоумышленник мог использовать это для выполнения произвольного кода. 30 сентября 2019 г.
• USN-4141-1: уязвимость Exim. Было обнаружено, что агент Exim неправильно обрабатывает некоторые строковые операции. Злоумышленник мог воспользоваться этим удаленно, вызывая сбой Exim с последующим отказом в обслуживании или выполнением произвольного кода. 28 сентября 2019 г.
• USN-4140-1: уязвимость Firefox. Было обнаружено, что пользователь не получает уведомлений при активации API pointer lock. Если злоумышленнику удавалось заставить пользователя перейти на специальный вредоносный сайт, первый получал возможность управлять указателем мыши пользователя. 25 сентября 2019 г.
• USN-4139-1: уязвимость File Roller. Было обнаружено, что File Roller неправильно обрабатывает некоторые файлы TAR. Злоумышленник мог воспользоваться этим для перезаписи конфиденциальных файлов во время процедуры извлечения. 25 сентября 2019 г.
• USN-4138-1: уязвимость LibreOffice. Было обнаружено, что LibreOffice неправильно обрабатывает внедренные сценарии в файлах документов. Если злоумышленнику удавалось заставить пользователя открыть специальный вредоносный файл, первый получал возможность выполнять произвольный код. 24 сентября 2019 г.
• USN-4137-1: уязвимость Mosquitto. Было обнаружено, что Mosquitto неправильно обрабатывает некоторые специально созданные входные и сетевые пакеты. Злоумышленник мог использовать эту проблему, чтобы вызвать отказ в обслуживании.
• USN-4134-2: регрессия IBus. Обновление USN-4134-1 устранило уязвимость IBus. Однако оно привело к проявлению регрессии при использовании приложений Qt. Данное обновление отменяет предыдущее. Проблема ожидает дальнейшего изучения. Исходная инструкция по безопасности: Саймон МакВитти (Simon McVittie) обнаружил, что IBus не применяет соответствующие средства управления доступом в своем частном сокете D-Bus. 23 сентября 2019 г.
• USN-4128-2: уязвимости Tomcat. Было обнаружено, что директива SSI printenv в Tomcat 9 использовала внесенные пользователем данные без добавления escape-символов. Злоумышленник мог использовать эту проблему, чтобы организовать XSS-атаку. (CVE-2019-0221) Было обнаружено, что проблема нехватки ресурсов окна соединения HTTP/2 Tomcat 9 при записи не была решена в обновлении, призванном устранить уязвимость CVE-2019-0199. 18 сентября 2019 г.
• USN-4136-2: уязвимость wpa_supplicant и hostapd. Обновление USN-4136-1 исправило уязвимость wpa_supplicant. Данная инструкция включает соответствующее обновление для Ubuntu 12.04 ESM и Ubuntu 14.04 ESM. Исходная инструкция по безопасности: Было обнаружено, что wpa_supplicant неправильно обрабатывает некоторые кадры управления. Злоумышленник мог использовать эту проблему, чтобы вызвать отказ в обслуживании. 18 сентября 2019 г.
• USN-4136-1: уязвимость wpa_supplicant и hostapd. Было обнаружено, что wpa_supplicant неправильно обрабатывает некоторые кадры управления. Злоумышленник мог использовать эту проблему, чтобы вызвать отказ в обслуживании. 18 сентября 2019 г.
• USN-4135-2: уязвимости ядра Linux. Питер Пи (Peter Pi) обнаружил переполнение буфера в серверной части сети virtio (vhost_net) в ядре Linux. Злоумышленник в гостевой системе мог использовать это, чтобы вызвать отказ в обслуживании (сбой ОС хоста) или выполнить произвольный код в ОС хоста. 18 сентября 2019 г.
• USN-4135-1: уязвимости ядра Linux. Питер Пи (Peter Pi) обнаружил переполнение буфера в серверной части сети virtio (vhost_net) в ядре Linux. Злоумышленник в гостевой системе мог использовать это, чтобы вызвать отказ в обслуживании (сбой ОС хоста) или выполнить произвольный код в ОС хоста. 18 сентября 2019 г.
• USN-4113-2: регрессия Apache HTTP Server. Обновление USN-4113-1 исправилоуязвимость Apache HTTP server. К сожалению, это обновление привело к проявлению регрессии при использовании прокси-сервера для соединений менеджера балансировки в некоторых конфигурациях. Данное обновление исправляет появившуюся проблему. Приносим свои извинения за доставленные неудобства. 17 сентября 2019 г.
• USN-4124-2: уязвимость Exim. Обновление USN-4124-1 исправило уязвимость агента Exim. Данная инструкция включает соответствующее обновление для Ubuntu 14.04 ESM. Исходная инструкция по безопасности: Было обнаружено, что Exim неправильно обрабатывает некоторые операции декодирования. Злоумышленник мог использовать это для выполнения произвольных команд. 16 сентября 2019 г.
• USN-4134-1: уязвимость IBus. Саймон МакВитти (Simon McVittie) обнаружил, что IBus не применяет соответствующие средства управления доступом в своем частном сокете D-Bus. Локальный непривилегированный пользователь, который узнает адрес сокета IBus другого пользователя, мог использовать эту уязвимость для отслеживания нажатий клавиш другим пользователем. 16 сентября 2019 г.
• USN-4133-1: уязвимости Wireshark. Было обнаружено, что Wireshark неправильно обрабатывает некоторые вводимые данные. Удаленный или локальный злоумышленник мог вызвать сбой Wireshark, введя в сеть неверно сформированные пакеты или убедив кого-либо открыть файл трассировки такого пакета. 16 сентября 2019 г. USN-4129-2: уязвимость curl.
• Обновление USN-4129-1 исправило уязвимость программы curl. Данная инструкция включает соответствующее обновление для Ubuntu 12.04 ESM и 14.04 ESM. Исходная инструкция по безопасности: Томас Вегас обнаружил, что программа curl неправильно обрабатывает память в процессе передачи TFTP. Злоумышленник мог воспользоваться этим удаленно и вызвать сбой curl с последующим отказом в обслуживании. 12 сентября 2019 г.
• USN-4132-2: уязвимость Expat. Обновление USN-4132-1 исправило уязвимость библиотеки Expat. Данная инструкция включает соответствующее обновление для Ubuntu 12.04 ESM и Ubuntu 14.04 ESM. Исходная инструкция по безопасности: Было обнаружено, что Expat неправильно обрабатывает некоторые XML-файлы. Злоумышленник мог использовать это для раскрытия конфиденциальной информации. 12 сентября 2019 г.
• USN-4132-1: уязвимость Expat. Было обнаружено, что Expat неправильно обрабатывает некоторые XML-файлы. Злоумышленник мог использовать это для раскрытия конфиденциальной информации. 12 сентября 2019 г.
• USN-4131-1: уязвимости VLC. Было обнаружено, что VLC неправильно обрабатывает некоторые файлы мультимедиа. Если злоумышленнику удавалось заставить пользователя открыть специальный вредоносный файл, первый получал возможность использовать эту уязвимость, чтобы вызвать сбой VLC с последующим отказом в обслуживании или выполнением произвольного кода. 11 сентября 2019 г.
• USN-4130-1: уязвимости WebKitGTK+. Большое количество проблем безопасности выявлено в веб-подсистеме и механизме обработки JavaScript WebKitGTK+. Если пользователя удавалось обманным путем заставить открыть вредоносный веб-сайт, злоумышленник мог удаленно использовать различные проблемы безопасности веб-браузера, в том числе проводить атаки межсайтового выполнения сценариев, отказа в обслуживании, а также выполнять произвольный код. 11 сентября 2019 г.
• USN-4129-1: уязвимости программы curl. Томас Вегас (Thomas Vegas) обнаружил, что curl неправильно обрабатывает память при использовании Kerberos по протоколу FTP. Злоумышленник мог воспользоваться этим удаленно и вызвать сбой curl с последующим отказом в обслуживании. (CVE-2019-5481) Томас Вегас (Thomas Vegas) обнаружил, что программа curl неправильно обрабатывает память в процессе передачи TFTP. 11 сентября 2019 г.
• USN-4115-2: регрессия ядра Linux. Обновление USN 4115-1 исправило уязвимости ядра Linux 4.15 для версий Ubuntu 18.04 LTS и Ubuntu 16.04 LTS. К сожалению, это обновление также привело к проявлению регрессии, которая в некоторых ситуациях вызвала сбой ядра при обработке фрагментированных пакетов. Данное обновление исправляет появившуюся проблему. Приносим свои извинения за доставленные неудобства. 11 сентября 2019 г.
• USN-4120-2: регрессия systemd. Обновление USN-4120-1 исправило уязвимость подсистемы systemd. Оно включало последнюю стабильную версию, при использовании которой у некоторых пользователей возникали проблемы с сетью. Данное обновление исправляет появившуюся проблему. Приносим свои извинения за доставленные неудобства. 10 сентября 2019 г.
• USN-4128-1: уязвимости Tomcat. Было обнаружено, что директива SSI printenv в Tomcat 8 использовала внесенные пользователем данные без добавления escape-символов. Злоумышленник мог использовать эту проблему, чтобы организовать XSS-атаку. (CVE-2019-0221) Было обнаружено, что проблема нехватки ресурсов окна соединения HTTP/2 Tomcat 8 при записи не была решена в обновлении, призванном устранить уязвимость CVE-2019-0199. 10 сентября 2019 г.
• USN-4127-2: уязвимости Python. Обновление USN-4127-1 исправило несколько уязвимостей Python. Данная инструкция включает соответствующее обновление для Ubuntu 12.04 ESM и Ubuntu 14.04 ESM. Исходная инструкция по безопасности: Было обнаружено, что Python неправильно обрабатывает некоторые файлы pickle. Злоумышленник мог использовать эту проблему, чтобы вызвать нехватку памяти и отказ в обслуживании. 10 сентября 2019 г.
• USN-4126-2: уязвимости библиотеки FreeType. Обновление USN-4126-1 исправило уязвимость библиотеки FreeType. Данная инструкция включает соответствующее обновление для Ubuntu 12.04 ESM и Ubuntu 14.04 ESM. Было обнаружено, что FreeType неправильно обрабатывает некоторые файлы шрифтов. Злоумышленник мог использовать это для получения доступа к конфиденциальной информации. 9 сентября 2019 г.
• USN-4127-1: уязвимости Python. Было обнаружено, что Python неправильно обрабатывает некоторые файлы pickle. Злоумышленник мог использовать эту проблему, чтобы вызвать нехватку памяти и отказ в обслуживании. Эта уязвимость затрагивала только версии Ubuntu 16.04 LTS и Ubuntu 18.04 LTS. (CVE-2018-20406) Было обнаружено, что Python неправильно проверял домен при обработке файлов cookie. 9 сентября 2019 г.
• USN-4126-1: уязвимости библиотеки FreeType. Было обнаружено, что FreeType неправильно обрабатывает некоторые файлы шрифтов. Злоумышленник мог использовать это для получения доступа к конфиденциальной информации. 9 сентября 2019 г.
• USN-4125-1: уязвимость Memcached. Было обнаружено, что программа Memcached неправильно обрабатывает некоторые сокеты UNIX. Злоумышленник мог использовать это для получения доступа к конфиденциальной информации. 9 сентября 2019 г.
• USN-4124-1: уязвимость Exim. Было обнаружено, что агент Exim неправильно обрабатывает некоторые операции декодирования. Злоумышленник мог использовать это удаленно для выполнения произвольных команд. 6 сентября 2019 г.
• USN-4123-1: уязвимость npm/fstream. Было обнаружено, что npm / fstream неправильно обрабатывает некоторые созданные архивы tar. Злоумышленник мог использовать это для записи произвольных файлов в файловую систему. 5 сентября 2019 г.
• USN-4122-1: уязвимости Firefox. В Firefox было обнаружено несколько проблем безопасности. Если злоумышленнику удавалось убедить пользователя открыть специально созданный вредоносный сайт, то первый получал возможность использовать эти уязвимости для получения доступа к конфиденциальной информации, обхода политики защиты содержимого (CSP), обхода ограничений в отношении одного источника, проведения XSS-атак, вызова отказа в обслуживании и т.д. 4 сентября 2019 г.
• USN-4121-1: уязвимость Samba. Штефан Метцмахер (Stefan Metzmacher) обнаружил, что в некоторых ситуациях SMB-сервер Samba не мог полностью предотвратить выход клиентов за пределы общего корневого каталога. Злоумышленник мог использовать это для получения доступа к файлам за пределами общих файлов Samba, если то позволяла соответствующая файловая система. 3 сентября 2019 г.
• USN-4120-1: уязвимость systemd. Было обнаружено, что разрешенный подсистемой systemd интерфейс D-Bus не применял необходимые средства управления доступом. Локальный непривилегированный пользователь мог использовать это для изменения настроек DNS-преобразователя системы. 3 сентября 2019 г.
• USN-4119-1: уязвимость Irssi. Было обнаружено, что клиент Irssi неправильно обрабатывает некоторые запросы CAP. Злоумышленник мог использовать эту проблему, чтобы вызвать отказ в обслуживании или выполнить произвольный код. 3 сентября 2019 г.
• USN-4118-1: уязвимости ядра Linux (AWS). Было обнаружено, что таймер аварийных сигналов в ядре Linux имеет уязвимость целочисленного переполнения. Локальный злоумышленник мог использовать это, чтобы вызвать отказ в обслуживании. (CVE-2018-13053) Вэнь Сюй (Wen Xu) обнаружил, что файловая система XFS в ядре Linux неправильно отслеживает проверки индексных дескрипторов inode. 2 сентября 2019 г.
• USN-4117-1: уязвимости ядра Linux (AWS). Было обнаружено, что драйвер устройства беспроводной локальной сети Marvell для ядра Linux подвержен переполнению буфера динамической памяти. Злоумышленник мог использовать эту проблему, чтобы вызвать отказ в обслуживании (сбой системы) или выполнить произвольный код. 2 сентября 2019 г.
• USN-4116-1: уязвимости ядра Linux. Была обнаружена ошибка использования данных после освобождения памяти в подсистеме уровня блоков ядра Linux, проявлявшаяся при возникновении отдельных состояний отказа. Локальный злоумышленник мог использовать эту проблему, чтобы вызвать отказ в обслуживании (сбой системы) или выполнить произвольный код. 2 сентября 2019 г.
• USN-4115-1: уязвимости ядра Linux. Хуэй Пэн (Hui Peng) и Матиас Пайер (Mathias Payer) обнаружили, что драйвер Option USB High Speed в ядре Linux неправильно проверяет метаданные, полученные от устройства. Злоумышленник, находящийся в физической близости, мог использовать эту проблему, чтобы вызвать отказ в обслуживании (сбой системы). 2 сентября 2019 г.
• USN-4114-1: уязвимости ядра Linux. Амит Кляйн (Amit Klein) и Бенни Пинкас (Benny Pinkas) обнаружили, что ядро Linux недостаточно рандомизирует значения IP-идентификатора, сгенерированные для сетевых протоколов без установления соединения. Удаленный злоумышленник мог использовать это для отслеживания отдельных устройств Linux. (CVE-2019-10638) Правин Пандей (Praveen Pandey) обнаружил, что ядро Linux в некоторых ситуациях неправильно проверяет отправленные сигналы. 2 сентября 2019 г.
• USN-3934-2: уязвимость PolicyKit. Обновление USN-3934-1 исправило уязвимость библиотеки Policykit. Данная инструкция включает соответствующее обновление для Ubuntu 12.04 ESM. Исходная инструкция по безопасности: Было обнаружено, что библиотека PolicyKit неверно расценивает системный вызов fork() в ядре Linux как атомарный. 2 сентября 2019 г.