The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Уязвимости в SugarCRM, libvorbis, libtool и Solaris

28.11.2009 09:13

Несколько новых уязвимостей:

  • В SugarCRM найдено 6 уязвимостей, охватывающих почти весь спектр проблем, которые могут возникнуть в web-приложениях. Злоумышленник может осуществить подстановку и выполнение своего SQL кода, удалить любые данные в рабочей директории на сервере, осуществить подстановку JavaScript кода (XSS), сгенерировать и загрузить бэкап не имея соответствующих прав, выполнить свой PHP код на сервере, на платформе Windows обратиться к закрытым файлам используя в запросе символы верхнего регистра. Ошибки исправлены в версии SugarCRM 5.2.0k;
  • В libvorbis обнаружены две уязвимости, которые могут привести к выполнению кода злоумышленника при попытке обработки специально оформленных звуковых файлов в формате Vorbis. Новая версия с исправлением ошибок еще не вышла;
  • В libtool найдена недоработка, связанная с присутствием текущей директории в пути поиска подключаемых библиотек. Локальный злоумышленник может повысить свои привилегии в системе, скомпоновав в своей директории определенную библиотеку и инициировав вызов привилегированного приложения. Проблема устранена в GNU Libtool 2.2.6b;
  • В кэширующем LDAP запросы демоне ldap_cachemgr из состава Solaris 9, Solaris 10 и OpenSolaris найдена ошибка, позволяющая злоумышленнику вызвать крах демона и блокировать аутентификацию пользователей через LDAP.

Кроме того, компания NetCraft провела анализ наличия уязвимости в реализации протокола TLS для 100 крупнейших HTTPS сайтов. Оказалось, что спустя три недели после анонса уязвимости проблема устранена только на 24 сайтах из 100, на остальных злоумышленники могут без проблем провести man-in-the-middle атаку.

Лицензия: CC-BY
Тип: Проблемы безопасности
Короткая ссылка: https://opennet.ru/24444-security
Ключевые слова: security, vorbit, solaris, sugarcrm
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение (6) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, VyacheslavS (?), 11:45, 28/11/2009 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >В SugarCRM найдено 6 уязвимостей, охватывающих почти весь спектр проблем, которые могут возникнуть в web-приложениях.

    Это полный трындец для тех организаций, которые пользовали сей продукт через открытый доступ.

     
     
  • 2.6, User294 (ok), 15:03, 28/11/2009 [^] [^^] [^^^] [ответить]  
  • +/
    Полный трындец - когда внутренние ресурсы конторы вывешивают всем. Даже если там нет дыр, ничто не мешает "всем" оказаться реальными засранцами и загнать вам 100 000 ботов. И пока ваши системы будут пыжиться обслужить эту ораву, нормальные пользователи, разумеется, будут пролетать.
     

  • 1.2, evgeny_t (ok), 13:15, 28/11/2009 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    доверять серьёзное crm не серьёзно )
     
     
  • 2.3, VyacheslavS (?), 14:34, 28/11/2009 [^] [^^] [^^^] [ответить]  
  • +/
    Остаётся опять пользовать проприетарные продукты?
     
     
  • 3.5, User294 (ok), 14:56, 28/11/2009 [^] [^^] [^^^] [ответить]  
  • +1 +/
    И, конечно, есть уверенность что там дела обстоят лучше? Ведь маркетологи столь убедительно вешают лапшу на уши, а баги чинятся втихарика. А может и не чинятся, откуда ж вы узнаете? :)
     
  • 3.7, аноним (?), 18:00, 28/11/2009 [^] [^^] [^^^] [ответить]  
  • +/
    А в них все гораздо хуже вообще-то.
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Спонсоры:
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2020 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру