The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Уязвимости в LibreOffice, FFmpeg, RPM, Zope, Plone, Perl, Puppet, Quagga, Qt и Django

05.10.2011 18:11

Несколько недавно обнаруженных уязвимостей:

  • Разработчики LibreOffice признали, что в выпущенных в августе релизах LibreOffice 3.4.3 и 3.3.4 было скрытно исправлено несколько уязвимостей, среди которых критическая проблема, позволяющая организовать выполнение кода при открытии специальным образом модифицированных файлов в формате DOC. Кроме того, сообщается об устранении проблем безопасности в коде обработки изображений EMF и WMF. Всем пользователям офисного пакета рекомендуется срочно обновить LibreOffice до последних версий;
  • В корректирующих выпусках мультимедиа пакета FFmpeg 0.7.6 и 0.8.5 устранено 32 уязвимости, среди которых присутствуют проблемы, позволяющие добиться выполнения кода в системе при обработке специально оформленного контента в различных форматах. Например, проблемы отмечены в декодерах avi, h264, mov, jpeg, ANM, 4xm, CMV, PTX, QDM2, QuickDraw, TIFF, aac, avs, flic, indeo2, jpeg 2000, vmd и т.д. Опасность усугубляет то, что FFmpeg используется для обработки контента во многих открытых приложениях, включая VLC и MPlayer;
  • В корректирующем выпуске пакетного менеджера RPM 4.9.1.2 устранена уязвимость, которая могла привести к выполнению кода при проверке сигнатуры для специально оформленного RPM-пакета;
  • В CMS Plone и платформе Zope найдена уязвимость, позволяющая удаленному злоумышленнику выполнить свой код, отправив специально оформленный запрос на сервер. Для устранения уязвимости выпущен hotfix-патч;
  • Во входящем в базовую поставку Perl модуле Digest найдена уязвимость, позволяющая организовать выполнение perl-кода при обработке в Digest->new() полученных из внешних источников параметров. Проблема связана с тем, что в Digest->new() используется вызов "eval()" без предварительной проверки данных. Проблема устранена в версии 1.17. Кроме того, еще одна уязвимость найдена в модуле FCGI. Проблема вызвана отсутствием полной очистки всех переменных окружения между вызовами обработчиков для разных запросов. Например, содержимое переменных с параметрами аутентификации может перекочевать после обработки первого запроса во второй, если во втором запросе были переданы пустые параметры. Проблема проявляется только при использовании устаревшего API CGI::Fast в версиях FCGI 0.7x до 0.74.
  • Опубликовано дополнение к представленному на прошлом неделе отчету о локальной root-уязвимости во FreeBSD. Более глубокое изучение проблемы показало, выпущенный для устранения уязвимости патч, делает невозможным использование UNIX-сокетов в эмуляторе Linux, например, UNIX-сокеты используются в Skype и Flash-плагине;
  • В Puppet 2.6.11 и 2.7.5, инструментарии для централизованного управления конфигурацией серверов, устранены три уязвимости, позволяющие локальному пользователю поднять свои привилегии в системе используя атаку по подстановке символических ссылок на файлы authorized_keys и .k5login, а также через манипуляции с временными файлами (в режиме "--edit" временные файлы создавались с предсказуемыми именами);
  • В свободном пакете с реализацией протоколов маршрутизации Quagga 0.99.20 устранено 4 уязвимости, позволяющие удаленно вызвать отказ в обслуживании через отправку специально оформленных пакетов (крах ospf6d, ospfd и bgpd);
  • В библиотеке Qt найдена уязвимость, позволяющая организовать выполнение кода при обработке специально оформленных TIFF-изображений. Проблема пока устранена только в Git-репозитории;
  • В Python-фреймворке для разработки web-приложений Django 1.2.7 и 1.3.1 устранены 4 уязвимости, которые позволяют манипулировать сессионными ключами, осуществить подмену содержимого кэша и вызвать отказ в обслуживании.


  1. OpenNews: Корректирующий выпуск офисного пакета LibreOffice 3.4.3
  2. OpenNews: Корректирующий выпуск офисного пакета LibreOffice 3.3.4
Лицензия: CC-BY
Тип: Проблемы безопасности
Ключевые слова: security, libreoffice, ffmpeg, rpm, zope, plone, perl, puppet, quagga, qt, django
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение (27) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.2, Аноним (-), 20:16, 05/10/2011 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    то что
    > LibreOffice 3.4.3 и 3.3.4 было скрытно исправлено несколько уязвимостей

    плохо что не сообщили ...

    то что
    > об локальной root-уязвимости во FreeBSD

    первое - не по русски "о локальной"
    второе - успеют к 9му релизу ?

     
     
  • 2.3, Отсутствуют данные в поле Name (?), 20:28, 05/10/2011 [^] [^^] [^^^] [ответить]  
  • +2 +/
    >LibreOffice 3.4.3 и 3.3.4 было скрытно исправлено несколько уязвимостей

    Это пройдёт. Просто привычки со времён работы на Оркл.

     
     
  • 3.4, фыва (?), 20:48, 05/10/2011 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Ораклистов там мало, если вообще есть.
    Просто нет пиарщиков/евангелистов. Исправили, а рассказать об этом некому.
     
     
  • 4.7, Аноним (-), 21:10, 05/10/2011 [^] [^^] [^^^] [ответить]  
  • –4 +/
    > Ораклистов там мало, если вообще есть.
    > Просто нет пиарщиков/евангелистов. Исправили, а рассказать об этом некому.

    Распиарить себя везде - сил хватило, А признать свои ошибки - нет.
    Как это в стиле RedHat (которые одни из основателей Libre) - назвать ошибки в безопастности - не критическими.

     
     
  • 5.9, Аноним (-), 21:32, 05/10/2011 [^] [^^] [^^^] [ответить]  
  • +/
    > Распиарить себя везде - сил хватило, А признать свои ошибки - нет.

    А это почти как с файрфоксом: пиарили не разработчики а пользователи. Которых задолбали потуги оракла рулить методом слона в посудной лавке, не делая ничего полезного но зато сильно желая покрутить штурвал.

    > Как это в стиле RedHat (которые одни из основателей Libre) - назвать
    > ошибки в безопастности - не критическими.

    Реально критическое - это когда ремотно, без спроса, бац - и рут. Вот это критично, да - автоматическая зараза может переиметь все на автопилоте и собрать огромные ботнеты. Остальное менее критично, хоть и неприятно.

     
  • 3.13, Аноним (-), 21:53, 05/10/2011 [^] [^^] [^^^] [ответить]  
  • +/
    >>LibreOffice 3.4.3 и 3.3.4 было скрытно исправлено несколько уязвимостей
    > Это пройдёт. Просто привычки со времён работы на Оркл.

    Скорее наоборот - не хотели заклятым конкурентам помогать.
    А теперь вот раскрыли инфу, разработчики OOo проведут аудит, да пофиксят аналогичные баги у себя.

     
     
  • 4.15, Клыкастый (ok), 22:25, 05/10/2011 [^] [^^] [^^^] [ответить]  
  • +2 +/
    за такую конкуренцию надо ботинками по голове походить
     
  • 2.5, Аноним (-), 21:08, 05/10/2011 [^] [^^] [^^^] [ответить]  
  • –3 +/
    Такая вот она "Свобода" - видимо свобода знать о всех проблемах в безопасности.
    Две из них они под давлением признали - а скрытых сколько ?
     
     
  • 3.22, Аноним (-), 00:56, 06/10/2011 [^] [^^] [^^^] [ответить]  
  • +/
    Возьми код, посмотри.
     
  • 2.14, 17 (??), 22:24, 05/10/2011 [^] [^^] [^^^] [ответить]  
  • +/
    > второе - успеют к 9му релизу ?

    да уже пропатчили все поддерживаемые релизы.

     
     
  • 3.17, Аноним (-), 22:44, 05/10/2011 [^] [^^] [^^^] [ответить]  
  • +/
    написано же русским по белому, что патч ломает работу сокетов
    или чтото не понял ?
     
     
  • 4.18, 17 (??), 22:47, 05/10/2011 [^] [^^] [^^^] [ответить]  
  • –5 +/
    > написано же русским по белому, что патч ломает работу сокетов
    > или чтото не понял ?

    вот тут почитай, что линуксолятор уже пропатчили, после того как работу сокетов сломали.
    http://lists.freebsd.org/pipermail/svn-src-all/2011-October/042879.html

     
     
  • 5.26, Аноним (-), 09:22, 06/10/2011 [^] [^^] [^^^] [ответить]  
  • +/
    покажи мне где я грязно выражался в отличии от ...

    в тексте новости четко прослеживается что есть патч и он ломает сокеты

    сегодня надеюсь выспался ?

     
  • 4.19, 17 (??), 22:52, 05/10/2011 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > написано же русским по белому, что патч ломает работу сокетов
    > или чтото не понял ?

    прошу прощения за предыдущий коммент. вспылил, был не прав. на самом деле хотел сказать что на брудершафт мы с вами не пили, так что тыкать мне не надо. во-вторых, эта часть новости неактуальна. вчера во все поддерживаемые релизы уже скоммичено исправление. пруф вот здесь: http://lists.freebsd.org/pipermail/svn-src-all/2011-October/042879.html

     
  • 2.28, тигар (ok), 09:46, 06/10/2011 [^] [^^] [^^^] [ответить]  
  • +/
    svn log -v -r226023:
    ------------------------------------------------------------------------
    r226023 | cperciva | 2011-10-04 22:07:38 +0300 (вт, 04 окт 2011) | 8 lines
    Changed paths:
       M /head/sys/compat/linux/linux_socket.c
       M /releng/7.3/UPDATING
       M /releng/7.3/sys/compat/linux/linux_socket.c
       M /releng/7.3/sys/conf/newvers.sh
       M /releng/7.4/UPDATING
       M /releng/7.4/sys/compat/linux/linux_socket.c
       M /releng/7.4/sys/conf/newvers.sh
       M /releng/8.1/UPDATING
       M /releng/8.1/sys/compat/linux/linux_socket.c
       M /releng/8.1/sys/conf/newvers.sh
       M /releng/8.2/UPDATING
       M /releng/8.2/sys/compat/linux/linux_socket.c
       M /releng/8.2/sys/conf/newvers.sh
       M /stable/7/sys/compat/linux/linux_socket.c
       M /stable/8/sys/compat/linux/linux_socket.c
       M /stable/9/sys/compat/linux/linux_socket.c

    Fix a bug in UNIX socket handling in the linux emulator which was
    exposed by the security fix in FreeBSD-SA-11:05.unix.

    Approved by:    so (cperciva)
    Approved by:    re (kib)
    Security:       Related to FreeBSD-SA-11:05.unix, but not actually
                    a security fix.

    ------------------------------------------------------------------------

     

  • 1.6, gegMOPO4 (ok), 21:08, 05/10/2011 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Детали не разглашаются, а hotfix выпустили. Нет ли здесь противоречия и желтизны?
     
     
  • 2.11, Аноним (-), 21:50, 05/10/2011 [^] [^^] [^^^] [ответить]  
  • +/
    >Детали не разглашаются, а hotfix выпустили. Нет ли здесь противоречия и желтизны?

    Хитрость в том, что множество А проповедников по форумам и множество В квалифицированных программистов, способных по патчу определить подробности, практически не пересекаются :)

    Помнится, американцы во время Второй Мировой использовали в качестве шифра язык племени Навахо. У фашистов элементарно не было людей, знавших этот язык. По-моему, хорошая аналогия :)

     
     
  • 3.20, gegMOPO4 (ok), 23:26, 05/10/2011 [^] [^^] [^^^] [ответить]  
  • +/
    Признаться, я предполагал, что желтизной новость обязана, как обычно, опеннету. Но нет, в оригинале явно сказано: «Due to the nature of the vulnerability, the security team has decided to pre-announce that a fix is upcoming before disclosing the details». В то же время, фикс — крохотный архив с двумя питоновскими скриптами, один — сам простой фикс, другой — готовый тест (только имя хоста прописать). Т.е. указано, где сидит уязвимость и как к ней подступиться извне. А дальше любой, владеющий питоном и исходниками, может раскопать в чём именно ошибка и как её использовать.
     
  • 3.31, toivo (?), 10:45, 17/10/2011 [^] [^^] [^^^] [ответить]  
  • +/
    >Помнится, американцы во время Второй Мировой использовали в качестве шифра язык племени Навахо.

    Наши тоже не дураки были... Описаны случаи с казахами, грузинами, осетинами, да и переход на украинский или белорусский тоже фашистам мозг выносил.
    Удачи!

     
  • 2.16, 17 (??), 22:27, 05/10/2011 [^] [^^] [^^^] [ответить]  
  • +/
    > Детали не разглашаются, а hotfix выпустили. Нет ли здесь противоречия и желтизны?

    Поизучайте как устанавливаются эти хотфиксы. Это отдельный пакет (egg), который устанавливается в систему дополнительно к zope или plone. Т.е. Вычленить оттуда собственно закрытие уязвимости не так просто, как если бы это был традиционный патч.

     
     
  • 3.21, gegMOPO4 (ok), 23:28, 05/10/2011 [^] [^^] [^^^] [ответить]  
  • +1 +/
        from OFS.misc_ import p_

        for k, v in list(p_.__dict__.items()):
            if isinstance(v, ModuleType):
                del p_.__dict__[k]

        from Products.CMFEditions.utilities import KwAsAttributes

        if not hasattr(KwAsAttributes, '__roles__'):
            KwAsAttributes.__roles__ = ()

    Вот и весь хотфикс.

     

  • 1.8, Тот_Самый_Анонимус (?), 21:24, 05/10/2011 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    >Разработчики LibreOffice признали, что в выпущенных в августе релизах LibreOffice 3.4.3 и 3.3.4 было скрытно исправлено несколько уязвимостей <вырезано за ненадобностью>

    Причём не сообщается есть ли эти уязвимости в OOo. Вполне вероятно что "разработчики" просто исправляли результаты своей криворукости. а в оригинальном офисе этих косяков не было.

     
     
  • 2.10, Аноним (-), 21:33, 05/10/2011 [^] [^^] [^^^] [ответить]  
  • +/
    > Причём не сообщается есть ли эти уязвимости в OOo.

    Скорее всего никто особо и не разбирался. Вот смотрите, есть ваш проект а есть форк от котоорго вы свалили потому что они - козлы. Пусть вы нашли баг. Пойдете ли вы репортить его "козлам"? Правильно: вы забьете, а "козлы" пусть сами выгребают как умеют. А вы как максимм станцуете на их могилке если они все-таки не выгребут :)

     
     
  • 3.12, Аноним (-), 21:51, 05/10/2011 [^] [^^] [^^^] [ответить]  
  • +/
    > Правильно: вы забьете, а "козлы" пусть сами выгребают как умеют.

    Свобода, равенство, братство! А также, совет да любовь!

     
  • 3.24, Тот_Самый_Анонимус (?), 06:37, 06/10/2011 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >Вот смотрите, есть ваш проект а есть форк от котоорго вы свалили потому что они - козлы. Пусть вы нашли баг. Пойдете ли вы репортить его "козлам"?

    Вот смотрите, есть свободный проект, иметь который Вам выгодно. Вы, как настоящий козёл, требуете торговую марку. Вам отказывают и Вы начинаете переманивать разработчиков. ваяете форк. и не жалеете деньги на пиар. Зарабатываете толпы фанатов, которые лижут задницу Вам и Вашему продукту. Находите ошибки в своём творении, и, как истинный козёл, скрываете их, исправляя их в следующей версии, но "забыв" упомянуть их исправление. Но Вы можете оказаться в глазах общественности избавителем от ошибок. Достаточно найти корни этих глюков в родительском проекте и обвинить их в кривизне, а себя спасителем, что принесёт Вам ещё несколько очков в глазах фанатов. Однако в оригинальном проекте нет этих ошибок. И Вы, в порыве своей козлиной души, просто делаете вид что не было никаких ошибок.

    Могло быть и так. Никто не может заставить людей работать на другой проект. Однако если ошибки приплыли из OOo, то тогда я не вижу смысла скрывать их наличие.

     

  • 1.29, Аноним (-), 10:52, 06/10/2011 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    > в выпущенных в августе релизах LibreOffice 3.4.3 и 3.3.4 было скрытно исправлено...

    А номер версии они не поменяли после "скрытного исправления" или выложили под тем же номером?

     
     
  • 2.30, Мимо шел (?), 19:48, 06/10/2011 [^] [^^] [^^^] [ответить]  
  • +/
    Написано же, что исправлено "в выпущенных релизах". Исправили ошибки и выпустили релизы.
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Спонсоры:
    Слёрм
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2020 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру