CVE
Thông tin điểm yếu, lỗ hổng - Tuần 1 - Tháng 7 - 2023
date
Jul 3, 2023
slug
cve-tuan-1-thang-7-nam-2023
author
status
Public
tags
News
CVE
Blog
summary
CVE tuần 1 tháng 7 - 2023
type
Post
thumbnail
category
CVE
updatedAt
Aug 17, 2023 07:06 AM
Thông tin điểm yếu, lỗ hổng
Sản phẩm/ Dịch vụ | Mã lỗ | Mô tả | Link tham khảo | Ghi chú |
Samsung mobile | CVE-2021-25394 (Điểm CVSS: 6,4)
CVE-2021-25395 (Điểm CVSS: 6,4)
CVE-2021-25371 (Điểm CVSS: 6,7)
CVE-2021-25372 (điểm CVSS: 6,7)
CVE-2021-25487 (Điểm CVSS: 7,8)
CVE-2021-25489 (Điểm CVSS: 5,5)
CVE-2019-17621 (Điểm CVSS: 9,8)
CVE-2019-20500 (Điểm CVSS: 7,8) | CISA đã đưa một bộ 8 lỗ hổng vào danh mục Các lỗ hổng bị khai thác đã biết ( KEV ), dựa trên bằng chứng về hoạt động khai thác tích cực.
6 thiếu sót ảnh hưởng đến điện thoại thông minh Samsung và 2 lỗ hổng ảnh hưởng đến thiết bị D-Link. Tất cả các lỗ hổng đã được vá kể từ năm 2021.
- CVE-2021-25394 (Điểm CVSS: 6,4) - Lỗ hổng điều kiện loại trên thiết bị di động Samsung
- CVE-2021-25395 (Điểm CVSS: 6,4) - Lỗ hổng điều kiện loại trên thiết bị di động Samsung
- CVE-2021-25371 (Điểm CVSS: 6,7) - Một lỗ hổng không xác định trong trình điều khiển DSP được sử dụng trong các thiết bị di động của Samsung cho phép tải các thư viện ELF tùy ý
- CVE-2021-25372 (điểm CVSS: 6,7) - Thiết bị di động Samsung kiểm tra ranh giới không đúng trong trình điều khiển DSP trong thiết bị di động Samsung
- CVE-2021-25487 (Điểm CVSS: 7,8) - Lỗ hổng đọc ngoài giới hạn của thiết bị di động Samsung dẫn đến thực thi mã tùy ý
- CVE-2021-25489 (Điểm CVSS: 5,5) - Lỗ hổng xác thực đầu vào không đúng của thiết bị Samsung Mobile dẫn đến hỏng kernel
- CVE-2019-17621 (Điểm CVSS: 9,8) - Lỗ hổng thực thi mã từ xa chưa được xác thực trong Bộ định tuyến D-Link DIR-859
- CVE-2019-20500 (Điểm CVSS: 7,8) - Lỗ hổng chèn lệnh hệ điều hành đã được xác thực trong D-Link DWL-2600AP
Việc bổ sung hai lỗ hổng D-Link sau một báo cáo từ Unit 42 của Palo Alto Networks vào tháng trước về các tác nhân đe dọa liên quan đến một biến thể mạng botnet Mirai tận dụng các lỗ hổng trong một số thiết bị IoT để phát tán phần mềm độc hại trong một loạt các cuộc tấn công bắt đầu vào tháng 3 năm 2023. | Áp dụng các bản sửa lỗi cần thiết trước ngày 20 tháng 7 năm 2023 | |
GitLab release | CVE-2023-3484 | GitLab vừa phát các phiên bản 16.1.2, 16.0.7 và 15.11.11 cho GitLab Community Edition (CE) và Enterprise Edition (EE), giải quyết lỗ hổng nghiêm trọng CVE-2023-2825. Lỗ hổng tồn tại do lỗi không xác định, kẻ tấn công có thể thay đổi tên hoặc đường dẫn của group công khai trong một số trường hợp nhất định và leo thang đặc quyền trong ứng dụng. | "12.8 <= version < 15.11.11
16.0 <= version < 16.0.7
16.1 <= version < 16.1.2" update lên các version mới nhất là 16.1.2, 16.0.7 và 15.11.11 | |
Linux kernel | Linux kernel | Trong Linux kernel có tồn tại một lỗ hổng bảo mật liên quan đến việc xử lý mở rộng ngăn xếp là StackRot có thể cho phép người dùng cục bộ khai thác và leo thang đặc quyền trong máy chủ mục tiêu. Lỗ hổng bắt nguồn từ một cấu trúc dữ liệu gọi là maple tree, được giới thiệu trong kernel Linux 6.1 để thay thế cho red-black tree (rbtree) để quản lý và lưu trữ các vùng bộ nhớ ảo (VMAs). Cụ thể, nó là một lỗi use-after-free được người dùng lợi dụng việc maple tree có thể xảy ra quá trình thay thế node mà không được khóa ghi MM đúng cách. | 6.1 < version < 6.4 .update lên các phiên bản khong bị ảnh hưởng là 6.1.37, 6.3.11 và 6.4.1 | |
Google Android | CVE-2023-2136
CVE-2021-29256
CVE-2023-26083
CVE-2023-21250 | Lỗ hổng CVE-2023-2136 trong Skia, thư viện đồ họa 2D đa nền tảng mã nguồn mở của Google. Ban đầu, nó được coi là lỗ hổng zero-day trong trình duyệt Chrome, cho phép kẻ tấn công từ xa đã kiểm soát quy trình kết xuất, từ đó thực hiện thoát khỏi hộp cát và triển khai mã từ xa trên thiết bị Android.
Lỗ hổng CVE-2021-29256 ảnh hưởng đến các phiên bản cụ thể của trình điều khiển kernel GPU Bifrost và Midgard Arm Mali. Lỗ hổng này cho phép người dùng không có đặc quyền có thể truy cập trái phép vào dữ liệu nhạy cảm và leo thang đặc quyền lên root.
CVE-2023-26083 - lỗ hổng rò rỉ bộ nhớ ảnh hưởng đến trình điều khiển GPU Arm Mali cho chip Bifrost, Avalon và Valhall. Trước đó, lỗ hổng này đã bị khai thác trong một cuộc tấn công cho phép phần mềm gián điệp xâm nhập vào các thiết bị Samsung vào tháng 12 năm 2022.
Bản vá Android tháng 7 của Google cũng nhắc đến một lỗ hổng khác là CVE-2023-21250, ảnh hưởng đến thành phần hệ thống Android. Lỗ hổng có thể cho phép kẻ tấn công thực thi mã từ xa mà không cần sự tương tác của người dùng hoặc các đặc quyền thực thi bổ sung. | Các thiết bị chạy các phiên bản Android cũ hơn (trước 11, 12 và 13) hoặc không nhận được cập nhật từ nhà sản xuất có thể vẫn gặp rủi ro từ các lỗ hổng trên.
Google cũng phát hành bản vá cho các thiết bị Pixel để giải quyết 14 lỗ hổng trong thành phần Kernel, Pixel và Qualcomm. Trong đó, 2 lỗ hổng nghiêm trọng có thể dẫn đến leo thang đặc quyền và tấn công từ chối dịch vụ. |