А, в качестве пятничного контента, порекомендуем свежий выпуск БУЛДЖАТь, посвящённый недавнему нашумевшему взлому игроков Apex Legends. Остаётся лишь надеяться, что однажды наступит то светлое время, когда геймдеверы наконец поймут, что «безопасность» — это отнюдь не только про баны читеров и защиту их драгоценных ноу-хау от реверсинга 🤔

🔍 Наиболее интересные уязвимости

🐛 CVE-2024-28114, обнаруженная в инструменте peering-manager в версиях до версии 1.8.3 , приводит к Server Side Template Injection (SSTI). Проблема заключалась в возможности внедрять вредоносный код в процессе рендера jinja-шаблона . В исправлении были внесены изменения в функцию render_jinja2(), путем использования функции SandboxedEnvironment() для создании "песочницы" при рендере шаблона.

🐛 CVE-2024-28187, выявленная в SOY CMS в версиях до 3.14.2, приводит к OS Command Injection. Уязвимость обусловлена возможностью выполнять произвольные команды ОС через специально созданные имена файлов при их загрузке. В исправлении была добавлена экранирующая функция escapeshellarg() при обработке имени файла для функции execute() класса UploadFileAction.

🐛 CVE-2024-28199, выявленная в фреймворке Phlex в версиях до 1.9.1, приводит к XSS. Уязвимость обусловлена возможностью внедрения javascript: в составе ссылки, предоставляемой пользователем (например, атрибут href тега <a>). В исправлении в функции __build_attributes__ был реализован фильтр, исключающий наличие в атрибуте href значения "javascript:".

🐛 CVE-2024-28861, обнаруженная в Symfony1 PHP web framework в версии до 1.5.18 , приводит к Insecure deserialization. Проблема заключалась в возможности десериализации пользовательского кода в методе _unserialize() классов sfNamespacedParameterHolder, sfParameterHolder. В исправлении были внесены изменения в метод _unserialize() путем внедрения проверки типа (array) передаваемых данных и ограничения на максимальное количество элементов.

🐛 CVE-2024-28849, найденная в библиотеке follow-redirects в версиях до 1.15.5 , приводит к Information Disclosure. Уязвимость обусловлена возможностью перехвата учетных данных при кросс-доменном перенаправлении через прокси. Для исправления была скорректирована функция RedirectableRequest.prototype._processResponse() в части расширения регулярного выражения "(?:proxy-)?", используемого для удаления заголовка Proxy-Authorization.

🎫 Наконец-то открыли продажу билетов на международный киберфестиваль Positive Hack Days 2!

С 23 по 26 мая в московских «Лужниках» вас ждут выступления более 250 спикеров — от начинающих специалистов до именитых экспертов, CIO и CISO крупных IT-компаний.

😏 Приобрести билеты можно на сайте PHDays. Количество билетов ограничено!

Вы можете сами выбрать цену. Минимальная сумма для покупки билетов — 1000 рублей. Все вырученные от продаж деньги будут направлены в благотворительный фонд «Подари жизнь».

Прийти на фестиваль можно и бесплатно: в открытой части будут интерактивные образовательные инсталляции, которые помогут ближе познакомиться с цифровым миром и прокачать навыки киберграмотности. Впервые все гости PHDays смогут бесплатно увидеть кибербитву Standoff своими глазами.

🤩 А еще мы запустили Telegram-канал PHDays Media, где будем рассказывать, что ждет гостей киберфестиваля в этом году. Подписывайтесь — @PHDays

🔍 Наиболее интересные уязвимости

🐛 CVE-2024-29189, обнаруженная в PyAnsys Geometry в версиях до 0.3.3, приводит к OS Command Injection. Проблема заключалась в потенциальной возможности прямого вызова метода _start_program() с установленным флагом shell=True. В исправлении изменили имя функции на приватное __start_program() и убрали механизм установки флага shell=True.

🐛 CVE-2024-27091, выявленная в GeoNode до версии 4.2.3, приводит к Cross-Site Scripting (XSS). Уязвимость обусловлена воpможностью внедрения в состав отображаемого html-кода значений из ранее полученных данных нарушителя. В патче был добавлен метод sanitize_html(), который экранирует опасные теги html с помощью библиотеки nh3.

🐛 CVE-2024-28233, обнаруженная в JupyterHub до версии 4.1.0 , приводит к Cross-Site Request Forgery (CSRF). Проблема заключалась в возможности реализации атаки, заставив пользователя посетить вредоносный поддомен, и получить полный доступ к API JupyterHub и серверу пользователя. В исправлении была добавлены дополнительные настройки безопасности с использованием XSRF-токенов.

🐛 CVE-2024-29882, обнаруженная в video server SRS в версиях до 5.0.210, приводит к Cross-Site Scripting (XSS). Проблема заключалась в возможности внедрения в эндпоинт /api/v1/vhosts/vid-<id>?callback=<payload> вредоносных данных javascript. Для исправления была добавлена валидация и проверка получаемого значения callback на отсутствие недопустимых символов.

🐛 CVE-2024-27299, выявленная в PHPMyFAQ в версии 3.2.5, приводит к SQL-injection. Уязвимость обусловлена возможностью внедрения вредоносного SQL кода в поле authorEmail при добавлении новости. В исправлении было добавлено экранирование поля authorEmail с помощью функции escape().