Beveiligingsadviezen van het NCSC
Kwetsbaarheden in verschillende implementaties van HTTP/2 kunnen door een kwaadwillende worden misbruikt om een Denial-of-Service te veroorzaken. Naast webservers kunnen ook CDN's (content delivery networks) of cloud-diensten kwetsbaar zijn.
Wordpress heeft een aantal niet nader omschreven kwetsbaarheden verholpen. De kwetsbaarheden stellen een kwaadwillende op afstand mogelijk in staat om gevoelige gegevens te verkrijgen, of om een Cross-Site Scripting (XSS) aanval uit te voeren. Een dergelijke aanval kan leiden tot de uitvoer van willekeurige scriptcode in de browser waarmee de applicatie wordt bezocht.
Van de kwetsbaarheden zijn geen CVE-nummers bekend gesteld.
RedHat heeft twee kwetsbaarheden verholpen in Red Hat OpenShift Container Platform. De eerste kwetsbaarheid stelt een kwaadwillende in staat om toegang te krijgen tot gevoelige gegevens, zoals username/password combinaties. De tweede kwetsbaarheid zorgt ervoor dat de SSH-Host Keys van de gekoppelde git-repositories niet worden gevalideerd, waarmee een kwaadwillende mogelijk via een man-in-the-middle-aanval toegang kan krijgen tot de inhoud van de repository.
Google heeft diverse kwetsbaarheden verholpen in Chrome en Chromium. Een kwaadwillende kan de kwetsbaarheden op afstand misbruiken voor het veroorzaken van een Denial-of-Service of het uitvoeren van willekeurige code met rechten van de gebruiker.
Debian heeft kwetsbaarheden verholpen in Jackson-databind. De kwetsbaarheden stellen een kwaadwillenden in staat willekeurige code uit te voeren onder de rechten van de gebruiker en om gevoelige gegevens te verkrijgen. De kwetsbaarheden komen voort uit het niet adequaat valideren van gebruikers-input voorafgaande aan het deserialiseren van een object.
Onderzoekers hebben een nieuwe kwetsbaarheid gevonden die misbruik maakt van 'speculative execution'. De onderzoekers hebben een manier gevonden om KPTI te omzeilen door gebruik te maken van de SWAPGS-instructie. Misbruik van deze kwetsbaarheid kan uiteindelijk leiden tot het uitlezen van kernel-geheugen vanuit een ander proces.
Er is een kwetsbaarheid verholpen in de implementatie van MIT Kerberos. Deze kwetsbaarheid doet zich in ieder geval voor in de Fedora Linux-distributie. Deze kwetsbaarheid ontstaat door een verkeerde backport en maakt het mogelijk voor een ongeauthenticeerde kwaadwillende op afstand een Denial-of-Service te veroorzaken op een Key Distribution Centre (KDC). Wanneer er binnen het Kerberos systeem geen KDC's beschikbaar zijn is authenticeren niet meer mogelijk. De kwetsbaarheid komt niet voor in de MIT Kerberos release zelf.
