Se han agregado ocho vulnerabilidades al catálogo de vulnerabilidades explotadas conocidas de CISA . Contamos con ejecución remota de código, escalada de privilegios y el compromiso total de Confidencialidad, Integridad y Disponibilidad de un sistema. Sumerjámonos en algunos y veamos qué personas más inteligentes que yo tienen que decir. Los recursos estarán en la parte inferior y vinculados a lo largo de la pieza.

CVE-2022-32894 y CVE-2022-32893: CWE-787 , escritura fuera de los límites.

No puede encender el televisor para obtener su dosis diaria de declive social, cultural y ambiental sin que algún cabeza parlante obtenga las vulnerabilidades más recientes de Apple en su pavor existencial. ¿Lo que da? Bueno, 32894 permite que un atacante aumente los privilegios a través de una aplicación local. Esta aplicación local desencadena un error de escritura fuera de los límites que permite la ejecución de código arbitrario con privilegios de kernel. 32893 "es un error de límite en WebKit al procesar contenido HTML". Si un usuario abre un sitio web malicioso creado por un atacante remoto, se activa una escritura fuera de los límites que ejecuta código arbitrario.

Los usuarios de Apple necesitan actualizar Monterey.

CVE-2022-22536: CWE-444 , contrabando de solicitud/respuesta HTTP o desincronización de conducto de memoria según Tenable .

Este recibió una puntuación CVSSv3 perfecta de 10,0 y afecta a SAP NetWeaver Application Server ABAP, SAP NetWeaver Application Server Java, ABAP Platform, SAP Content Server y SAP Web Dispatcher. Según un informe de amenazas de Onapsis que está disponible para descargar en su sitio web, la vulnerabilidad aparece

…cuando un controlador interno puede generar una respuesta y el tamaño de la solicitud es mayor que el del búfer MPI. Si se coloca un proxy entre el ICM y los clientes, un atacante podría aprovecharlo para apoderarse de la aplicación explotando la desincronización HTTP entre ambos componentes.

Los usuarios de SAP pueden acceder a un parche a través de su cuenta.

CVE-2022-2856: CWE-20 Validación de entrada incorrecta.

¡ Este es divertido ya que encaja con el tema de un par de artículos que un usuario ha estado publicando recientemente y es otro Google Zero Day! No sabemos mucho más que este dato encontrado en el blog de Google : "validación insuficiente de entrada no confiable en Intents". Presumiblemente, sabremos más una vez que la actualización haya tenido la oportunidad de salir adelante.

Los usuarios de Chrome deben instalar la actualización reciente.