奇安信代码安全实验室帮助 RedHat 修复两个 oVirt 漏洞,获官方致谢

本文主要是介绍奇安信代码安全实验室帮助 RedHat 修复两个 oVirt 漏洞,获官方致谢,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

聚焦源代码安全,网罗国内外最新资讯!

奇安信代码安全实验室研究员帮助 Red Hat在oVirt-engine 软件中发现了两个漏洞(CVE-2020-14333和CVE-2020-10775),并第一时间报告 Red Hat,协助其修复漏洞。

 

oVirt 是一款免费开源的分布式虚拟化解决方案,旨在管理整个企业的基础设施。oVirt 使用受信任的 KVM 管理程序,构建于多种其它社区项目,包括 libvirt、Gluster、PatternFly 和 Ansible。Red Hat是oVirt 社区的企业用户,负责建立 oVirt 代码库,并在商业虚拟化产品Red Hat Virtualization的上游版本中使用了开源组件oVirt-engine。

 

近日,Red Hat发布了补丁更新公告以及致谢公告,致谢奇安信代码安全实验室研究人员。

图:Red Hat 官方致谢

漏洞概述

CVE-2020-14333 – oVirt XSS 漏洞

oVirt-engine 4.4.2及更早版本(Red Hat Virtualization Engine 4.4 之前版本)的 Web 接口未完全过滤用户可控参数,从而导致反射型跨站点脚本攻击。攻击者可利用该缺陷发动钓鱼攻击,窃取用户 cookie或其它机密信息,或在应用程序的上下文中假冒用户。

CVE-2020-10775 — oVirt URL 重定向漏洞

oVirt-engine 版本4.4.1及更早版本(Red Hat Virtualization Engine 4.4 之前版本)中存在一个开放重定向漏洞,可导致远程攻击者将用户重定向至任意 Web 站点并尝试发动钓鱼攻击。目标在浏览器中打开恶意 URL 时,无法看到该 URL 的关键部分。该漏洞带来的最大威胁表现在机密性方面。

oVirt 已发布 oVirt-engine 正式版本4.4.2,修复了CVE-2020-10775;并将在版本 4.4.3 中修复CVE-2020-14333。同时,Red Hat 亦发布 Red Hat Virtualization Engine 4.4,已修复上述两个问题,用户应尽快予以更新处理。

参考链接

https://access.redhat.com/security/cve/CVE-2020-14333

https://access.redhat.com/security/cve/CVE-2020-10775

https://gerrit.ovirt.org/#/c/111277/

https://github.com/oVirt/ovirt-engine/commit/362a2a8f8eca542b48a1bba7f9c827fbc44bc955

https://bugzilla.redhat.com/show_bug.cgi?id=1858184

https://bugzilla.redhat.com/show_bug.cgi?id=1866688

关于奇安信代码卫士

“奇安信代码卫士” 是奇安信集团旗下专注于软件源代码安全的产品线,代码卫士系列产品可支持 Windows、Linux、Android、Apple iOS、IBM AIX 等平台上的源代码安全分析,支持的编程语言涵盖 C、C++、C#、Objective-C、Java、JSP、JavaScript、PHP、Python、Go、区块链智能合约 Solidity 等。目前代码卫士已应用于上百家大型机构,帮助用户构建自身的代码安全保障体系,消减软件代码安全隐患。

关于奇安信代码安全实验室

奇安信代码安全实验室是奇安信代码卫士的研究团队,专门从事源代码、二进制漏洞挖掘和分析,主要研究方向包括:Windows / Linux / MacOS 操作系统、应用软件、开源软件、网络设备、IoT设备等。截至目前,奇安信代码安全实验室已经帮助微软、谷歌、苹果、Cisco、Juiper、VMware、Oracle、Linux内核组织、Adobe、阿里云、华为、施耐德、D-Link、ThinkPHP、以太坊、各种开源组织等修复了100多个安全漏洞,并获得官方致谢。

推荐阅读

奇安信代码安全实验室帮助Red Hat修复多个QEMU高危漏洞,获官方致谢

奇安信代码安全实验室帮助微软修复多个高危漏洞,获官方致谢

奇安信代码卫士帮助微软和 Oracle 修复多个高危漏洞,获官方致谢

奇安信代码安全实验室五人入选“2020微软 MSRC 最具价值安全研究者”榜单

题图:Pixabay License

转载请注明“转自奇安信代码卫士 www.codesafe.cn”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

   觉得不错,就点个 “在看” 吧~

这篇关于奇安信代码安全实验室帮助 RedHat 修复两个 oVirt 漏洞,获官方致谢的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!


原文地址:
本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.chinasem.cn/article/597263

相关文章

springboot循环依赖问题案例代码及解决办法

《springboot循环依赖问题案例代码及解决办法》在SpringBoot中,如果两个或多个Bean之间存在循环依赖(即BeanA依赖BeanB,而BeanB又依赖BeanA),会导致Spring的... 目录1. 什么是循环依赖?2. 循环依赖的场景案例3. 解决循环依赖的常见方法方法 1:使用 @La

使用C#代码在PDF文档中添加、删除和替换图片

《使用C#代码在PDF文档中添加、删除和替换图片》在当今数字化文档处理场景中,动态操作PDF文档中的图像已成为企业级应用开发的核心需求之一,本文将介绍如何在.NET平台使用C#代码在PDF文档中添加、... 目录引言用C#添加图片到PDF文档用C#删除PDF文档中的图片用C#替换PDF文档中的图片引言在当

C#使用SQLite进行大数据量高效处理的代码示例

《C#使用SQLite进行大数据量高效处理的代码示例》在软件开发中,高效处理大数据量是一个常见且具有挑战性的任务,SQLite因其零配置、嵌入式、跨平台的特性,成为许多开发者的首选数据库,本文将深入探... 目录前言准备工作数据实体核心技术批量插入:从乌龟到猎豹的蜕变分页查询:加载百万数据异步处理:拒绝界面

用js控制视频播放进度基本示例代码

《用js控制视频播放进度基本示例代码》写前端的时候,很多的时候是需要支持要网页视频播放的功能,下面这篇文章主要给大家介绍了关于用js控制视频播放进度的相关资料,文中通过代码介绍的非常详细,需要的朋友可... 目录前言html部分:JavaScript部分:注意:总结前言在javascript中控制视频播放

Spring Boot 3.4.3 基于 Spring WebFlux 实现 SSE 功能(代码示例)

《SpringBoot3.4.3基于SpringWebFlux实现SSE功能(代码示例)》SpringBoot3.4.3结合SpringWebFlux实现SSE功能,为实时数据推送提供... 目录1. SSE 简介1.1 什么是 SSE?1.2 SSE 的优点1.3 适用场景2. Spring WebFlu

java之Objects.nonNull用法代码解读

《java之Objects.nonNull用法代码解读》:本文主要介绍java之Objects.nonNull用法代码,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐... 目录Java之Objects.nonwww.chinasem.cnNull用法代码Objects.nonN

SpringBoot实现MD5加盐算法的示例代码

《SpringBoot实现MD5加盐算法的示例代码》加盐算法是一种用于增强密码安全性的技术,本文主要介绍了SpringBoot实现MD5加盐算法的示例代码,文中通过示例代码介绍的非常详细,对大家的学习... 目录一、什么是加盐算法二、如何实现加盐算法2.1 加盐算法代码实现2.2 注册页面中进行密码加盐2.

python+opencv处理颜色之将目标颜色转换实例代码

《python+opencv处理颜色之将目标颜色转换实例代码》OpenCV是一个的跨平台计算机视觉库,可以运行在Linux、Windows和MacOS操作系统上,:本文主要介绍python+ope... 目录下面是代码+ 效果 + 解释转HSV: 关于颜色总是要转HSV的掩膜再标注总结 目标:将红色的部分滤

在C#中调用Python代码的两种实现方式

《在C#中调用Python代码的两种实现方式》:本文主要介绍在C#中调用Python代码的两种实现方式,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录C#调用python代码的方式1. 使用 Python.NET2. 使用外部进程调用 Python 脚本总结C#调

Java时间轮调度算法的代码实现

《Java时间轮调度算法的代码实现》时间轮是一种高效的定时调度算法,主要用于管理延时任务或周期性任务,它通过一个环形数组(时间轮)和指针来实现,将大量定时任务分摊到固定的时间槽中,极大地降低了时间复杂... 目录1、简述2、时间轮的原理3. 时间轮的实现步骤3.1 定义时间槽3.2 定义时间轮3.3 使用时