Zobrazit příspěvky
1
Server / Hodnocení zranitelností a přístup k jejich řešení na serveru
« kdy: 05. 01. 2026, 10:55:36 »
Ahoj vespolek,
obecne tema: jak pristupujete resp. by se melo pristupovat k zranitelnostem, ktere napr. objevim na serveru, ktery je prakticky bez uzivatelskych uctu, ma primou internetovou konektivitu a je rekneme v nejake DMZ, ma dedikovany int. pro spravu a nalezena zranitelnost je treba CVE-2025-66293. To je chyba v libpng knihovne, cituji:
LIBPNG is a reference library for use in applications that read, create, and manipulate PNG (Portable Network Graphics) raster image files. Prior to 1.6.52, an out-of-bounds read vulnerability in libpng's simplified API allows reading up to 1012 bytes beyond the png_sRGB_base[512] array when processing valid palette PNG images with partial transparency and gamma correction. The PNG files that trigger this vulnerability are valid per the PNG specification; the bug is in libpng's internal state management. Upgrade to libpng 1.6.52 or later.
CVSS V3 score je 7.1. Vektor utoku: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:H indikuje zneuziti pres sit, s nizkou slozitosti, bez nutnosti spec. opravneni.
Server ma specificke sitove vyuziti, neni to web server, nema zadne API ven, provoz se generuje jen z nej ven a to zcela bez uziv. interakce. Jak realne je mozne zneuziti takove (takovych) zranitelnosti, ktere se obecne tykaji treba knihoven, ktere nijak s vlastnim fungovanim serveru nesouvisi? Zranitelnost samozrejme pri nejakem sec. scanu vyskoci v reportech a je treba se tim zabyvat.
Diky za nazory.
obecne tema: jak pristupujete resp. by se melo pristupovat k zranitelnostem, ktere napr. objevim na serveru, ktery je prakticky bez uzivatelskych uctu, ma primou internetovou konektivitu a je rekneme v nejake DMZ, ma dedikovany int. pro spravu a nalezena zranitelnost je treba CVE-2025-66293. To je chyba v libpng knihovne, cituji:
LIBPNG is a reference library for use in applications that read, create, and manipulate PNG (Portable Network Graphics) raster image files. Prior to 1.6.52, an out-of-bounds read vulnerability in libpng's simplified API allows reading up to 1012 bytes beyond the png_sRGB_base[512] array when processing valid palette PNG images with partial transparency and gamma correction. The PNG files that trigger this vulnerability are valid per the PNG specification; the bug is in libpng's internal state management. Upgrade to libpng 1.6.52 or later.
CVSS V3 score je 7.1. Vektor utoku: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:H indikuje zneuziti pres sit, s nizkou slozitosti, bez nutnosti spec. opravneni.
Server ma specificke sitove vyuziti, neni to web server, nema zadne API ven, provoz se generuje jen z nej ven a to zcela bez uziv. interakce. Jak realne je mozne zneuziti takove (takovych) zranitelnosti, ktere se obecne tykaji treba knihoven, ktere nijak s vlastnim fungovanim serveru nesouvisi? Zranitelnost samozrejme pri nejakem sec. scanu vyskoci v reportech a je treba se tim zabyvat.
Diky za nazory.
