其他
开源U-Boot 引导加载程序中存在两个未修复的严重0day
编译：代码卫士
NCC Group 公司在U-Boot IP 碎片整理算法实现中发现了这两个0day，它们可被用于实现任意界外写和拒绝服务。U-Boot 是用于Linux嵌入式系统如ChromeOS 以及 ebook 阅读器如Amazon Kindle 和 Kobo eReader中的一个引导加载程序。这两个0day 如下：
CVE-2022-30790（CVSS 评分9.6）：位于 U-Boot IP 数据包碎片整理中的Hole Descriptor 覆写漏洞，可导致任意界外写原语。
CVE-2022-30552（CVSS评分7.1）：位于 U-Boot IP 数据包碎片整理代码中的大型缓冲区溢出漏洞，可导致拒绝服务后果。
值得注意的是，这两个缺陷仅可从局域网中遭利用。攻击者可构造畸形数据包，利用这两个缺陷root 设备并引发拒绝服务。
U-Boot 维护人员将在下一次发布补丁时解决这两个缺陷，建议用户届时更新至最新版本。
某些UEFI系统未妥善保护EFI S3 Resume Boot Path引导脚本
奇安信开源软件供应链安全技术应用方案获2022数博会“新技术”奖
开源的IT监控软件Icinga web 中存在两个漏洞，可被用于攻陷服务器
开源组件 Netatalk 存在多个严重漏洞，Synology 多款产品受影响
https://thehackernews.com/2022/06/unpatched-critical-flaws-disclosed-in-u.html
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。