Серия новых уязвимостей, информация о которых раскрыта в последние несколько дней:

• Уязвимость (CVE-2017-17670) в мультимедийном проигрывателе VLC, вызванная некорректным приведением типов и потенциально способная привести к выполнению кода при распаковке специально оформленных файлов в формате MP4. Проблема пока исправлена только в ветке HEAD;
• Уязвимость в PowerDNS Recursor, позволяющая инициировать крах процесса при обработке ответа DNS-сервера, содержащего некорректное значение поля CNAME. Проблема проявляется только в ветке 4.0.x и устранена в обновлении 4.0.8;
• Уязвимость в системе непрерывной интеграции Jenkins, вызванная состоянием гонки в процессе выполнения команд инициализации при запуске, из-за чего могут быть не выставлены некоторые важные ограничения, необходимые для обеспечения безопасности, и вовремя не включена защита от CSRF-атак.
  Проблема устранена в выпусках Jenkins 2.95 и 2.89.2;

• Четыре уязвимости в гипервизоре Xen, позволяющие гостевому окружению получить доступ к внутренним страницам памяти гипервизора, вызвать крах гипервизора и поднять свои привилегии;
• В модуле Net::FTP, поставляемом в базовом наборе языка Ruby, устранена уязвимость (CVE-2017-17405), позволяющая выполнить произвольных shell-код через указание имени файла, начинающегося с символа «|». Проблема устранена в выпусках Ruby 2.3.6 и 2.2.9;
• В RTCP-стеке коммуникационной платформы Asterisk исправлена уязвимость, позволяющая без аутентификации вызвать крах серверного процесса через отправку специально оформленного RTCP-пакета. Проблема устранена в выпусках Asterisk 13.18.4, 14.7.4, 15.1.4;
• В пакете GraphicsMagick устранено 29 уязвимостей, в основном связанных с переполнением буфера при обработке различных форматов.
  Проблемы устранены в GraphicsMagick 1.3.27;

• В Apache Synapse устранена удалённо эксплуатируемая уязвимость (CVE-2017-15708), которая может привести к выполнению кода на сервере через подстановку специально оформленных сериализированных объектов. Проблема устранена в выпуске Apache Synapse 3.0.1, а также в Apache Commons Collections 3.2.2 и 4.1;
• В Apache Fineract исправлена возможность подстановки SQL-кода (CVE-2017-5663) через отправку специально оформленного параметра sqlSearch в REST-запросе (например, «https://DomainName/api/v1/clients?sqlSearch=or (1==1)»). Проблема устранена в выпуске Apache Fineract 1.0.0.