Ich weiß, heute ist erst Freitag. Trotzdem schonmal den Wochenrückblick:
- PHP hat eine RCE im default-Install, da hat ja mittlerweile auch die Tagesschau drüber berichtet
- 2 9er-RCEs wurden von Trendmicro versehentlich auf der öffentlichen LKML gepostet
- GitLab hat eine 10er-RCE für jedes Release, das nach 2014 kam
- Und der klassiker zuletzt: die indische CA eMudhra hatte 8 schwache Schlüssel für ihre Intermediate-Zertifikate. Ich leake mal einen davon hier:
-----BEGIN EC PRIVATE KEY-----
4
-----END EC PRIVATE KEY-----Diese CA ist jetzt auch der Grund, warum ihr jetzt alle Node.js, Python und im Prinzip jedes Software auf eurem System updaten müsst. Wahrscheinlich noch ein bisschen mehr, weil die Trust-Stores in vielen Binarys statisch einkompiliert sind. Man kann aber auch das positive sehen: Deshalb konnten scheinbar jetzt einige ihre Embeded Devices, die niemals ein Update bekommen, MITM und rooten.
Falls dieser Blogpost noch hinterher hängt: Jemand hat pwn.watch gebaut.
Edit: Da war ich wohl mit diesem Blogpost echt ein bisschen zu schnell. Da kam noch was! Ruby hat auch ein paar RCEs in deren RegEx-Implementierung gefunden. Die sind auch nur aufgefallen, weil GitLab davon betroffen war. Also, wer Ruby einsetzt, hat jetzt auch ein paar 10er CVEs zu patchen.