聚焦源代码安全,网罗国内外最新资讯!

编译:代码卫士

专栏·供应链安全

数字化时代,软件无处不在。软件如同社会中的“虚拟人”,已经成为支撑社会正常运转的最基本元素之一,软件的安全性问题也正在成为当今社会的根本性、基础性问题。

随着软件产业的快速发展,软件供应链也越发复杂多元,复杂的软件供应链会引入一系列的安全问题,导致信息系统的整体安全防护难度越来越大。近年来,针对软件供应链的安全攻击事件一直呈快速增长态势,造成的危害也越来越严重。

为此,我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯,分析供应链安全风险,提供缓解建议,为供应链安全保驾护航。

注:以往发布的部分供应链安全相关内容,请见文末“推荐阅读”部分。

摘要

本周,思科Talos 安全团队的研究员发现了影响开源文件查看器Gerbv 的六个严重漏洞。

Gerbv 简介

Gerbv 是一款原生的 Linux 应用程序,用于很多常见的 UNIX 平台上。同时该平台也有Windows 版本。单在 SourceForge 平台上,Gerbv的下载量就超过100万次。

Gerbv 旨在查看显示电路板层的文件格式,包括Excellon 钻孔文件、RS-274X Gerber 文件和拾取和放置 (pick-n-place) 文件。Gerbv 可用作单独的应用或者用作库。

Talos 团队解释称,“一些PCB制造商在web接口使用Gerbv等软件,作为将 Gerber或其它受支持文件转换为图像的工具。用户可将 Gerber 文件上传到制造商网站,将图像转换为在浏览器中显示,方便用户验证所上传的文件和预期相符。”如此可导致攻击者在无需用户交互或提权的情况下通过网络触及该软件。

2个漏洞未修复

研究人员表示,所发现的6个漏洞影响Gerbv在打开 Gerber 文件时使用的函数。其中4个漏洞(CVE-2021-40391、CVE-2021-40393、CVE-2021-40394和CVE-2021-40401)的CVSS评分为10分。攻击者可通过将特殊构造文件上传到 Gerbv的方式利用这4个漏洞。这4个漏洞包括2个界外读漏洞、1个整数溢出漏洞和1个释放后使用漏洞,它们可被用于实现代码执行。

另外2个严重漏洞是CVE-2021-40400和CVE-2021-40402,它们可被用于泄露数据。攻击者可提供特殊构造的 Gerber 文件 利用这两个漏洞。

研究员还发现了一个中危的信息泄露漏洞(CVE-2021-40403),影响Gerbv的拾取和放置旋转解析功能。使用特殊构造的文件,攻击者就能泄露内存内容。

研究人员指出,4个漏洞(3个严重漏洞和1个中危漏洞)已修复。2个漏洞(CVE-2021-40400和CVE-2021-40402)在上报90天后仍未修复。

开源卫士试用地址:https://oss.qianxin.com


推荐阅读

在线阅读版:《2021中国软件供应链安全分析报告》全文

因供应商遭不明网络攻击,丰田汽车宣布停产

开源代码是下一轮攻击潮的重灾区

软件开发的三大关键安全趋势和最佳实践

谷歌宣布 Linux Kernel、Kubernetes 0day 漏洞奖励加倍

Apache Cassandra 开源数据库软件修复高危RCE漏洞

2021年软件供应链攻击数量激增300%+

热门开源CMS平台 Umbraco 中存在多个安全漏洞,可使账户遭接管

详细分析开源软件项目 Ajax.NET Professional 中的RCE 漏洞(CVE-2021-23758)

SAP 严重漏洞可导致供应链攻击

Apache PLC4X开发者向企业下最后通牒:如不提供资助将停止支持

Apache 软件基金会:顶级项目仍使用老旧软件,补丁作用被削弱

美国商务部发布软件物料清单 (SBOM) 的最小元素(上)

美国商务部发布软件物料清单 (SBOM) 的最小元素(中)

美国商务部发布软件物料清单 (SBOM) 的最小元素(下)

NIST 发布关于使用“行政令-关键软件”的安全措施指南

NIST 按行政令关于加强软件供应链安全的要求,给出“关键软件”的定义及所含11类软件

SolarWinds 攻击者再次发动供应链攻击

美国“加强软件供应链安全实践的指南” (SSDF V1.1草案) 解读来了

软件供应链安全现状分析与对策建议

“木马源”攻击影响多数编程语言的编译器,将在软件供应链攻击中发挥巨大作用

GitHub 在 “tar” 和 npm CLI 中发现7个高危的代码执行漏洞

流行的 NPM 包依赖关系中存在远程代码执行缺陷

速修复!热门npm 库 netmask 被曝严重的软件供应链漏洞,已存在9年

Npm 恶意包试图窃取 Discord 敏感信息和浏览器文件

微软“照片”应用Raw 格式图像编码器漏洞 (CVE-2021-24091)的技术分析

SolarWinds 供应链事件后,美国考虑实施软件安全评级和标准机制

找到软件供应链的薄弱链条

GitHub谈软件供应链安全及其重要性

揭秘新的供应链攻击:一研究员靠它成功入侵微软、苹果等 35 家科技公司

开源软件漏洞安全风险分析

开源OS FreeBSD 中 ftpd chroot 本地提权漏洞 (CVE-2020-7468) 的技术分析

集结30+漏洞 exploit,Gitpaste-12 蠕虫影响 Linux 和开源组件等

限时赠书|《软件供应链安全—源代码缺陷实例剖析》新书上市

热门开源CI/CD解决方案 GoCD 中曝极严重漏洞,可被用于接管服务器并执行任意代码

GitKraken漏洞可用于盗取源代码,四大代码托管平台撤销SSH密钥

因服务器配置不当,热门直播平台 Twitch 的125GB 数据和源代码被泄露

彪马PUMA源代码被盗,称客户数据不受影响

原文链接

https://www.securityweek.com/critical-vulnerabilities-impact-widely-used-printed-circuit-board-file-viewer

题图:Pixabay License

本文由奇安信编译,不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

 觉得不错,就点个 “在看” 或 "赞” 吧~

使用广泛的开源PCB文件查看器 Gerbv 含多个严重漏洞相关推荐

  1. IFC模型文件查看器(基于IFC++开源库实现)

    关于IFC IFC是由buildingSMART以工业的产品资料交换标准STEP编号ISO-10303-11的产品模型信息描述用EXPERSS语言为基础,基于BIM中AEC/FM相关领域信息交流所指定 ...

  2. Linux 下高级日志文件查看器Log File Navigator

    Log File Navigator,简称lnav,是一款面向小规模的适用于 Linux 的高级日志文件查看器.它是一个终端应用程序,可以理解您的日志文件,让您轻松找到问题,几乎不需要什么设置. ln ...

  3. 【玩转.Net MF – 03】远程文件查看器

    虽说目前.Net Micro Framework已经支持文件系统(FAT16/FAT32),但在远程还无法直接访问,从某种意义上讲,无法和PC交互的存储介质显得有些鸡肋.我做SideShow相关开发的 ...

  4. bin文件查看器app_腾讯文件:腾讯官方出品的微信 / QQ 文件管理和清理利器

    前言 微信和 QQ 基本是大家手机上的必备应用了,但是使用时间久了,难免会积攒很多文件,甚至引起应用卡顿. 包括垃圾/缓存文件,或者我们接收保存的文件等等,占据了大量空间,又不好管理. 今天就分享一款 ...

  5. 【实用软件】Json文件查看器(支持查看超大JSON文件)

    内容信息 软件类型:绿色 软件平台:电脑 软件版本:v1.0 软件大小:3.4MB 软件特点 Json文件查看器是一个用来查看Json文件的的绿色软件

  6. 好用的Bin文件查看器,J-flash

    工作中,很多地方用到Bin文件,如编译完成后的固件和从MCU的Flash读出来的文件,这时候一个好的Bin文件查看器至关重要.经常我们用STM32自带的STM32 ST-LINK Utility可以直 ...

  7. html文件阅读器电脑版,Excel文件查看器

    Excel文件查看器电脑版是一款文档查看软件,Excel文件查看器电脑版对于需要临时查看Excel文档但是又不需要修改它的用户来说,Excel文件查看器电脑版无疑是最佳选择,速度快并且小巧,是个不错的 ...

  8. 试试Visual Studio中新的远程文件查看器

    今天,我们很高兴地宣布,在 Visual Studio 17.6 Preview 1 中,一项新的工具窗口诞生:远程文件查看器. 通过这个工具窗口,你可以从远程计算机上浏览,上传和下载文件.另外,可以 ...

  9. JAVA面向对象-文件类 第3关:文件查看器

    文章目录 前言 一.问题 二.代码 效果 前言 记录一下做头歌上java的题目,顺便试试CSDN怎么写文章. 一.问题 本关任务:实现一个文件查看器,要实现指定文件夹下所有文件以及文件夹目录结构的展示 ...

最新文章

  1. elementUI的table组件实现setCurrentRow的滚动条定位效果
  2. to_char 函数将小数点舍掉的解决办法
  3. Bug测试报告--在线考试系统--金州勇士
  4. 一块电路板从“出生”到“成年”
  5. kail中tools的安装和第一个php学习笔记
  6. php 抽象 接口类 区别,PHP 抽象類和接口區別
  7. 初始runtime(运行时机制)
  8. Hspice学习资源和心得
  9. 设备状态监测系统提升企业设备管理水平
  10. 带你深入剖析TCP/IP协议、TCP协议和UDP协议、IP协议
  11. 简单的一种图像冷暖色温转换(MATLAB)
  12. 苹果内购后台(java)验证订单
  13. 一名大学生选择军哥的乾颐堂是如何顺利通过华为HCIE的,又如何应对HCIE面试呢?...
  14. Excel竟然可以批量解锁二维码内容的操作
  15. Windbg调试(使用方法)
  16. Raspberry Pi 支持开源脑机接口
  17. docker安装zookeeper,以及zk可视化界面介绍
  18. php网页可视化调试工具,php-xdebug调试工具
  19. 更快更安全,HTTPS 优化总结
  20. hexo butterfly主题 添加全局吸底APlayer

热门文章

  1. iOS笔记(一)GCD多线程:信号量和条件锁
  2. 转载浅谈MFC内存泄露检测及内存越界访问保护机制
  3. shellcode xor编码/解码[1]
  4. 二、SpringBoot配置文件讲解
  5. Weblogic ./startWebLogic.sh Error 解决
  6. 将文本文件内容存储在DataSet中的方法总结
  7. 导航猫(NaviCat for MySql)建立表的方法
  8. ACM弱校ACMer A HDU1045Fire Net有感
  9. 迷茫中,要让人生更精彩
  10. nginx post请求超时_Nginx 的超时 timeout 配置详解