Vulnerabilidades

IBM SDK, Java Technology Edition, en su versión 8 en la plataforma AIX, utiliza RPATHS absolutas, lo que podría facilitar una inyección de código y un escalado de privilegios por usuarios locales. IBM X-Force ID: 152081.

IBM WebSphere Application Server, en versiones 7.0, 8.0, 8.5 y 9.0, podría permitir a un atacante remoto suplantar la información de conexión, la cual podría emplearse para lanzar otros ataques contra el sistema. IBM X-Force ID: 152531.

IBM WebSphere MQ, desde la versión 8.0.0.0 hasta la 9.1.1, podría permitir a un usuario local inyectar código que podría ejecutarse con privilegios root. Esta vulnerabilidad se debe a una solución incompleta para CVE-2018-1792. IBM X-Force ID: 154887.

*** Pendiente de traducción *** Rejected reason: DO NOT USE THIS CANDIDATE NUMBER. ConsultIDs: none. Reason: This candidate was withdrawn by its CNA. Further investigation showed that it was not a security issue. Notes: none

Una vulnerabilidad en la implementación del protocolo Fibre Channel over Ethernet (FCoE) N-port Virtualization (NPV) en el software NX-OS de Cisco podría permitir a un atacante adyacente sin autenticar provocar una condición de denegación de servicio (DoS). La vulnerabilidad se debe a un procesamiento incorrecto de paquetes FCoE cuando la funcionalidad fcoe-npv no está instalada. Un atacante podría explotar esta vulnerabilidad enviando un flujo de tramas FCoE desde un host adyacente a un dispositivo afectado. Un exploit podría permitir al atacante provocar una amplificación de paquetes, conduciendo a la saturación de interfaces y una condición DoS. Los switches de Nexus 9000 Series en modo Standalone NX-OS se ven afectados en versiones de software anteriores a las 7.0(3)I7(5) y 9.2(2).

Múltiples vulnerabilidades en la interfaz de gestión web de Cisco Enterprise Chat and Email podría permitir a atacante remoto no autenticado realizar un ataque de Cross-Site Scripting (XSS) contra un usuario de la interfaz de gestión web del software afectado. Las vulnerabilidades se deben a la validación insuficiente de entrada de datos de parte del usuario en la interfaz de gestión web del software afectado. Un atacante podría explotar estas vulnerabilidades o bien inyectando código malicioso en una ventana de chat o bien enviando un enlace manipulado a un usuario de la interfaz. En ambos casos, el atacante deberá persuadir al usuario para que haga clic en el enlace manipulado o abra la ventana de chat que contiene el código del atacante. Su explotación con éxito podría permitir al atacante ejecutar código script arbitrario en el contexto de la interfaz o acceder a información sensible del navegador. La versión 11.6(1) se ve afectada.

Una vulnerabilidad en la interfaz de gestión web de Cisco DNA Center podría permitir que un atacante remoto autenticado lleve a cabo un ataque de Cross-Site Scripting (XSS) contra un usuario de dicha interfaz en un dispositivo afectado. La vulnerabilidad se debe a la validación insuficiente de entrada de datos de parte del usuario en la interfaz de gestión web de un dispositivo afectado. Un atacante podría explotar esta vulnerabilidad haciendo que un usuario de la interfaz haga clic en un enlace manipulado. Un exploit con éxito podría permitir al atacante ejecutar código script arbitrario en el contexto de la interfaz o que pueda acceder a información sensible del navegador. Las versiones anteriores a la 1.2.5 de Cisco DNA Center se ven afectadas.

Una vulnerabilidad en la interfaz de gestión del software de Cisco Application Policy Infrastructure Controller (APIC) podría permitir a un atacante adyacente sin autenticar obtener acceso no autorizado a un dispositivo afectado. La vulnerabilidad se debe a una falta de mecanismos de control de acceso adecuados para la conectividad IPv6 (link-local) que se impone en la interfaz de gestión de un dispositivo afectado. Un atacante en la misma red física podría explotar esta vulnerabilidad intentando conectarse a la dirección IPv6 (link local) en el dispositivo afectado. Un exploit exitoso podría permitir al atacante omitir las restricciones de control de acceso en un dispositivo afectado. Los dispositivos de Cisco Application Policy Controller (APIC) en versiones anteriores a 4.2(0.21c) se ven afectados.

Una vulnerabilidad en el agente de Tetration Analytics para los switches Nexus 9000 Series de Cisco en modo standalone NX-OS podría permitir a un atacante local autenticado ejecutar código arbitrario como root. Esta vulnerabilidad se debe a un ajuste de permisos incorrecto. Un atacante podría explotar esta vulnerabilidad reemplazando archivos de agente válidos con código malicioso. Un exploit con éxito podría conducir a la ejecución de código proporcionado por el atacante. Los switches de Nexus 9000 Series en modo Standalone NX-OS se ven afectados en versiones anteriores a la 7.0(3)I7(5).

Una vulnerabilidad en el componente Cisco Fabric Services del software NX-OS de Cisco podría permitir a un atacante remoto no autenticado provocar un desbordamiento de búfer, conduciendo a una condición de denegación de servicio (DoS). Esta vulnerabilidad se debe a una validación insuficiente de paquetes de Cisco Fabric Services. Un atacante podría explotar esta vulnerabilidad enviando un paquete Cisco Fabric Services manipulado a un dispositivo afectado. Un exploit con éxito podría permitir al atacante provocar un desbordamiento de búfer, conduciendo a cierres de procesos y una condición de denegación de servicio (DoS). Los switches de MDS 9000 Series Multilayer se ven afectados en versiones anteriores a 6.25(25), 8.1(1b) y 8.3(1). Los switches de Nexus 3000 Series se ven afectados en versiones de software anteriores a las 7.0(3)I4(9) y 7.0(3)I7(4). Los switches de Nexus 3500 Platform Series se ven afectados en versiones de software anteriores a las 6.0(2)A8(10) y 7.0(3)I7(4). Los switches de Nexus 3600, se ven afectados en versiones anteriores a las 7.0(3)F3(5) y los switches de Nexus de la series 7000 y 7700 se ven afectados en versiones anteriores a las 6.2(22) y 8.2(3). Los switches de Nexus 9000 en modo Standalone NX-OS se ven afectados en versiones de software anteriores a las 7.0(3)I4(9) y 7.0(3)I7(4). Los switches de 9500 R-Series Line Cards y Fabric Modules se ven afectados en versiones anteriores a la 7.0(3)F3(5). UCS 6200, 6300 y 6400 Series Fabric Interconnect se ven afectados en versiones anteriores a las 3.2(3j) y 4.0(2a).

Una vulnerabilidad en la CLI del software NX-OS de Cisco podría permitir a un atacante local autenticado ejecutar comandos arbitrarios en el sistema operativo subyacente de un dispositivo afectado. La vulnerabilidad se debe a una validación de argumentos insuficiente que se envían a determinados comandos CLI. Un atacante podría explotar esta vulnerabilidad incluyendo entradas maliciosas como el argumento de un comando afectado. Un exploit con éxito podría permitir al atacante ejecutar comandos arbitrarios en el sistema operativo subyacente con privilegios elevados. Un atacante necesitaría credenciales de administrador válidas para explotar esta vulnerabilidad. Los switches de Nexus 3000 Series se ven afectados en versiones de software anteriores a las 7.0(3)I4(9) y 7.0(3)I7(4). Los switches de Nexus 3500 Platform se ven afectados en versiones de software anteriores a la 7.0(3)I7(4). Los switches de Nexus 3600 Platform se ven afectados en versiones de software anteriores a la 7.0(3)F3(5). Los switches de Nexus 9000 Series en Stand se ven afectados en versiones de software anteriores a la 7.0(3)F3(5).

Una vulnerabilidad en la funcionalidad del software NX-OS de Cisco podría permitir a un atacante local autenticado con credenciales de privilegios de administrador instalar una imagen de software maliciosa en un dispositivo. La vulnerabilidad se debe a una verificación de firmas NX-OS incorrecta para imágenes de software. Un atacante podría explotar esta vulnerabilidad cargando una imagen de software no firmada en un dispositivo afectado. Su explotación con éxito podría permitir que el atacante cargue una imagen de software maliciosa. Nota: Para solucionar esta vulnerabilidad, es necesario instalar una actualización de BIOS como parte de la actualización de software. Para más información, consulte los detalles de este aviso. Los switches de Nexus 3000 Series se ven afectados en versiones de software anteriores a la 7.0(3)I7(5). Las versiones anteriores a la 13.2(1l) de Nexus 9000 Series Fabric Switches, en modo ACI, se ven afectadas. Los switches de Nexus 9000 Series en modo Standalone NX-OS se ven afectados en versiones de software anteriores a la 7.0(3)I7(5). Los switches de 9500 R-Series Line Cards y Fabric Modules se ven afectados en versiones anteriores a la 7.0(3)F3(5).