Vulnerabilidades

Las imágenes oficiales de Docker elixir versiones anteriores a 1.8.0-alpine (específicas de Alpine), contienen una contraseña en blanco para un usuario root. Los sistemas que utilizan el contenedor de Docker Linux elixir implementado por las versiones afectadas de la imagen de Docker pueden permitir a un atacante remoto conseguir acceso root con una contraseña en blanco

El tipo GeneralName X.509 es un tipo genérico para representar diferentes tipos de nombres. Uno de esos tipos de nombres se conoce como EDIPartyName. OpenSSL proporciona una función GENERAL_NAME_cmp que compara diferentes instancias de GENERAL_NAME para ver si son iguales o no. Esta función se comporta incorrectamente cuando ambos GENERAL_NAME contienen un EDIPARTYNAME. Es posible que se produzca una desreferencia del puntero NULL y un bloqueo que conduzca a un posible ataque de denegación de servicio. El propio OpenSSL usa la función GENERAL_NAME_cmp para dos propósitos: 1) Comparación de nombres de puntos de distribución de CRL entre una CRL disponible y un punto de distribución de CRL insertado en un certificado X509 2) Al comparar que un firmante de token de respuesta de marca de tiempo coincide con el nombre de autoridad de marca de tiempo (expuesto por medio de las funciones API TS_RESP_verify_response y TS_RESP_verify_token) Si un atacante puede controlar ambos elementos que se están comparando, entonces ese atacante podría desencadenar un bloqueo. Por ejemplo, si el atacante puede engañar a un cliente o servidor para que compruebe un certificado malicioso con una CRL maliciosa, esto puede ocurrir. Tome en cuenta que algunas aplicaciones descargan automáticamente las CRL basadas en una URL insertada en un certificado. Esta comprobación ocurre antes de que se verifiquen las firmas en el certificado y la CRL. Las herramientas s_server, s_client y verify de OpenSSL tienen soporte para la opción "-crl_download" que implementa la descarga automática de CRL y se ha demostrado que este ataque funciona contra esas herramientas. Tome en cuenta que un error no relacionado significa que las versiones afectadas de OpenSSL no pueden analizar ni construir codificaciones correctas de EDIPARTYNAME. Sin embargo, es posible construir un EDIPARTYNAME malformado que el analizador de OpenSSL aceptará y, por lo tanto, desencadenará este ataque. Todas las versiones de OpenSSL 1.1.1 y 1.0.2 están afectadas por este problema. Otras versiones de OpenSSL no son compatibles y no se han comprobado. Corregido en OpenSSL versiones 1.1.1i (Afectado versiones 1.1.1-1.1.1h). Corregido en OpenSSL versiones 1.0.2x (Afectado versiones 1.0.2-1.0.2w). Sin embargo, es posible construir un EDIPARTYNAME malformado que el analizador de OpenSSL aceptará y, por lo tanto, desencadenará este ataque. Todas las versiones de OpenSSL 1.1.1 y 1.0.2 están afectadas por este problema. Otras versiones de OpenSSL no son compatibles y no se han comprobado. Corregido en OpenSSL versión 1.1.1i (Afectada versión 1.1.1-1.1.1h). Corregido en OpenSSL versión 1.0.2x (Afectada versión 1.0.2-1.0.2w). Sin embargo, es posible construir un EDIPARTYNAME malformado que el analizador de OpenSSL aceptará y, por lo tanto, desencadenará este ataque. Todas las versiones de OpenSSL 1.1.1 y 1.0.2 están afectadas por este problema. Otras versiones de OpenSSL no son compatibles y no se han comprobado. Corregido en OpenSSL versión 1.1.1i (Afectada versión 1.1.1-1.1.1h). Corregido en OpenSSL versión 1.0.2x (Afectada versión 1.0.2-1.0.2w)

Kirby es un CMS. En Kirby CMS (getkirby/cms) anterior a la versión 3.4.5 y Kirby Panel anterior a la versión 2.5.14, un editor con acceso completo a Kirby Panel puede cargar un archivo PHP .phar y ejecutarlo en el servidor. Esta vulnerabilidad es crítica si puede tener atacantes potenciales en su grupo de usuarios autenticados de Panel, ya que pueden conseguir acceso al servidor con dicho archivo Phar. Los visitantes sin acceso a Panel *cannot* usar este vector de ataque. El problema ha sido parcheado en Kirby versión 2.5.14 y Kirby versión 3.4.5. Actualice a uno de estas o una versión posterior para corregir la vulnerabilidad. Nota: Kirby versión 2 llega al final de su vida útil el 31 de diciembre de 2020. Por lo tanto, recomendamos actualizar sus sitios de Kirby versión 2 a Kirby versión 3. Si no puede actualizar, recomendamos actualizar a Kirby 2.5.14

omniauth-apple es la estrategia de OmniAuth para "Sign In with Apple" (RubyGem omniauth-apple). En omniauth-apple anterior a versión 1.0.1, los atacantes pueden falsificar su dirección de correo electrónico durante la autenticación. Esta vulnerabilidad afecta a las aplicaciones que usan la estrategia omniauth-apple de OmniAuth y el campo info.email del Auth Hash Schema de OmniAuth para cualquier tipo de identificación. El valor de este campo puede ser establecido en cualquier valor que elija el atacante, incluyendo las direcciones de correo electrónico de otros usuarios. Las aplicaciones que no usan info.email para la identificación, sino que en su lugar usan el campo uid, no están afectadas de la misma manera. Tome en cuenta que estas aplicaciones aún pueden estar afectadas negativamente si el valor de info.email se utiliza para otros fines. Se recomienda a las aplicaciones que utilizan versiones afectadas de omniauth-apple que se actualicen a omniauth-apple versión 1.0

Las imágenes oficiales de piwik Docker anteriores a fpm-alpine (específicas de Alpine) contienen una contraseña en blanco para un usuario root. Los sistemas que usan el contenedor Piwik Docker implementado por las versiones afectadas de la imagen de Docker pueden permitir a un atacante remoto lograr un acceso root

Se presenta una vulnerabilidad de tipo cross-site scripting (XSS) en SourceCodester Student Management System Project en PHP versión 1.0, por medio de la pestaña "add subject"

Un problema de tipo Cross-Site Scripting (XSS) en WebUI Translation en Systran Pure Neural Server versiones anteriores a 9.7.0, permite a un actor de amenazas hacer que un usuario autenticado remoto ejecute JavaScript desde un sitio malicioso

Una vulnerabilidad de inyección SQL en Online Bus Booking System Project Using PHP/MySQL versión 1.0, permite a atacantes remotos omitir la autenticación y ejecutar comandos SQL arbitrarios

Se encontró una vulnerabilidad de serialización de Java en Apache Tapestry versión 4. Apache Tapestry versión 4 intentará deserializar el parámetro "sp" inclusive antes de invocar el método de comprobación de la página, lo que conlleva a una deserialización sin autenticación. Apache Tapestry versión 4 llegó al final de su vida útil en 2008 y no será publicada ninguna actualización para abordar este problema. Las versiones de Apache Tapestry 5 no son vulnerables a este problema. Los usuarios de Apache Tapestry versión 4 deben actualizar a la última versión de Apache Tapestry 5

Las llamadas a la API en la funcionalidad de API Translation en Systran Pure Neural Server anterior a versión 9.7.0, permiten a un actor de amenazas usar Systran Pure Neural Server como un proxy de denegación de servicio al enviar una gran cantidad de peticiones de traducción a un host de destino en cualquier Puerto TCP independientemente de si se está ejecutando un servicio web en el puerto de destino

Kirby es un CMS. En Kirby CMS (getkirby/cms) anterior a versión 3.3.6, y Kirby Panel anterior a versión 2.5.14, se presenta una vulnerabilidad en la que se puede acceder al panel de administración si está alojado en un dominio .dev. A fin de proteger nuevas instalaciones en servidores públicos que no tienen una cuenta de administrador para el Panel aún, bloqueamos el registro de cuenta allí por defecto. Esta es una característica de seguridad que implementamos hace años en Kirby versión 2. Ayuda a evitar que olvide registrar su primera cuenta de administrador en un servidor público. En este caso, sin nuestro bloqueo de seguridad, teóricamente alguien más podría encontrar su sitio, detectar que se está ejecutando en Kirby, buscar el Panel y luego registrar la cuenta primero. Es una situación poco probable, pero sigue siendo un cierto riesgo. Para poder registrar la primera cuenta del Panel en un servidor público, tienes que aplicar el instalador por medio de un ajuste de configuración. Esto ayuda a impulsar a todos los usuarios a la mejor práctica de registrar su primera cuenta del Panel en su máquina local y cargarla junto con el resto del sitio. Esta implementación del bloque de instalación en las versiones de Kirby anteriores a 3.3.6 aún asumía que los dominios .dev son dominios locales, lo cual ya no es cierto. Mientras tanto, esos dominios se hicieron disponibles públicamente. Esto significa que nuestro bloque de instalación ya no funciona como se esperaba si usa un dominio .dev para su sitio de Kirby. Además, la comprobación de la instalación local también puede presentar un fallo si su sitio está detrás de un proxy inverso. Solo estará afectado si usa un dominio .dev o su sitio está detrás de un proxy inverso y aún no ha registrado su primera cuenta del Panel en el servidor público y alguien encuentra su sitio e intenta iniciar sesión en "yourdomain.dev/panel" antes de que registre su primera cuenta. No estará afectado si ya ha creado una o varias cuentas del Panel (sin importar si está en un dominio .dev o detrás de un proxy inverso). El problema ha sido parcheado en Kirby versión 3.3.6. Actualice a esta o una versión posterior para corregir la vulnerabilidad

Se encontró un fallo en Wildfly afectando a versiones 19.0.0.Final, 19.1.0.Final, 20.0.0.Final, 20.0.1.Final y 21.0.0.Final. Cuando una aplicación usa los interceptores java de la API OpenTracing, existe la posibilidad de una pérdida de memoria. Este fallo permite a un atacante afectar la disponibilidad del servidor. La mayor amenaza de esta vulnerabilidad es la disponibilidad del sistema