Vulnerabilidades

Se encontró una vulnerabilidad en Comma AI Openpilot 0.11. Este problema afecta a la función pickle.load/pickle.loads del archivo selfdrive/modeld/modeld.py del componente Módulo Pickle. La manipulación resulta en deserialización. El ataque solo es posible con acceso local. El proveedor fue contactado tempranamente sobre esta divulgación, pero no respondió de ninguna manera.

Se ha detectado una vulnerabilidad de seguridad en GL.iNet GL-MT3000 hasta la versión 4.4.5. Afectada por esta vulnerabilidad es una funcionalidad desconocida del archivo /usr/bin/one_click_upgrade del componente Gestor de Actualización de Firmware en Línea. Dicha manipulación conduce a inyección de comandos. El ataque puede ser lanzado remotamente. El exploit ha sido divulgado públicamente y puede ser utilizado. Actualizar a la versión 4.7 soluciona este problema. Se aconseja actualizar el componente afectado. El proveedor fue contactado tempranamente, respondió de manera muy profesional y rápidamente lanzó una versión corregida del producto afectado.

Se ha identificado una debilidad en GL.iNet GL-MT3000 hasta la versión 4.4.5. Afecta a la función replace_country en la biblioteca /usr/lib/oui-httpd/rpc/tor del componente Gestor de Configuración del Servicio de Proxy Tor. Esta manipulación provoca inyección de comandos. El ataque puede iniciarse de forma remota. El exploit se ha hecho público y podría utilizarse para ataques. La actualización a la versión 4.7 es capaz de solucionar este problema. Se recomienda actualizar el componente afectado. Se contactó al proveedor con antelación, respondió de manera muy profesional y lanzó rápidamente una versión corregida del producto afectado.

nanoMODBUS hasta la v1.23.0 contiene un desbordamiento de búfer por un byte en la función recv_msg_header() del servidor Modbus/TCP que permite a atacantes remotos no autenticados escribir un byte controlado por el atacante más allá del final del búfer de recepción de 260 bytes enviando una trama MBAP manipulada cuyo campo Length está configurado en 255. El desbordamiento corrompe el campo adyacente buffer-index de la estructura de estado de nanoMODBUS, lo que resulta en denegación de servicio a través de accesos a memoria no válidos y, en objetivos bare-metal y RTOS sin protección de memoria, revelación de información de un byte y escrituras a direcciones de registro no intencionadas en la ruta del gestor de Write Multiple Registers (FC16).

Linux-PAM hasta 1.7.2 contiene una discrepancia de tiempo observable (CWE-208) en la ruta de comparación de contraseñas en texto plano del módulo pam_userdb en modules/pam_userdb/pam_userdb.c que permite a un atacante local o adyacente a la red, capaz de impulsar repetidamente la autenticación a través de un servicio llamante, recuperar la contraseña en texto plano de una cuenta objetivo midiendo las diferencias de tiempo de respuesta. La comparación utiliza strncmp() (o strncasecmp() cuando PAM_ICASE_ARG está configurado) precedida por una verificación de igualdad de longitud, por lo que el tiempo para rechazar un candidato depende del índice del primer byte diferente y de si la longitud del candidato coincide con la contraseña almacenada, filtrando la longitud de la contraseña y los bytes de prefijo individuales. La ruta vulnerable se alcanza cuando el administrador configura pam_userdb con crypt=none, con un método crypt no reconocido, o sin un argumento crypt=, lo que hace que el módulo almacene y compare credenciales en texto plano.

LiamBindle MQTT-C hasta la versión 1.1.6 contiene una lectura fuera de límites basada en el heap y un desbordamiento negativo de enteros en la función mqtt_unpack_publish_response() en src/mqtt.c que permite a un atacante remoto no autenticado que controla un broker MQTT - o capaz de inyectar tráfico MQTT en una sesión no cifrada - provocar la caída de un cliente MQTT-C suscrito y potencialmente divulgar memoria adyacente del heap enviando un único paquete PUBLISH manipulado. La función solo valida que el remaining_length del encabezado fijo sea al menos 4, luego lee el campo topic_name_size de 16 bits del paquete controlado por el broker y avanza el puntero de análisis por ese valor sin verificar que topic_name_size más la sobrecarga circundante encaje dentro de remaining_length; posteriormente calcula application_message_size como remaining_length - topic_name_size - 2 (QoS 0) o - 4 (QoS mayor que 0) en aritmética sin signo, produciendo un desbordamiento negativo de enteros que luego se pasa a memmove(). Un paquete PUBLISH con topic_name_size = 0xFFFF y remaining_length = 7 avanza el puntero de análisis 65535 bytes más allá del búfer de recepción (lectura fuera de límites) y provoca un application_message_size cercano a 2^32, provocando la caída del proceso cuando se ejecuta el memmove() resultante.

driftregion iso14229 hasta la versión 0.9.0 contiene un desbordamiento negativo de enteros y una lectura fuera de límites posterior en la función Handle_0x27_SecurityAccess() en iso14229.c que permite a un atacante remoto no autenticado bloquear un servidor UDS y potencialmente leer memoria más allá del búfer de recepción enviando una solicitud SecurityAccess de un solo byte 0x27 que sigue a cualquier mensaje 0x27 bien formado anterior. El gestor lee la subfunción SecurityAccess de recv_buf[1] sin verificar primero que recv_len sea al menos 2, luego calcula la longitud de los datos de la clave como la resta sin signo (uint16_t)(recv_len - UDS_0X27_REQ_BASE_LEN); cuando recv_len es igual a 1, el resultado sufre un desbordamiento negativo a 65535 y se pasa como args.len a la devolución de llamada SecAccessValidateKey o SecAccessRequestSeed de la aplicación, que típicamente itera o copia esa cantidad de bytes del búfer de recepción de 4 KB. Cada otro gestor de subfunción UDS en la biblioteca (0x10, 0x11, 0x14, 0x19, 0x22, 0x23, 0x28 y otros) realiza una verificación explícita del límite inferior de recv_len antes de la indexación; Handle_0x27_SecurityAccess es la única excepción. El gestor vulnerable es accesible a través de los transportes CAN bus, OBD-II, ISO-TP y DoIP y está expuesto en la sesión de diagnóstico predeterminada sin autenticación previa; las implementaciones en ECUs automotrices, controladores industriales y dispositivos IoT que incluyen iso14229 como su servidor UDS se ven afectadas.

Las versiones de Config::IniFiles anteriores a la 3.001000 para Perl permiten la inyección de comandos del sistema operativo y la sobrescritura de archivos a través de una llamada &amp;#39;open()&amp;#39; de 2 argumentos del argumento &amp;#39;-file&amp;#39; en &amp;#39;_make_filehandle&amp;#39;.<br /> <br /> Config::IniFiles::_make_filehandle abre un argumento de nombre de archivo con la función &amp;#39;open()&amp;#39; de 2 argumentos de Perl, por lo que un nombre de archivo que comienza o termina con una tubería ( | cmd , cmd | ) o comienza con una redirección ( path , path ) se ejecuta como un comando o una redirección en lugar de abrirse como un archivo. La función auxiliar es la ruta de apertura detrás del argumento &amp;#39;-file&amp;#39; documentado: &amp;#39;new(-file = $thing)&amp;#39; la alcanza a través de &amp;#39;ReadConfig&amp;#39;. Una referencia escalar en memoria (&amp;#39;-file = \$text&amp;#39;) no abre una ruta y no se ve afectada.<br /> <br /> Cualquier llamador que reenvíe entrada no confiable al argumento &amp;#39;-file&amp;#39; puede ejecutar un comando arbitrario o truncar un archivo bajo el UID del proceso.

Las versiones de GD anteriores a la 2.86 para Perl permiten la inyección de comandos del sistema operativo y la sobrescritura de archivos a través de una función open() de 2 argumentos de los argumentos de nombre de archivo en _make_filehandle.<br /> <br /> GD::Image::_make_filehandle abre un argumento de nombre de archivo con la función open() de 2 argumentos de Perl, por lo que un nombre de archivo que comienza o termina con una tubería (&amp;#39;| cmd&amp;#39;, &amp;#39;cmd |&amp;#39;) o comienza con una redirección (&amp;#39;&gt; path&amp;#39;, &amp;#39;&gt;&gt; path&amp;#39;) se ejecuta como un comando o redirección en lugar de abrirse como un archivo. _make_filehandle es la única ruta de apertura detrás de cada constructor que acepta nombres de archivo (new, newFromPng, newFromJpeg y el resto); las variantes Data en memoria no abren una ruta y no se ven afectadas.<br /> <br /> Cualquier llamador que reenvíe entrada no confiable a uno de estos constructores como una ruta de archivo puede ejecutar un comando arbitrario o truncar un archivo bajo el UID del proceso.

El plugin de WordPress Iptanus File Upload anterior a la versión 5.1.7 no implementa un manejo adecuado de archivos cuando la configuración &amp;#39;duplicatepolicy&amp;#39; está configurada como &amp;#39;maintain both&amp;#39;. Debido a una condición de carrera de Tiempo de Verificación a Tiempo de Uso (TOCTOU) entre la verificación de existencia del archivo y la operación de escritura real del archivo, un atacante autenticado puede sobrescribir archivos subidos por otros usuarios.

En OpenStack Ironic hasta la versión 35.0.1, al aplicar un parche para actualizar campos en las propiedades de volumen para las que el usuario está autorizado, Ironic puede devolver información sensible sin redactar (como credenciales iSCSI). El resultado de la operación PATCH es un problema de seguridad; el resultado de la operación POST no es un problema de seguridad.

El plugin LiteSpeed cPanel anterior a 2.4.8 (tal como se distribuyó en LiteSpeed WHM PlugIn anterior a 5.3.2.0) maneja incorrectamente los enlaces simbólicos proporcionados por un usuario con acceso FTP o a shell web en un servidor de alojamiento compartido que ejecuta CloudLinux/CageFS, tal como fue explotado en ataques reales en mayo de 2026.