Vulnerabilidades

Una vulnerabilidad de omisión de autenticación por captura-repetición [CWE-294] en FortiClient EMS versiones 7.0.1 y anteriores y versiones 6.4.4 y anteriores, puede permitir a un atacante no autenticado hacerse pasar por un usuario existente al interceptar y reusar mensajes de autenticación SAML válidos

Grafana Agent es un recolector de telemetría para enviar métricas, registros y datos de rastreo a la pila de observabilidad de Grafana. Antes de las versiones 0.20.1 y 0.21.2, los secretos en línea definidos dentro de una configuración de instancia de métrica se exponen en texto plano en dos endpoints: las configuraciones de instancia de métrica definidas en el archivo YAML base se exponen en "/-/config" y las configuraciones de instancia de métrica definidas para el servicio de raspado se exponen en "/agent/api/v1/configs/:key". Los secretos en línea son expuestos a cualquiera que pueda alcanzar estos endpoints. Si no se configura HTTPS con autenticación de cliente, estos endpoints son accesibles a usuarios no autenticados. Los secretos que son encontrados en estas secciones son usados para entregar métricas a un sistema de escritura remota de Prometheus, autenticar contra un sistema para detectar objetivos de Prometheus y autenticar contra un sistema para recopilar métricas. Esto no es aplicado a los secretos no alineados, como los secretos basados en "*_file". Este problema se ha parcheado en Grafana Agent versiones 0.20.1 y 0.21.2. Se presentan algunas soluciones disponibles. Los usuarios que no puedan actualizares deberían usar secretos no basados en la línea siempre que sea posible. Los usuarios también pueden querer restringir el acceso a la API de Grafana Agent con alguna combinación de restricción de las interfaces de red que escucha Grafana Agent mediante "http_listen_address" en el bloque "server", configurando Grafana Agent para usar HTTPS con autenticación de cliente, y/o usando reglas de firewall para restringir el acceso externo a la API de Grafana Agent

Se ha detectado una vulnerabilidad de inyección SQL en el servicio web de Aanderaa GeoView versiones anteriores a 2.1.3, que podría permitir a un atacante no autenticado ejecutar comandos arbitrarios

Una vulnerabilidad en la interfaz de gestión web del software FatPipe WARP, IPVPN y MPVPN anterior a las versiones 10.1.2r60p92 y 10.2.2r44p1 permite a un atacante remoto no autentificado cargar un archivo en cualquier ubicación del sistema de archivos. El identificador del aviso de FatPipe para esta vulnerabilidad es FPSA006

Una vulnerabilidad de control de acceso inapropiado [CWE-284] en FortiWeb versiones 6.4.1 y anteriores y 6.3.15 y anteriores, en la sección Report Browse de Log & Report puede permitir a un usuario no autorizado y no autenticado acceder a los informes de Log a través de sus URLs

Una neutralización inapropiada de la entrada durante la generación de la página web ("Cross-site Scripting") en Fortinet FortiWeb versión 6.4.1 y anteriores, 6.3.15 y anteriores, permite a un atacante ejecutar código o comandos no autorizados por medio de parámetros GET diseñados en peticiones de inicio de sesión y manejadores de errores

utils.js es vulnerable a una Modificación Inapropiada de Atributos de Prototipos de Objetos ("Prototype Pollution")

Se ha detectado un problema en Allegro Windows (anteriormente Popsy Windows) versiones anteriores a 3.3.4156.1. Un usuario estándar puede escalar privilegios a SYSTEM si el módulo FTP está instalado, debido al secuestro de DLL

Un ataque de contrabando de peticiones HTTP en TP-Link AX10v1 versiones anteriores a v1_211117, permite a un atacante remoto no autenticado hacer DoS a la aplicación web por medio del envío de un paquete HTTP específico

Una inyección SQL en el componente de consulta de filtro personalizado en Genesys intelligent Workload Distribution (IWD) versión 9.0.017.07, permite a un atacante ejecutar consultas SQL arbitrarias por medio del atributo value, con el que pueden extraerse todos los datos de la base de datos y es posible la ejecución de comandos del Sistema Operativo dependiendo de los permisos y/o del motor de la base de datos

Una inyección SQL en el componente de consulta de filtro personalizado en Genesys intelligent Workload Distribution (IWD) versiones anteriores a 9.0.013.11, permite a un atacante ejecutar consultas SQL arbitrarias por medio del parámetro ql_expression, con el que pueden extraerse todos los datos de la base de datos y es posible una ejecución de comandos del Sistema Operativo en función de los permisos y/o del motor de la base de datos

Se ha detectado un problema en Plex Media Server versiones hasta 1.24.4.5081-e362dc1ee. Un atacante (con un punto de apoyo en un extremo por medio de una cuenta de usuario con pocos privilegios) puede acceder al servicio RPC expuesto del componente de servicio de actualización. Esta funcionalidad RPC permite al atacante interactuar con la funcionalidad RPC y ejecutar código desde una ruta de su elección (local, o remota por SMB) debido a una condición de carrera TOCTOU. Esta ejecución de código es producida en el contexto del servicio de actualización de Plex (que es ejecutado como SYSTEM)