Vulnerabilidades

Se ha detectado que Nagios XI versión v5.8.6, contiene una vulnerabilidad de tipo cross-site scripting (XSS) por medio de la página de configuración del sistema en el panel de administración

JOSE es "JSON Web Almost Everything" - JWA, JWS, JWE, JWT, JWK, JWKS sin dependencias usando la criptografía nativa del tiempo de ejecución en Node.js, Browser, Cloudflare Workers, Electron y Deno. Los algoritmos de administración de claves JWE basados en PBKDF2 esperan un parámetro de encabezado JOSE llamado "p2c" PBES2 Count, que determina cuántas iteraciones de PBKDF2 deben ejecutarse para derivar una clave envolvente CEK. El propósito de este parámetro es ralentizar intencionadamente la función de derivación de la clave para que los ataques de fuerza bruta y de diccionario a las contraseñas sean más costosos. Esto hace que los algoritmos PBES2 sean inapropiados para situaciones en las que el JWE procede de una fuente no confiable: un adversario puede elegir intencionadamente un valor de PBES2 Count extremadamente alto, que iniciará un cálculo limitado por la CPU que puede tardar una cantidad de tiempo irrazonable en terminar. Bajo determinadas condiciones, es posible que el entorno del usuario consuma una cantidad irrazonable de tiempo de CPU. El impacto es limitado sólo a usuarios que usan las API de descifrado de JWE con secretos simétricos para descifrar JWE de partes no confiables que no limitan los algoritmos de administración de claves JWE aceptados (parámetro de cabecera "alg") usando la opción de descifrado "keyManagementAlgorithms" (o "algorithms" en v1.x) o por otros medios. Las versiones "v1.28.2", "v2.0.6", "v3.20.4" y "v4.9.2" limitan el número máximo de iteraciones de PBKDF2 a "10000" por defecto. Es posible ajustar este límite con la nueva opción de descifrado "maxPBES2Count". Si los usuarios no pueden actualizar la versión de la biblioteca que necesitan, se presentan dos opciones dependiendo de si esperan recibir JWEs que usen alguno de los tres algoritmos de administración de claves JWE basados en PBKDF2. Pueden usar la opción de descifrado "keyManagementAlgorithms" para deshabilitar la aceptación de PBKDF2 por completo, o pueden inspeccionar el encabezado JOSE antes de usar la API de descifrado y limitar el recuento de iteraciones de PBKDF2 (parámetro de encabezado "p2c")

Wikmd es un wiki basado en archivos que usa markdown. En versiones anteriores a 1.7.1, Wikmd es vulnerable a un salto de ruta cuando accede a "/list/(path:folderpath)" y divulga listas de archivos ubicados en el servidor incluyendo datos confidenciales. La versión 1.7.1 corrige este problema

Wikmd es un wiki basado en archivos que usa markdown. En versiones anteriores a 1.7.1, un atacante podía capturar las cookies de sesión del usuario o ejecutar Javascript malicioso cuando una víctima editaba un archivo markdown. La versión 1.7.1 corrige este problema

Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Los campos internos (claves usadas internamente por Parse Server, prefijadas por "_") y los campos protegidos (definidos por el usuario) pueden usarse como restricciones de consulta. Los campos internos y protegidos son eliminados por Parse Server y sólo se devuelven al cliente usando una llave maestra válida. Sin embargo, usando las restricciones de consulta, estos campos pueden ser adivinados al enumerar hasta que Parse Server, versiones anteriores a 4.10.14 o 5.2.5, devuelva un objeto de respuesta. El parche disponible en versiones 4.10.14 y 5.2.5, requiere que la llave máser use campos internos y protegidos como restricciones de consulta. Como mitigación, implemente un Parse Cloud Trigger "beforeFind" y elimine manualmente las restricciones de consulta

Flux2 es una herramienta para mantener los clusters de Kubernetes sincronizados con las fuentes de configuración, y el controlador Helm de Flux es un operador de Kubernetes que permite administrar de forma declarativa los lanzamientos de gráficos de Helm. Helm-controller está estrechamente integrado con el SDK de Helm. Una vulnerabilidad encontrada en el SDK de Helm que afecta a flux2 versiones v0.0.17 hasta v0.32.0 y a helm-controller versiones v0.0.4 hasta v0.23.0, permite que determinadas entradas de datos causen un alto consumo de memoria. En algunas plataformas, esto podría causar que el controlador entre en pánico y deje de procesar las conciliaciones. En un entorno de clústeres compartidos con múltiples inquilinos, un inquilino podría crear un HelmRelease que hace que el controlador entre en pánico, denegando a todos los demás inquilinos la reconciliación de sus HelmRelease. Los parches están disponibles en flux2 versión v0.32.0 y helm-controller versión v0.23.0

Se ha encontrado una vulnerabilidad clasificada como crítica en codeprojects Online Driving School. Esto afecta a una parte desconocida del archivo /login.php. La manipulación del argumento nombre de usuario conlleva a una inyección sql. Es posible iniciar el ataque de forma remota. la explotación ha sido divulgado al público y puede ser usado. El identificador VDB-207873 fue asignado a esta vulnerabilidad

Se ha encontrado una vulnerabilidad en codeprojects Online Driving School. Ha sido calificada como crítica. Este problema afecta a una funcionalidad desconocida del archivo /registration.php. La manipulación conlleva a una carga sin restricciones. El ataque puede ser lanzado de forma remota. la explotación ha sido divulgado al público y puede ser usado. El identificador de esta vulnerabilidad es VDB-207872

RubyGems.org es el host de gemas de la comunidad Ruby. Un error en el código de confirmación de cambio de contraseña y correo electrónico permitía a un atacante cambiar el correo electrónico de su cuenta de RubyGems.org a una dirección de correo electrónico no propia. Tener acceso a una cuenta cuyo correo electrónico ha sido cambiado podría permitir a un atacante guardar las claves de la API para esa cuenta, y cuando un usuario legítimo intente crear una cuenta con su correo electrónico (y tenga que restablecer la contraseña para acceder) y le sea concedido acceso a otras gemas, el atacante podría entonces publicar y arrancar versiones de esas gemas. El commit número 90c9e6aac2d91518b479c51d48275c57de492d4d contiene un parche para este problema

Se ha detectado que Tenda AC18 router versiones v15.03.05.19 y v15.03.05.05, contiene un desbordamiento de pila por medio del parámetro list en /goform/SetVirtualServerCfg

Se ha detectado que Tenda AC18 router versiones v15.03.05.19 y v15.03.05.05, contiene un desbordamiento de pila por el parámetro list en /goform/SetStaticRouteCfg

Se ha detectado que Tenda AC18 router versiones v15.03.05.19 y v15.03.05.05, contiene un desbordamiento de pila por medio del parámetro time en /goform/PowerSaveSet