Vulnerabilidades

KubeVela es una plataforma de entrega de aplicaciones Los usuarios usando VelaUX APIServer de KubeVela podrían verse afectados por una vulnerabilidad de omisión de autenticación. En KubeVela versiones anteriores a 1.4.11 y 1.5.4, VelaUX APIServer usa el "PlatformID" como clave firmada para generar los tokens JWT para usuarios. Otra API llamada "getSystemInfo" expone el platformID. Esta vulnerabilidad permite a usuarios usar el platformID para volver a generar los tokens JWT para omitir la autenticación. Las versiones 1.4.11 y 1.5.4 contienen un parche para este problema

GoCD es un servidor de entrega continua. Las instalaciones de Windows por medio de los instaladores del servidor o del agente para GoCD versiones anteriores a 22.2.0, no restringen apropiadamente los permisos cuando son instalados fuera de la ubicación predeterminada. Esto podría permitir a un usuario malicioso con acceso local al servidor en el que es instalado el servidor o el agente de GoCD modificar los ejecutables o los componentes de la instalación. Esto no afecta a instalaciones basadas en archivos zip, a instalaciones en otras plataformas ni a instalaciones dentro de "Program Files" or "Program Files (x86)". Este problema ha sido corregido en los instaladores de GoCD versión 22.2.0. Como mitigación, si el servidor o el agente es instalado fuera de "Program Files (x86)", compruebe los permisos del directorio de instalación del servidor o del agente para asegurarse de que el grupo de usuarios "Everyone" no presenta permisos de "Full Control", "Modify" o "Write"

linked_list_allocator es un asignador usable en sistemas no_std. En versiones anteriores a 0.10.2, los métodos de inicialización de la pila carecían de una comprobación del tamaño mínimo para el argumento del tamaño de la pila. Esto podía conllevar a escrituras fuera de límites cuando una pila es inicializada con un tamaño inferior a "3 * size_of::(usize)" debido a las operaciones de escritura de metadatos. Esta vulnerabilidad afecta a todas las funciones de inicialización de los tipos "Heap" y "LockedHeap", incluyendo "Heap::new", "Heap::init", "Heap::init_from_slice", y "LockedHeap::new". También afecta a múltiples usos del método "Heap::extend". La versión 0.10.2 contiene un parche para este problema. Como mitigación, asegúrese de que la pila sólo es inicializada con un tamaño superior a "3 * size_of::(usize)" y que el método "Heap::extend" sólo es llamado con tamaños superiores a "2 * size_of::(usize)()". Además, asegúrese de que el tamaño total de la pila es (y es mantenido) un múltiplo de "2 * size_of::(usize)()"

mangadex-downloader es una herramienta de línea de comandos para descargar manga de MangaDex. Cuando es usado el comando "file:(location)" y "(location)" es una ubicación URL de la web (http, https), mangadex-downloader entre las versiones 1.3.0 y 1.7.2, intentará abrir y leer un archivo en el disco local para cada línea de contenido de la web. La versión 1.7.2 contiene un parche para este problema

Una vulnerabilidad de tipo Cross Site Scripting (XSS) en xiunobbs versión 4.0.4, permite a atacantes remotos ejecutar un script web o HTML arbitrario por medio de la función attachment upload

Se ha detectado que Nagios XI versiones anteriores a 5.8.7, contiene una vulnerabilidad de tiop cross-site scripting (XSS) por medio del script ajax.php en CCM versión 3.1.5

Se ha detectado que Nagios XI versión v5.8.6, contiene una vulnerabilidad de tipo cross-site scripting (XSS) por medio de la página de configuración del rendimiento del sistema en el panel de administración

Se ha detectado que Nagios XI versión v5.8.6, contiene una vulnerabilidad de inyección SQL por medio del parámetro mib_name en la página Manage MIBs

Se ha detectado que Nagios XI versión v5.8.6, contiene una vulnerabilidad de tipo cross-site scripting (XSS) por medio del componente MTR en versión 1.0.4

Se ha detectado que Nagios XI versiones anteriores a 5.8.7, contiene múltiples vulnerabilidades de tipo cross-site scripting (XSS) en el archivo auditlog.php

Se ha detectado que Nagios XI versión v5.8.6, contiene una vulnerabilidad de tipo cross-site scripting (XSS) por medio de la página de configuración del sistema en el panel de administración

JOSE es "JSON Web Almost Everything" - JWA, JWS, JWE, JWT, JWK, JWKS sin dependencias usando la criptografía nativa del tiempo de ejecución en Node.js, Browser, Cloudflare Workers, Electron y Deno. Los algoritmos de administración de claves JWE basados en PBKDF2 esperan un parámetro de encabezado JOSE llamado "p2c" PBES2 Count, que determina cuántas iteraciones de PBKDF2 deben ejecutarse para derivar una clave envolvente CEK. El propósito de este parámetro es ralentizar intencionadamente la función de derivación de la clave para que los ataques de fuerza bruta y de diccionario a las contraseñas sean más costosos. Esto hace que los algoritmos PBES2 sean inapropiados para situaciones en las que el JWE procede de una fuente no confiable: un adversario puede elegir intencionadamente un valor de PBES2 Count extremadamente alto, que iniciará un cálculo limitado por la CPU que puede tardar una cantidad de tiempo irrazonable en terminar. Bajo determinadas condiciones, es posible que el entorno del usuario consuma una cantidad irrazonable de tiempo de CPU. El impacto es limitado sólo a usuarios que usan las API de descifrado de JWE con secretos simétricos para descifrar JWE de partes no confiables que no limitan los algoritmos de administración de claves JWE aceptados (parámetro de cabecera "alg") usando la opción de descifrado "keyManagementAlgorithms" (o "algorithms" en v1.x) o por otros medios. Las versiones "v1.28.2", "v2.0.6", "v3.20.4" y "v4.9.2" limitan el número máximo de iteraciones de PBKDF2 a "10000" por defecto. Es posible ajustar este límite con la nueva opción de descifrado "maxPBES2Count". Si los usuarios no pueden actualizar la versión de la biblioteca que necesitan, se presentan dos opciones dependiendo de si esperan recibir JWEs que usen alguno de los tres algoritmos de administración de claves JWE basados en PBKDF2. Pueden usar la opción de descifrado "keyManagementAlgorithms" para deshabilitar la aceptación de PBKDF2 por completo, o pueden inspeccionar el encabezado JOSE antes de usar la API de descifrado y limitar el recuento de iteraciones de PBKDF2 (parámetro de encabezado "p2c")