Dos nuevos avisos de seguridad
Índice
- Múltiples vulnerabilidades en HPE Private Cloud AI
- Credenciales codificadas en productos de Belkin
Múltiples vulnerabilidades en HPE Private Cloud AI
HPE Private Cloud AI: versiones anteriores a la v1.5.
HPE ha publicado 10 vulnerabilidades: 1 de severidad crítica, 4 de severidad alta y 5 de severidad media, cuya explotación podría permitir a un atacante remoto ejecutar código arbitrario.
HPE ha publicado la siguiente actualización de software para resolver las posibles vulnerabilidades en HPE Private Cloud AI:
- HPE Private Cloud AI v1.5 o posterior.
BentoML es una biblioteca de Python para crear sistemas de servicios en línea optimizados para aplicaciones de IA e inferencia de modelos. Antes de la versión 1.4.8, existía una deserialización insegura en el servidor de ejecución de BentoML. Al establecer encabezados y parámetros específicos en la solicitud POST, es posible ejecutar cualquier código arbitrario no autorizado en el servidor, lo que permite a los atacantes obtener acceso inicial y divulgar información del servidor.
Se ha asignado el identificador CVE-2025-32375 para esta vulnerabilidad.
Se han asignado los identificadores CVE-2025-37113, CVE-2025-37118, CVE-2025-37119 y CVE-2025-37120 para las vulnerabilidades de severidad alta.
Credenciales codificadas en productos de Belkin
- Belkin F9K1009: versión 2.00.09 y anteriores.
- Belkin F9K1010: versión 2.00.04 y anteriores.
Belkin ha publicado una vulnerabilidad de severidad crítica, cuya explotación podría permitir a un atacante iniciar sesión en el dispositivo.
Por el momento, no se ha reportado una solución para la vulnerabilidad reportada.
Se ha descubierto una vulnerabilidad crítica en los routers Belkin F9K1009 y F9K1010 con firmware 2.00.04 y 2.00.09. El fallo afecta a una funcionalidad en la autenticación en la interfaz web del dispositivo.
La vulnerabilidad se debe a la presencia de credenciales codificadas (hard-coded), lo que podría permitir a un atacante acceder sin autorización.
El ataque puede ejecutarse de forma remota. Los detalles del mismo se han hecho públicos y puede ser efectuado por cualquiera.