Instituto Nacional de ciberseguridad. Sección Incibe

Dos nuevos avisos de seguridad

Índice

  • Múltiples vulnerabilidades en HPE Private Cloud AI
  • Credenciales codificadas en productos de Belkin

Múltiples vulnerabilidades en HPE Private Cloud AI

Fecha11/08/2025
Importancia5 - Crítica
Recursos Afectados

HPE Private Cloud AI: versiones anteriores a la v1.5.

Descripción

HPE ha publicado 10 vulnerabilidades: 1 de severidad crítica, 4 de severidad alta y 5 de severidad media, cuya explotación podría permitir a un atacante remoto ejecutar código arbitrario.

Solución

HPE ha publicado la siguiente actualización de software para resolver las posibles vulnerabilidades en HPE Private Cloud AI:

  • HPE Private Cloud AI v1.5 o posterior.
Detalle

BentoML es una biblioteca de Python para crear sistemas de servicios en línea optimizados para aplicaciones de IA e inferencia de modelos. Antes de la versión 1.4.8, existía una deserialización insegura en el servidor de ejecución de BentoML. Al establecer encabezados y parámetros específicos en la solicitud POST, es posible ejecutar cualquier código arbitrario no autorizado en el servidor, lo que permite a los atacantes obtener acceso inicial y divulgar información del servidor.

Se ha asignado el identificador CVE-2025-32375 para esta vulnerabilidad.

Se han asignado los identificadores CVE-2025-37113, CVE-2025-37118, CVE-2025-37119 y CVE-2025-37120 para las vulnerabilidades de severidad alta.


Credenciales codificadas en productos de Belkin

Fecha11/08/2025
Importancia5 - Crítica
Recursos Afectados
  • Belkin F9K1009: versión 2.00.09 y anteriores.
  • Belkin F9K1010: versión 2.00.04 y anteriores.
Descripción

Belkin ha publicado una vulnerabilidad de severidad crítica, cuya explotación podría permitir a un atacante iniciar sesión en el dispositivo.

Solución

Por el momento, no se ha reportado una solución para la vulnerabilidad reportada.

Detalle

Se ha descubierto una vulnerabilidad crítica en los routers Belkin F9K1009 y F9K1010 con firmware 2.00.04 y 2.00.09. El fallo afecta a una funcionalidad en la autenticación en la interfaz web del dispositivo.

La vulnerabilidad se debe a la presencia de credenciales codificadas (hard-coded), lo que podría permitir a un atacante acceder sin autorización.
El ataque puede ejecutarse de forma remota. Los detalles del mismo se han hecho públicos y puede ser efectuado por cualquiera.