Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

Vulnerabilidad en SIMATIC CN 4100 (CVE-2024-32740)
Severidad: CRÍTICA
Fecha de publicación: 14/05/2024
Fecha de última actualización: 20/08/2025
Se ha identificado una vulnerabilidad en SIMATIC CN 4100 (todas las versiones < V3.0). El dispositivo afectado contiene usuarios y credenciales indocumentados. Un atacante podría hacer un mal uso de las credenciales para comprometer el dispositivo localmente o a través de la red.
Vulnerabilidad en SIMATIC CN 4100 (CVE-2024-32742)
Severidad: ALTA
Fecha de publicación: 14/05/2024
Fecha de última actualización: 20/08/2025
Se ha identificado una vulnerabilidad en SIMATIC CN 4100 (todas las versiones < V3.0). El dispositivo afectado contiene un puerto USB sin restricciones. Un atacante con acceso local al dispositivo podría hacer un mal uso del puerto para iniciar otro sistema operativo y obtener acceso completo de lectura/escritura al sistema de archivos.
Vulnerabilidad en htmly v2.9.6 (CVE-2024-34191)
Severidad: MEDIA
Fecha de publicación: 14/05/2024
Fecha de última actualización: 20/08/2025
Se descubrió que htmly v2.9.6 contenía una vulnerabilidad de eliminación de archivos arbitraria a través de la función delete_post() en admin.php. Esta vulnerabilidad permite a los atacantes eliminar archivos arbitrarios mediante una solicitud manipulada.
Vulnerabilidad en Open Quantum Safe liboqs v.10.0 (CVE-2024-31510)
Severidad: CRÍTICA
Fecha de publicación: 24/05/2024
Fecha de última actualización: 20/08/2025
Un problema en Open Quantum Safe liboqs v.10.0 permite a un atacante remoto escalar privilegios a través del parámetro crypto_sign_signature en el componente /pqcrystals-dilithium-standard_ml-dsa-44-ipd_avx2/sign.c.
Vulnerabilidad en liboqs (CVE-2024-36405)
Severidad: MEDIA
Fecha de publicación: 10/06/2024
Fecha de última actualización: 20/08/2025
liboqs es una librería criptográfica en lenguaje C que proporciona implementaciones de algoritmos de criptografía poscuántica. Se ha identificado una escasez de sincronización del flujo de control en la implementación de referencia del mecanismo de encapsulación de claves Kyber cuando se compila con Clang 15-18 para `-Os`, `-O1` y otras opciones de compilación. Un ataque local de prueba de concepto a la implementación de referencia filtra toda la clave secreta ML-KEM 512 en aproximadamente 10 minutos utilizando mediciones de tiempo de decapsulación de extremo a extremo. El problema se solucionó en la versión 0.10.1. Como posible solución, algunas opciones del compilador pueden producir código vectorizado que no filtra información secreta; sin embargo, confiar en estas opciones del compilador como solución puede no ser confiable.
Vulnerabilidad en vditor v.3.9.8 (CVE-2024-39150)
Severidad: MEDIA
Fecha de publicación: 05/07/2024
Fecha de última actualización: 20/08/2025
vditor v.3.9.8 y anteriores es vulnerable a la lectura arbitraria de archivos a través de un paquete de datos manipulado.
Vulnerabilidad en SINEMA Remote Connect Client (CVE-2024-32006)
Severidad: MEDIA
Fecha de publicación: 10/09/2024
Fecha de última actualización: 20/08/2025
Se ha identificado una vulnerabilidad en SINEMA Remote Connect Client (todas las versiones anteriores a V3.2 SP2). La aplicación afectada no hace que la sesión del usuario caduque al reiniciar sin cerrar sesión. Esto podría permitir que un atacante eluda la autenticación multifactor.
Vulnerabilidad en btcd (CVE-2024-38365)
Severidad: ALTA
Fecha de publicación: 11/10/2024
Fecha de última actualización: 20/08/2025
btcd es una implementación alternativa de nodo completo de bitcoin escrita en Go (golang). El cliente de Bitcoin btcd (versiones 0.10 a 0.24) no volvió a implementar correctamente la funcionalidad "FindAndDelete()" de Bitcoin Core. Esta lógica es crítica para el consenso: la diferencia de comportamiento con los otros clientes de Bitcoin puede llevar a que los clientes de btcd acepten un bloque de Bitcoin no válido (o rechacen uno válido). Esta falla de consenso se puede aprovechar para causar una división de la cadena (aceptando un bloque de Bitcoin no válido) o se puede explotar para atacar los nodos de btcd (rechazando un bloque de Bitcoin válido). Un atacante puede crear una transacción estándar donde FindAndDelete no devuelva una coincidencia pero removeOpCodeByData sí, lo que hace que btcd obtenga un signo diferente, lo que lleva a una división de la cadena. Es importante destacar que esta vulnerabilidad puede ser explotada de forma remota por cualquier usuario de Bitcoin y no requiere ningún poder de hash. Esto se debe a que la diferencia en el comportamiento puede ser provocada por una transacción "estándar" de Bitcoin, es decir, una transacción que se retransmite a través de la red P2P antes de que se incluya en un bloque de Bitcoin. `removeOpcodeByData(script []byte, dataToRemove []byte)` elimina cualquier envío de datos de `script` que contenga `dataToRemove`. Sin embargo, `FindAndDelete` solo elimina las coincidencias exactas. Entonces, por ejemplo, con `script = " "` y `dataToRemove = "data"` btcd eliminará ambos envíos de datos, pero `FindAndDelete` de Bitcoin Core solo elimina el primer envío ``. Esto se ha corregido en la versión v0.24.2 de btcd. Se recomienda a los usuarios que actualicen. No hay workarounds para este problema.
Vulnerabilidad en Snowflake (CVE-2024-43382)
Severidad: MEDIA
Fecha de publicación: 30/10/2024
Fecha de última actualización: 20/08/2025
Las versiones del controlador JDBC de Snowflake >= 3.2.6 y <= 3.19.1 tienen una configuración de seguridad incorrecta que puede provocar que los datos se carguen en una etapa cifrada sin la capa adicional de protección proporcionada por el cifrado del lado del cliente.
Vulnerabilidad en SINEC INS (CVE-2024-46891)
Severidad: MEDIA
Fecha de publicación: 12/11/2024
Fecha de última actualización: 20/08/2025
Se ha identificado una vulnerabilidad en SINEC INS (todas las versiones < V1.0 SP2 Update 3). La aplicación afectada no restringe adecuadamente el tamaño de los archivos de registro generados. Esto podría permitir que un atacante remoto no autenticado active una gran cantidad de eventos registrados para agotar los recursos del sistema y crear una condición de denegación de servicio.
Vulnerabilidad en SINEC INS (CVE-2024-46894)
Severidad: MEDIA
Fecha de publicación: 12/11/2024
Fecha de última actualización: 20/08/2025
Se ha identificado una vulnerabilidad en SINEC INS (todas las versiones < V1.0 SP2 Update 3). La aplicación afectada no valida correctamente la autorización de un usuario para consultar el endpoint "/api/sftp/users". Esto podría permitir que un atacante remoto autenticado obtenga información sobre la lista de usuarios configurados del servicio SFTP y también modifique esa configuración.
Vulnerabilidad en liboqs (CVE-2024-54137)
Severidad: ALTA
Fecha de publicación: 06/12/2024
Fecha de última actualización: 20/08/2025
liboqs es una libreria criptográfica en lenguaje C que proporciona implementaciones de algoritmos de criptografía postcuántica. Se ha identificado un error de corrección en la implementación de referencia del mecanismo de encapsulación de claves HQC. Debido a un error de indexación, parte de la clave secreta se trata incorrectamente como datos no secretos. Esto da como resultado que se devuelva un valor secreto compartido incorrecto cuando se llama a la función de desencapsulación con un texto cifrado mal formado. Esta vulnerabilidad se corrigió en la versión 0.12.0.
Vulnerabilidad en Intelbras InControl (CVE-2025-0784)
Severidad: MEDIA
Fecha de publicación: 28/01/2025
Fecha de última actualización: 20/08/2025
Se ha encontrado una vulnerabilidad en Intelbras InControl hasta la versión 2.21.58 y se ha clasificado como problemática. Esta vulnerabilidad afecta al código desconocido del archivo /v1/usuario/ del componente Registered User Handler. La manipulación lleva a la transmisión de información sensible texto plano. El ataque puede iniciarse de forma remota. La complejidad de un ataque es bastante alta. La explotación parece ser difícil. El exploit ha sido divulgado al público y puede utilizarse. La actualización a la versión 2.21.59 puede solucionar este problema. Se recomienda actualizar el componente afectado.
Vulnerabilidad en NodeJS (CVE-2025-24791)
Severidad: MEDIA
Fecha de publicación: 29/01/2025
Fecha de última actualización: 20/08/2025
snowflake-connector-nodejs es un controlador NodeJS para Snowflake. Snowflake descubrió y solucionó una vulnerabilidad en el controlador NodeJS de Snowflake. Un atacante con acceso de escritura al directorio de caché local podría eludir las comprobaciones de permisos de archivo de la caché de credenciales temporal. Esta vulnerabilidad afecta a las versiones 1.12.0 a 2.0.1 en Linux. Snowflake solucionó el problema en la versión 2.0.2.
Vulnerabilidad en Snowflake JDBC (CVE-2025-24789)
Severidad: ALTA
Fecha de publicación: 29/01/2025
Fecha de última actualización: 20/08/2025
Snowflake JDBC proporciona un controlador JDBC de tipo 4 que admite funciones básicas, lo que permite que el programa Java se conecte a Snowflake. Snowflake descubrió y solucionó una vulnerabilidad en el controlador JDBC de Snowflake. Cuando se utiliza el método de autenticación EXTERNALBROWSER en Windows, un atacante con acceso de escritura a un directorio en %PATH% puede escalar sus privilegios al usuario que ejecuta la versión vulnerable del controlador JDBC. Esta vulnerabilidad afecta a las versiones 3.2.3 a 3.21.0 en Windows. Snowflake solucionó el problema en la versión 3.22.0.
Vulnerabilidad en IBM Verify Identity Access Digital Credentials 24.06 (CVE-2024-56342)
Severidad: MEDIA
Fecha de publicación: 06/06/2025
Fecha de última actualización: 20/08/2025
IBM Verify Identity Access Digital Credentials 24.06 podrían permitir que un atacante remoto obtenga información confidencial al recibir un mensaje de error técnico detallado en el navegador. Esta información podría utilizarse en futuros ataques contra el sistema.
Vulnerabilidad en IBM Verify Identity Access Digital Credentials 24.06 (CVE-2024-56343)
Severidad: MEDIA
Fecha de publicación: 06/06/2025
Fecha de última actualización: 20/08/2025
IBM Verify Identity Access Digital Credentials 24.06 podría permitir que un usuario autenticado bloquee el servicio con una solicitud POST especialmente manipulada.
Vulnerabilidad en kernel InsydeH2O 5.4 (CVE-2024-55567)
Severidad: ALTA
Fecha de publicación: 12/06/2025
Fecha de última actualización: 20/08/2025
Se detectó una validación de entrada incorrecta en UsbCoreDxe en el kernel InsydeH2O 5.4 anterior a 05.47.01, 5.5 anterior a 05.55.01, 5.6 anterior a 05.62.01 y 5.7 anterior a 05.71.01. El módulo SMM presenta una vulnerabilidad de llamada a SMM que permite escribir memoria arbitraria dentro de SMRAM y ejecutar código arbitrario a nivel de SMM.
Vulnerabilidad en GIMP (CVE-2025-6035)
Severidad: MEDIA
Fecha de publicación: 13/06/2025
Fecha de última actualización: 20/08/2025
Se encontró una falla en GIMP. Existe una vulnerabilidad de desbordamiento de enteros en el complemento "Despeckle" de GIMP. El problema se produce debido a la multiplicación sin control de las dimensiones de la imagen, como el ancho, el alto y los bytes por píxel (img_bpp), lo que puede provocar una asignación de memoria insuficiente y, posteriormente, escrituras fuera de los límites. Este problema podría provocar corrupción del montón, una posible denegación de servicio (DoS) o la ejecución de código arbitrario en ciertos escenarios.
Vulnerabilidad en GString de GLib (CVE-2025-6052)
Severidad: BAJA
Fecha de publicación: 13/06/2025
Fecha de última actualización: 20/08/2025
Se encontró una falla en la gestión de memoria de GString de GLib al añadir datos a cadenas. Si una cadena ya es muy grande, combinarla con más datos puede causar un desbordamiento oculto en el cálculo del tamaño. Esto hace que el sistema piense que tiene suficiente memoria cuando no la tiene. Como resultado, los datos pueden escribirse más allá del límite de memoria asignada, lo que provoca fallos o corrupción de memoria.
Vulnerabilidad en IBM Backup, Recovery and Media Services (CVE-2025-33108)
Severidad: ALTA
Fecha de publicación: 14/06/2025
Fecha de última actualización: 20/08/2025
IBM Backup, Recovery and Media Services para i 7.4 y 7.5 podrían permitir que un usuario con la capacidad de compilar o restaurar un programa obtuviera privilegios elevados debido a una llamada no cualificada a una librería realizada por un programa BRMS. Un agente malicioso podría provocar la ejecución de código controlado por el usuario con acceso a componentes del sistema operativo host.
Vulnerabilidad en Intelbras RX1500 Router v2.2.17 (CVE-2025-50404)
Severidad: MEDIA
Fecha de publicación: 01/07/2025
Fecha de última actualización: 20/08/2025
Intelbras RX1500 Router v2.2.17 y versiones anteriores es vulnerable a desbordamiento de enteros. La función websReadEvent utiliza incorrectamente el tipo int al procesar el campo "command" del encabezado http, lo que provoca que la matriz cruce el límite y sobrescriba otros campos de la matriz.
Vulnerabilidad en Intelbras RX1500 Router v2.2.17 (CVE-2025-50405)
Severidad: MEDIA
Fecha de publicación: 01/07/2025
Fecha de última actualización: 20/08/2025
Intelbras RX1500 Router v2.2.17 y anteriores es vulnerable a un control de acceso incorrecto en las funciones FirmwareUpload y GetFirmwareValidation.
Vulnerabilidad en IBM InfoSphere Data Replication VSAM para z/OS Remote Source 11.4 (CVE-2024-56468)
Severidad: ALTA
Fecha de publicación: 08/07/2025
Fecha de última actualización: 20/08/2025
IBM InfoSphere Data Replication VSAM para z/OS Remote Source 11.4 podría permitir que un usuario remoto provoque una denegación de servicio al enviar una solicitud HTTP no válida al servicio de lectura de registros.
Vulnerabilidad en ConnectWise PSA (CVE-2025-7204)
Severidad: MEDIA
Fecha de publicación: 09/07/2025
Fecha de última actualización: 20/08/2025
En versiones de ConnectWise PSA anteriores a la 2025.9, existe una vulnerabilidad que permite a los usuarios autenticados acceder a información confidencial. Se detectó que ciertas solicitudes de API devolvían un objeto de usuario excesivamente detallado, que incluía hashes de contraseñas cifradas de otros usuarios. Los usuarios autenticados podían recuperar estos hashes. Un atacante o un usuario con privilegios podría utilizar estos hashes expuestos para realizar ataques de fuerza bruta o de diccionario sin conexión. Estos ataques podrían comprometer las credenciales, lo que permitiría el acceso no autorizado a las cuentas y, potencialmente, la escalada de privilegios dentro del sistema.
Vulnerabilidad en HUAWEI (CVE-2025-54655)
Severidad: ALTA
Fecha de publicación: 06/08/2025
Fecha de última actualización: 20/08/2025
Vulnerabilidad de condición de ejecución en el módulo virtualization base. La explotación exitosa de esta vulnerabilidad podría afectar la confidencialidad e integridad del módulo gráfico de virtualización.
Vulnerabilidad en HUAWEI (CVE-2025-54606)
Severidad: ALTA
Fecha de publicación: 06/08/2025
Fecha de última actualización: 20/08/2025
Vulnerabilidad de verificación de estado en el módulo de lock screen. Impacto: La explotación exitosa de esta vulnerabilidad afectará la disponibilidad y la confidencialidad.
Vulnerabilidad en HUAWEI (CVE-2025-54607)
Severidad: ALTA
Fecha de publicación: 06/08/2025
Fecha de última actualización: 20/08/2025
Vulnerabilidad en la gestión de autenticación del módulo ArkWeb. Impacto: La explotación exitosa de esta vulnerabilidad podría afectar la confidencialidad del servicio.
Vulnerabilidad en HUAWEI (CVE-2025-54608)
Severidad: MEDIA
Fecha de publicación: 06/08/2025
Fecha de última actualización: 20/08/2025
Vulnerabilidad que permite configurar la dirección de rotación de la pantalla sin verificación de permisos en el módulo screen management. Impacto: La explotación exitosa de esta vulnerabilidad puede provocar que la orientación de la pantalla del dispositivo se configure arbitrariamente.
Vulnerabilidad en HUAWEI (CVE-2025-54618)
Severidad: MEDIA
Fecha de publicación: 06/08/2025
Fecha de última actualización: 20/08/2025
Vulnerabilidad de control de permisos en el módulo distributed clipboard. Impacto: La explotación exitosa de esta vulnerabilidad podría afectar la confidencialidad del servicio.
Vulnerabilidad en HUAWEI (CVE-2025-54619)
Severidad: MEDIA
Fecha de publicación: 06/08/2025
Fecha de última actualización: 20/08/2025
Problema de fallo del iterador en el módulo multi-mode input. Impacto: La explotación exitosa de esta vulnerabilidad puede causar fallos en el iterador y afectar la disponibilidad.
Vulnerabilidad en HUAWEI (CVE-2025-54620)
Severidad: MEDIA
Fecha de publicación: 06/08/2025
Fecha de última actualización: 20/08/2025
Vulnerabilidad de deserialización de datos no confiables en el módulo ability. Impacto: La explotación exitosa de esta vulnerabilidad podría afectar la disponibilidad.
Vulnerabilidad en HUAWEI (CVE-2025-54622)
Severidad: ALTA
Fecha de publicación: 06/08/2025
Fecha de última actualización: 20/08/2025
Vulnerabilidad de omisión de autenticación vinculante en el módulo devicemanager. Impacto: La explotación exitosa de esta vulnerabilidad podría afectar la confidencialidad del servicio.
Vulnerabilidad en HUAWEI (CVE-2025-54623)
Severidad: MEDIA
Fecha de publicación: 06/08/2025
Fecha de última actualización: 20/08/2025
Vulnerabilidad de lectura fuera de los límites en el módulo devicemanager. Impacto: La explotación exitosa de esta vulnerabilidad podría afectar la disponibilidad.
Vulnerabilidad en HUAWEI (CVE-2025-54624)
Severidad: MEDIA
Fecha de publicación: 06/08/2025
Fecha de última actualización: 20/08/2025
Vulnerabilidad de inyección inesperada en el módulo multimodalinput. Impacto: La explotación exitosa de esta vulnerabilidad podría afectar la disponibilidad.
Vulnerabilidad en HUAWEI (CVE-2025-54625)
Severidad: MEDIA
Fecha de publicación: 06/08/2025
Fecha de última actualización: 20/08/2025
Vulnerabilidad de condición de ejecución en el módulo kernel file system. Impacto: La explotación exitosa de esta vulnerabilidad podría afectar la disponibilidad.
Vulnerabilidad en HUAWEI (CVE-2025-54627)
Severidad: ALTA
Fecha de publicación: 06/08/2025
Fecha de última actualización: 20/08/2025
Vulnerabilidad de escritura fuera de los límites en el módulo skia. Impacto: La explotación exitosa de esta vulnerabilidad podría afectar la confidencialidad del servicio.
Vulnerabilidad en HUAWEI (CVE-2025-54631)
Severidad: MEDIA
Fecha de publicación: 06/08/2025
Fecha de última actualización: 20/08/2025
Vulnerabilidad de verificación insuficiente de la longitud de datos en el módulo partition. Impacto: La explotación exitosa de esta vulnerabilidad podría afectar la disponibilidad.
Vulnerabilidad en Qualcomm Technologies (CVE-2025-21452)
Severidad: ALTA
Fecha de publicación: 06/08/2025
Fecha de última actualización: 20/08/2025
DOS transitorio al procesar una respuesta de acceso aleatorio (RAR) con una longitud de PDU no válida en LTE network.
Vulnerabilidad en Qualcomm Technologies (CVE-2025-21455)
Severidad: ALTA
Fecha de publicación: 06/08/2025
Fecha de última actualización: 20/08/2025
Corrupción de memoria al enviar datos de blob al espacio del kernel a través de IOCTL.
Vulnerabilidad en Qualcomm Technologies (CVE-2025-21456)
Severidad: ALTA
Fecha de publicación: 06/08/2025
Fecha de última actualización: 20/08/2025
Corrupción de memoria durante el procesamiento del comando IOCTL cuando se llaman varios subprocesos para asignar/desasignar el búfer simultáneamente.
Vulnerabilidad en Qualcomm Technologies (CVE-2025-21477)
Severidad: ALTA
Fecha de publicación: 06/08/2025
Fecha de última actualización: 20/08/2025
DOS transitorio al procesar datos CCCH cuando NW envía datos con una longitud no válida.
Vulnerabilidad en Qualcomm Technologies (CVE-2025-27065)
Severidad: ALTA
Fecha de publicación: 06/08/2025
Fecha de última actualización: 20/08/2025
DOS transitorio mientras se procesa un marco con un descriptor de clave compartida mal formado.
Vulnerabilidad en Qualcomm Technologies (CVE-2025-27073)
Severidad: ALTA
Fecha de publicación: 06/08/2025
Fecha de última actualización: 20/08/2025
DOS transitorio al crear una instancia de NDP.