Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

• Vulnerabilidad en kernel de Linux (CVE-2024-42321)
  Severidad: MEDIA
  Fecha de publicación: 17/08/2024
  Fecha de última actualización: 10/10/2025
  En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net: flow_dissector: use DEBUG_NET_WARN_ON_ONCE El siguiente símbolo es fácil de reproducir tanto en núcleos anteriores como en núcleos estables. Florian Westphal proporcionó la siguiente confirmación: d1dab4f71d37 ("net: add and use __skb_get_hash_metric_net") pero Willem de Bruijn también sugirió esta solución complementaria y se puede retroportar fácilmente al kernel estable, que consiste en usar DEBUG_NET_WARN_ON_ONCE en lugar de silenciar lo siguiente splat dado __skb_get_hash() es utilizado por la infraestructura de seguimiento de nftables para identificar paquetes en los seguimientos. [69133.561393] ------------[ cortar aquí ]------------ [69133.561404] ADVERTENCIA: CPU: 0 PID: 43576 en net/core/flow_dissector.c :1104 __skb_flow_dissect+0x134f/ [...] [69133.561944] CPU: 0 PID: 43576 Comm: socat No contaminado 6.10.0-rc7+ #379 [69133.561959] RIP: 0010:__skb_flow_dissect+0x134f/0x2ad0 133.561970] Código: 83 f9 04 0f 84 b3 00 00 00 45 85 c9 0f 84 aa 00 00 00 41 83 f9 02 0f 84 81 fc ff ff 44 0f b7 b4 24 80 00 00 00 e9 8b f9 ff ff <0f> 0b e9 20 ff ff 41 f6 c6 20 0f 84 e4 ef ff ff 48 8d 7b 12 e8 [69133.561979] RSP: 0018:ffffc90000006fc0 EFLAGS: 00010246 [69133.561988] RAX: 00000000000000000 RBX: ffffffff82f33e20 RCX: ffffffff81ab7e19 [69133.561994] RDX: dffffc0000000000 RSI: ffffc900000007388 RDI: ffff888103a1b418 [69133.562001] RBP: ffffc90000007310 R08: 0000000000000000 R09: 0000000000000000 [69133.562007] R10: ffffc90000007388 R11: fffffff810cface 2: ffff888103a1b400 [69133.562013] R13: 0000000000000000 R14: ffffffff82f33e2a R15: ffffffff82f33e28 [69133.562020] FS: 00007f40f7131740(000 0) GS:ffff888390800000(0000 ) knlGS:0000000000000000 [69133.562027] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [69133.562033] CR2: 00007f40f7346ee0 CR3: 5d200001 CR4: 00000000001706f0 [69133.562040] Seguimiento de llamadas: [69133.562044] [69133.562049] ? __advertir+0x9f/0x1a0 [ 1211.841384] ? __skb_flow_dissect+0x107e/0x2860 [...] [ 1211.841496] ? bpf_flow_dissect+0x160/0x160 [ 1211.841753] __skb_get_hash+0x97/0x280 [ 1211.841765] ? __skb_get_hash_metric+0x230/0x230 [1211.841776]? mod_find+0xbf/0xe0 [1211.841786]? get_stack_info_noinstr+0x12/0xe0 [1211.841798]? bpf_ksym_find+0x56/0xe0 [1211.841807]? __rcu_read_unlock+0x2a/0x70 [1211.841819] nft_trace_init+0x1b9/0x1c0 [nf_tables] [1211.841895]? nft_trace_notify+0x830/0x830 [nf_tables] [1211.841964]? get_stack_info+0x2b/0x80 [1211.841975]? nft_do_chain_arp+0x80/0x80 [nf_tables] [ 1211.842044] nft_do_chain+0x79c/0x850 [nf_tables]
  
• Vulnerabilidad en kernel de Linux (CVE-2024-42322)
  Severidad: MEDIA
  Fecha de publicación: 17/08/2024
  Fecha de última actualización: 10/10/2025
  En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ipvs: desreferenciar correctamente pe en ip_vs_add_service Utilice pe directamente para resolver la advertencia dispersa: net/netfilter/ipvs/ip_vs_ctl.c:1471:27: advertencia: desreferencia de la expresión noderef
  
• Vulnerabilidad en kernel de Linux (CVE-2024-43830)
  Severidad: ALTA
  Fecha de publicación: 17/08/2024
  Fecha de última actualización: 10/10/2025
  En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: leds: trigger: Anular el registro de los atributos sysfs antes de llamar a desactivar() Los activadores que tienen atributos sysfs específicos del activador normalmente almacenan datos relacionados en datos de activación asignados por la devolución de llamada enable() y liberados por el desactivar() devolución de llamada. Llamar a device_remove_groups() después de llamar a deactivate() deja una ventana donde los atributos sysfs muestran/almacenan funciones que se pueden llamar después de la desactivación y luego operar con los datos de activación recién liberados. Mueva la llamada device_remove_groups() antes de desactivar() para cerrar esta ventana de ejecución. Esto también hace que la ruta de desactivación haga las cosas correctamente en orden inverso a la ruta de activación que llama a la devolución de llamada enable() antes de llamar a device_add_groups().
  
• Vulnerabilidad en zhangyanbo2007 youkefu 4.2.0 (CVE-2025-3381)
  Severidad: MEDIA
  Fecha de publicación: 07/04/2025
  Fecha de última actualización: 10/10/2025
  Se encontró una vulnerabilidad clasificada como crítica en zhangyanbo2007 youkefu 4.2.0. Esta afecta a una parte desconocida del archivo WebIMController.java del componente File Upload. La manipulación del ID del argumento provoca un cruce de rutas. Es posible iniciar el ataque de forma remota. Se ha hecho público el exploit y puede que sea utilizado.
  
• Vulnerabilidad en AbanteCart v1.4.0 (CVE-2025-40626)
  Severidad: MEDIA
  Fecha de publicación: 12/05/2025
  Fecha de última actualización: 10/10/2025
  Vulnerabilidad de Cross Site Scripting (XSS) reflejado en AbanteCart v1.4.0, que podría permitir a un atacante ejecutar código JavaScript en el navegador de la víctima enviándole una URL maliciosa. Esta vulnerabilidad puede explotarse para robar datos confidenciales del usuario, como cookies de sesión, o para realizar acciones en su nombre a través de "/about_us?[XSS_PAYLOAD]".
  
• Vulnerabilidad en AbanteCart v1.4.0 (CVE-2025-40627)
  Severidad: MEDIA
  Fecha de publicación: 12/05/2025
  Fecha de última actualización: 10/10/2025
  Vulnerabilidad de Cross Site Scripting (XSS) reflejado en AbanteCart v1.4.0, que podría permitir a un atacante ejecutar código JavaScript en el navegador de la víctima enviándole una URL maliciosa. Esta vulnerabilidad puede explotarse para robar datos confidenciales del usuario, como cookies de sesión, o para realizar acciones en su nombre a través de "/eyes? [XSS_PAYLOAD]".