botón arriba

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en el endpoint del Actuador de la Puerta de Enlace en spring cloud gateway (CVE-2022-22947)
    Severidad: MEDIA
    Fecha de publicación: 03/03/2022
    Fecha de última actualización: 24/07/2023
    En spring cloud gateway versiones anteriores a 3.1.1+ y a 3.0.7+ , las aplicaciones son vulnerables a un ataque de inyección de código cuando el endpoint del Actuador de la Puerta de Enlace está habilitado, expuesto y sin seguridad. Un atacante remoto podría realizar una petición maliciosamente diseñada que podría permitir una ejecución remota arbitraria en el host remoto
  • Vulnerabilidad en la funcionalidad Forward OAuth Identity en Grafana (CVE-2022-21673)
    Severidad: BAJA
    Fecha de publicación: 18/01/2022
    Fecha de última actualización: 24/07/2023
    Grafana es una plataforma de código abierto para la monitorización y la observabilidad. En las versiones afectadas, cuando una fuente de datos tiene habilitada la funcionalidad Forward OAuth Identity, el envío de una consulta a esa fuente de datos con un token de API (y sin otras credenciales de usuario) reenviará la OAuth Identity del usuario que haya iniciado sesión más recientemente. Esto puede permitir a poseedores de tokens de API recuperar datos a los que no presentan acceso previsto. Este ataque depende de que la instancia de Grafana tenga fuentes de datos que soporten la funcionalidad Forward OAuth Identity, de que la instancia de Grafana tenga una fuente de datos con la función Forward OAuth Identity activada, de que la instancia de Grafana tenga OAuth habilitado y de que la instancia de Grafana tenga claves de API usables. Este problema ha sido corregido en las versiones 7.5.13 y 8.3.4
  • Vulnerabilidad en una URL en el parámetro "target_link_uri" en la funcionalidad de SSO init de terceros de mod_auth_openidc (CVE-2021-39191)
    Severidad: MEDIA
    Fecha de publicación: 03/09/2021
    Fecha de última actualización: 24/07/2023
    mod_auth_openidc es un módulo de autenticación/autorización para el servidor HTTP Apache versión 2.x, que funciona como OpenID Connect Relying Party, autenticando a usuarios contra un proveedor de OpenID Connect. En las versiones anteriores a 2.4.9.4, la funcionalidad de SSO init de terceros de mod_auth_openidc era vulnerable a un ataque de redirección abierta mediante el suministro de una URL diseñada en el parámetro "target_link_uri". Un parche en la versión 2.4.9.4 hizo que la configuración "OIDCRedirectURLsAllowed" se aplicara al parámetro "target_link_uri". No se conocen soluciones aparte de la actualización a una versión parcheada
  • Vulnerabilidad en el mecanismo de autenticación en Dominion Voting Systems ImageCast X (CVE-2022-1746)
    Severidad: ALTA
    Fecha de publicación: 24/06/2022
    Fecha de última actualización: 24/07/2023
    El mecanismo de autenticación usado por los trabajadores electorales para administrar la votación usando la versión probada de Dominion Voting Systems ImageCast X puede exponer secretos criptográficos usados para proteger la información electoral. Un atacante podría aprovechar esta vulnerabilidad para obtener acceso a información confidencial y llevar a cabo acciones privilegiadas, afectando potencialmente a otros equipos electorales
  • Vulnerabilidad en Dominion Voting Systems ImageCast X (CVE-2022-1740)
    Severidad: BAJA
    Fecha de publicación: 24/06/2022
    Fecha de última actualización: 24/07/2023
    La versión probada de Dominion Voting Systems ImageCast X cuenta con la función de visualización de hash de aplicaciones en pantalla, la exportación de registros de auditoría y la funcionalidad application export, que son basados en mecanismos de auto-certificación. Un atacante podría aprovechar esta vulnerabilidad para disfrazar aplicaciones maliciosas en un dispositivo
  • Vulnerabilidad en la implementación del servidor Eclipse Jetty HTTP/2 (CVE-2022-2048)
    Severidad: MEDIA
    Fecha de publicación: 07/07/2022
    Fecha de última actualización: 24/07/2023
    En la implementación del servidor Eclipse Jetty HTTP/2, cuando es encontrada una petición HTTP/2 no válida, el manejo de errores presenta un error que puede terminar por no limpiar apropiadamente las conexiones activas y los recursos asociados. Esto puede conllevar a un escenario de denegación de servicio en el que no queden recursos suficientes para procesar las peticiones buenas