Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

• Vulnerabilidad en Apache Airflow (CVE-2023-40611)
  Severidad: Pendiente de análisis
  Fecha de publicación: 12/09/2023
  Fecha de última actualización: 16/01/2024
  Apache Airflow, versiones anteriores a 2.7.1, se ve afectada por una vulnerabilidad que permite a los usuarios autenticados y autorizados para DAG-view modificar algunos valores de detalles de ejecución de DAG al enviar notas. Esto podría hacer que alteren detalles como los parámetros de configuración, la fecha de inicio, etc. Los usuarios deben actualizar a la versión 2.7.1 o posterior, que ha eliminado la vulnerabilidad.
  
• Vulnerabilidad en VZT long_len de GTKWave 3.3.115 (CVE-2023-35004)
  Severidad: Pendiente de análisis
  Fecha de publicación: 08/01/2024
  Fecha de última actualización: 16/01/2024
  Existe una vulnerabilidad de desbordamiento de enteros en la funcionalidad de asignación de valores VZT long_len de GTKWave 3.3.115. Un archivo .vzt especialmente manipulado puede provocar la ejecución de código arbitrario. Una víctima necesitaría abrir un archivo malicioso para activar esta vulnerabilidad.
  
• Vulnerabilidad en LXT2 lxt2_rd_trace de GTKWave 3.3.115 (CVE-2023-35057)
  Severidad: Pendiente de análisis
  Fecha de publicación: 08/01/2024
  Fecha de última actualización: 16/01/2024
  Existe una vulnerabilidad de desbordamiento de enteros en la funcionalidad de asignación de elementos de valor LXT2 lxt2_rd_trace de GTKWave 3.3.115. Un archivo .lxt2 especialmente manipulado puede provocar daños en la memoria. Una víctima necesitaría abrir un archivo malicioso para activar esta vulnerabilidad.
  
• Vulnerabilidad en zlib LXT2 de GTKWave 3.3.115 (CVE-2023-35989)
  Severidad: Pendiente de análisis
  Fecha de publicación: 08/01/2024
  Fecha de última actualización: 16/01/2024
  Existe una vulnerabilidad de desbordamiento de enteros en la funcionalidad de asignación de bloques zlib LXT2 de GTKWave 3.3.115. Un archivo .lxt2 especialmente manipulado puede provocar la ejecución de código arbitrario. Una víctima necesitaría abrir un archivo malicioso para activar esta vulnerabilidad.
  
• Vulnerabilidad en vesc FST fstReaderIterBlocks2 de GTKWave 3.3.115 (CVE-2023-35992)
  Severidad: Pendiente de análisis
  Fecha de publicación: 08/01/2024
  Fecha de última actualización: 16/01/2024
  Existe una vulnerabilidad de desbordamiento de enteros en la funcionalidad de asignación de vesc FST fstReaderIterBlocks2 de GTKWave 3.3.115, cuando se compila como un binario de 32 bits. Un archivo .fst especialmente manipulado puede provocar daños en la memoria. Una víctima necesitaría abrir un archivo malicioso para activar esta vulnerabilidad.
  
• Vulnerabilidad en VZT LZMA_read_varint de GTKWave 3.3.115 (CVE-2023-36861)
  Severidad: Pendiente de análisis
  Fecha de publicación: 08/01/2024
  Fecha de última actualización: 16/01/2024
  Existe una vulnerabilidad de escritura fuera de los límites en la funcionalidad VZT LZMA_read_varint de GTKWave 3.3.115. Un archivo .vzt especialmente manipulado puede provocar la ejecución de código arbitrario. Una víctima necesitaría abrir un archivo malicioso para activar esta vulnerabilidad.
  
• Vulnerabilidad en maxhandle FST_BL_GEOM de GTKWave 3.3.115 (CVE-2023-32650)
  Severidad: Pendiente de análisis
  Fecha de publicación: 08/01/2024
  Fecha de última actualización: 16/01/2024
  Existe una vulnerabilidad de desbordamiento de enteros en la funcionalidad de análisis maxhandle FST_BL_GEOM de GTKWave 3.3.115, cuando se compila como un binario de 32 bits. Un archivo .fst especialmente manipulado puede provocar daños en la memoria. Una víctima necesitaría abrir un archivo malicioso para activar esta vulnerabilidad.
  
• Vulnerabilidad en EVCD var len de GTKWave 3.3.115 (CVE-2023-34087)
  Severidad: Pendiente de análisis
  Fecha de publicación: 08/01/2024
  Fecha de última actualización: 16/01/2024
  Existe una vulnerabilidad de validación de índice de matriz incorrecta en la funcionalidad de análisis EVCD var len de GTKWave 3.3.115. Un archivo .evcd especialmente manipulado puede provocar la ejecución de código arbitrario. Una víctima necesitaría abrir un archivo malicioso para activar esta vulnerabilidad.
  
• Vulnerabilidad en LXT2 num_time_table_entries de GTKWave 3.3.115 (CVE-2023-34436)
  Severidad: Pendiente de análisis
  Fecha de publicación: 08/01/2024
  Fecha de última actualización: 16/01/2024
  Existe una vulnerabilidad de escritura fuera de los límites en la funcionalidad LXT2 num_time_table_entries de GTKWave 3.3.115. Un archivo .lxt2 especialmente manipulado puede provocar la ejecución de código arbitrario. Una víctima necesitaría abrir un archivo malicioso para activar esta vulnerabilidad.
  
• Vulnerabilidad en fstReaderIterBlocks2 time_table tsec_nitems de GTKWave 3.3.115 (CVE-2023-35128)
  Severidad: Pendiente de análisis
  Fecha de publicación: 08/01/2024
  Fecha de última actualización: 16/01/2024
  Existe una vulnerabilidad de desbordamiento de enteros en la funcionalidad fstReaderIterBlocks2 time_table tsec_nitems de GTKWave 3.3.115. Un archivo .fst especialmente manipulado puede provocar daños en la memoria. Una víctima necesitaría abrir un archivo malicioso para activar esta vulnerabilidad.
  
• Vulnerabilidad en fstReaderIterBlocks2 temp_signal_value_buf de GTKWave 3.3.115 (CVE-2023-36864)
  Severidad: Pendiente de análisis
  Fecha de publicación: 08/01/2024
  Fecha de última actualización: 16/01/2024
  Existe una vulnerabilidad de desbordamiento de enteros en la funcionalidad de asignación fstReaderIterBlocks2 temp_signal_value_buf de GTKWave 3.3.115. Un archivo .fst especialmente manipulado puede provocar la ejecución de código arbitrario. Una víctima necesitaría abrir un archivo malicioso para activar esta vulnerabilidad.
  
• Vulnerabilidad en dmem VZT LZMA_Read de GTKWave 3.3.115 (CVE-2023-37282)
  Severidad: Pendiente de análisis
  Fecha de publicación: 08/01/2024
  Fecha de última actualización: 16/01/2024
  Existe una vulnerabilidad de escritura fuera de los límites en la funcionalidad de extracción dmem VZT LZMA_Read de GTKWave 3.3.115. Un archivo .vzt especialmente manipulado puede provocar la ejecución de código arbitrario. Una víctima necesitaría abrir un archivo malicioso para activar esta vulnerabilidad.
  
• Vulnerabilidad en LXT2 lxt2_rd_expand_integer_to_bits de GTKWave 3.3.115 (CVE-2023-38583)
  Severidad: Pendiente de análisis
  Fecha de publicación: 08/01/2024
  Fecha de última actualización: 16/01/2024
  Existe una vulnerabilidad de desbordamiento de búfer en la región stack de la memoria en la función LXT2 lxt2_rd_expand_integer_to_bits de GTKWave 3.3.115. Un archivo .lxt2 especialmente manipulado puede provocar la ejecución de código arbitrario. Una víctima necesitaría abrir un archivo malicioso para activar esta vulnerabilidad.
  
• Vulnerabilidad en LXT2 zlib de GTKWave 3.3.115 (CVE-2023-38657)
  Severidad: Pendiente de análisis
  Fecha de publicación: 08/01/2024
  Fecha de última actualización: 16/01/2024
  Existe una vulnerabilidad de escritura fuera de los límites en la funcionalidad de descompresión de bloques LXT2 zlib de GTKWave 3.3.115. Un archivo .lxt2 especialmente manipulado puede provocar la ejecución de código arbitrario. Una víctima necesitaría abrir un archivo malicioso para activar esta vulnerabilidad.
  
• Vulnerabilidad en Gradle Enterprise (CVE-2023-49238)
  Severidad: Pendiente de análisis
  Fecha de publicación: 09/01/2024
  Fecha de última actualización: 16/01/2024
  En Gradle Enterprise anterior a 2023.1, un atacante remoto podría obtener acceso a una nueva instalación (en ciertos escenarios de instalación) debido a una contraseña de usuario inicial del sistema no única. Aunque esta contraseña debe cambiarse en el primer inicio de sesión, es posible que un atacante inicie sesión antes que el administrador legítimo.
  
• Vulnerabilidad en Formidable Forms complemento para WordPress (CVE-2023-6830)
  Severidad: Pendiente de análisis
  Fecha de publicación: 09/01/2024
  Fecha de última actualización: 16/01/2024
  Formidable Forms complemento para WordPress es vulnerable a la inyección de HTML en versiones hasta la 6.7 incluida. Esta vulnerabilidad permite a usuarios no autenticados inyectar código HTML arbitrario en campos de formulario. Cuando un administrador ve los datos del formulario en la página de vista de entradas, se procesa el código HTML inyectado, lo que puede provocar la destrucción del área de administración o la redirección a sitios web maliciosos.
  
• Vulnerabilidad en TRENDnet TV-IP1314PI 5.5.3 200714 (CVE-2023-49237)
  Severidad: Pendiente de análisis
  Fecha de publicación: 09/01/2024
  Fecha de última actualización: 16/01/2024
  Se descubrió un problema en los dispositivos TRENDnet TV-IP1314PI 5.5.3 200714. La inyección de comandos puede ocurrir porque davinci utiliza la función del sistema para descomprimir paquetes de idiomas sin un filtrado estricto de las cadenas de URL.
  
• Vulnerabilidad en Spreadsheet::ParseXLSX (CVE-2024-22368)
  Severidad: Pendiente de análisis
  Fecha de publicación: 09/01/2024
  Fecha de última actualización: 16/01/2024
  El paquete Spreadsheet::ParseXLSX anterior a 0.28 para Perl puede encontrar una condición de falta de memoria durante el análisis de un documento XLSX manipulado. Esto ocurre porque la implementación de memoize no tiene restricciones apropiadas en las celdas fusionadas.
  
• Vulnerabilidad en CP-8031 MASTER MODULE (CVE-2023-42797)
  Severidad: Pendiente de análisis
  Fecha de publicación: 09/01/2024
  Fecha de última actualización: 16/01/2024
  Se ha identificado una vulnerabilidad en CP-8031 MASTER MODULE (Todas las versiones < CPCI85 V05.20), CP-8050 MASTER MODULE (Todas las versiones < CPCI85 V05.20). El servicio de configuración de red de los dispositivos afectados contiene un fallo en la conversión de direcciones IPv4 que podría llevar a que se utilice una variable no inicializada en los siguientes pasos de validación. Al cargar una configuración de red especialmente manipulada, un atacante remoto autenticado podría inyectar comandos que se ejecutan en el dispositivo con privilegios de root durante el inicio del dispositivo.
  
• Vulnerabilidad en Spectrum Power 7 (CVE-2023-44120)
  Severidad: Pendiente de análisis
  Fecha de publicación: 09/01/2024
  Fecha de última actualización: 16/01/2024
  Se ha identificado una vulnerabilidad en Spectrum Power 7 (todas las versiones
  
• Vulnerabilidad en BCC101/BCC102/BCC50 (CVE-2023-49722)
  Severidad: Pendiente de análisis
  Fecha de publicación: 09/01/2024
  Fecha de última actualización: 16/01/2024
  El puerto de red 8899 está abierto en el firmware WiFi de los productos BCC101/BCC102/BCC50, que permite a un atacante conectarse al dispositivo a través de la misma red WiFi.
  
• Vulnerabilidad en SIMATIC IPC1047E, SIMATIC IPC647E, SIMATIC IPC847E (CVE-2023-51438)
  Severidad: Pendiente de análisis
  Fecha de publicación: 09/01/2024
  Fecha de última actualización: 16/01/2024
  Se ha identificado una vulnerabilidad en SIMATIC IPC1047E (todas las versiones con maxView Storage Manager < V4.14.00.26068 en Windows), SIMATIC IPC647E (todas las versiones con maxView Storage Manager < V4.14.00.26068 en Windows), SIMATIC IPC847E (todas las versiones con maxView Storage Manager < V4.14.00.26068 en Windows). En instalaciones predeterminadas de maxView Storage Manager donde el servidor Redfish® está configurado para la administración remota del sistema, se ha identificado una vulnerabilidad que puede proporcionar acceso no autorizado.
  
• Vulnerabilidad en Korenix JetNet Series (CVE-2023-5347)
  Severidad: Pendiente de análisis
  Fecha de publicación: 09/01/2024
  Fecha de última actualización: 16/01/2024
  Una vulnerabilidad de verificación incorrecta de la firma criptográfica en el proceso de actualización de Korenix JetNet Series permite reemplazar todo el sistema operativo, incluidos los ejecutables confiables. Este problema afecta a los dispositivos JetNet anteriores a la versión de firmware 2024/01.
  
• Vulnerabilidad en Korenix JetNet TFTP (CVE-2023-5376)
  Severidad: Pendiente de análisis
  Fecha de publicación: 09/01/2024
  Fecha de última actualización: 16/01/2024
  Una vulnerabilidad de autenticación incorrecta en Korenix JetNet TFTP permite el abuso de este servicio. Este problema afecta a los dispositivos JetNet anteriores a la versión de firmware 2024/01.
  
• Vulnerabilidad en Trellix Anti-Malware Engine (CVE-2024-0206)
  Severidad: Pendiente de análisis
  Fecha de publicación: 09/01/2024
  Fecha de última actualización: 16/01/2024
  Una vulnerabilidad de manipulación de enlaces simbólicos en Trellix Anti-Malware Engine antes del lanzamiento de enero de 2024 permite que un usuario local autenticado obtenga potencialmente una escalada de privilegios. Esto se logró agregando una entrada al registro en la carpeta de registro de Trellix ENS con un enlace simbólico a archivos para los que el usuario normalmente no tendría permiso. Después de un escaneo, el motor seguiría los enlaces y eliminaría los archivos.
  
• Vulnerabilidad en Hospital Management System V4.0 (CVE-2020-26627)
  Severidad: Pendiente de análisis
  Fecha de publicación: 10/01/2024
  Fecha de última actualización: 16/01/2024
  Se descubrió una vulnerabilidad de inyección SQL basada en tiempo en Hospital Management System V4.0 que puede permitir a un atacante volcar información de la base de datos a través de un payload manipulado ingresado en el parámetro 'Observación del administrador' en la pestaña 'Consultas de contacto -> Consulta no leída'.
  
• Vulnerabilidad en Hospital Management System V4.0 (CVE-2020-26628)
  Severidad: Pendiente de análisis
  Fecha de publicación: 10/01/2024
  Fecha de última actualización: 16/01/2024
  Se descubrió una vulnerabilidad de Cross-Site Scripting (XSS) en Hospital Management System V4.0 que permite a un atacante ejecutar scripts web arbitrarios o código HTML a través de un payload malicioso adjuntdo a un nombre de usuario en la página "Editar perfil" y se activa cuando otro usuario visita el perfil.
  
• Vulnerabilidad en Hospital Management System V4.0 (CVE-2020-26629)
  Severidad: Pendiente de análisis
  Fecha de publicación: 10/01/2024
  Fecha de última actualización: 16/01/2024
  Se descubrió una vulnerabilidad de carga arbitraria de archivos sin restricciones de JQuery en Hospital Management System V4.0 que permite a un atacante no autenticado cargar cualquier archivo en el servidor.
  
• Vulnerabilidad en Hospital Management System V4.0 (CVE-2020-26630)
  Severidad: Pendiente de análisis
  Fecha de publicación: 10/01/2024
  Fecha de última actualización: 16/01/2024
  Se descubrió una vulnerabilidad de inyección SQL basada en tiempo en Hospital Management System V4.0 que puede permitir a un atacante volcar información de la base de datos a través de un payload especial en el campo "Especialización de médicos" en la pestaña "Ir a médicos" después de iniciar sesión como administrador.
  
• Vulnerabilidad en PublicCMS 4.0 (CVE-2023-51252)
  Severidad: Pendiente de análisis
  Fecha de publicación: 10/01/2024
  Fecha de última actualización: 16/01/2024
  PublicCMS 4.0 es vulnerable a Cross Site Scripting (XSS). Debido a que se pueden cargar archivos y se proporciona la función de vista previa en línea, se cargan archivos pdf y archivos html que contienen código malicioso, y se crea una ventana emergente XSS a través de la visualización en línea.