Dos nuevos avisos de seguridad
Índice
- Inyección de comandos en productos Cisco
- Cross-Site Scripting en la aplicación Holded
Inyección de comandos en productos Cisco
Esta vulnerabilidad afecta a los siguientes productos de Cisco si ejecutan una versión vulnerable de Cisco IMC en la configuración predeterminada:
- 5000 Series Enterprise Network Compute Systems (ENCS);
- Catalyst 8300 Series Edge uCPE;
- UCS C-Series M5, M6, and M7 Rack Servers en modo autónomo;
- UCS E-Series Servers;
- UCS S-Series Storage Servers en modo autónomo.
Los dispositivos Cisco, que se basan en una versión preconfigurada de uno de los servidores Cisco UCS C-Series, y que se encuentran en la lista anterior, también se ven afectados por esta vulnerabilidad si exponen el acceso a la interfaz de usuario de Cisco IMC. En el momento de la publicación, esto incluía los siguientes productos Cisco:
- Application Policy Infrastructure Controller (APIC) Servers;
- Business Edition 6000 and 7000 Appliances;
- Catalyst Center Appliances, formerly DNA Center;
- Cisco Telemetry Broker Appliance;
- Cloud Services Platform (CSP) 5000 Series;
- Common Services Platform Collector (CSPC) Appliances;
- Connected Mobile Experiences (CMX) Appliances;
- Connected Safety and Security UCS Platform Series Servers;
- Cyber Vision Center Appliances;
- Expressway Series Appliances;
- HyperFlex Edge Nodes;
- HyperFlex Nodes in HyperFlex Datacenter without Fabric Interconnect (DC-NO-FI) modo desarrollador;
- IEC6400 Edge Compute Appliances;
- IOS XRv 9000 Appliances;
- Meeting Server 1000 Appliances;
- Nexus Dashboard Appliances;
- Prime Infrastructure Appliances;
- Prime Network Registrar Jumpstart Appliances;
- Secure Email Gateways1;
- Secure Email and Web Manager1;
- Secure Endpoint Private Cloud Appliances;
- Secure Firewall Management Center Appliances, formerly Firepower Management Center;
- Secure Malware Analytics Appliances;
- Secure Network Analytics Appliances;
- Secure Network Server Appliances;
- Secure Web Appliances1;
- Secure Workload Servers;
Cisco ha publicado una vulnerabilidad de severidad alta que podría permitir que un atacante remoto autenticado con privilegios de nivel de administrador, realice ataques de inyección de comandos en un sistema afectado y eleve sus privilegios a root.
Cisco ha publicado actualizaciones de software gratuitas que solucionan la vulnerabilidad descrita en este aviso. Los clientes con contratos de servicio que les den derecho a actualizaciones de software periódicas deben obtener las correcciones de seguridad a través de sus canales de actualización habituales.
La vulnerabilidad de severidad alta se debe a una validación insuficiente de la entrada del usuario. Un atacante podría aprovechar esta vulnerabilidad enviando comandos manipulados a la interfaz de administración basada en web del software afectado. Un exploit exitoso podría permitir al atacante elevar sus privilegios a root.
Se ha asignado el identificador CVE-2024-20356 para esta vulnerabilidad.
Cross-Site Scripting en la aplicación Holded
- Aplicación web Holded.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad media que afecta al aplicativo Holded, un software de gestión para PYMES y emprendedores, la cual ha sido descubierta por Raúl Vega Arjona, de Hispasec Sistemas.
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v3.1, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2024-4026: 4.6 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N | CWE-79
Vulnerabilidad solucionada en la versión 4.20.0.
CVE-2024-4026: vulnerabilidad de Cross-Site Scripting (XSS) en la aplicación Holded. Esta vulnerabilidad podría permitir a un atacante almacenar una carga útil de JavaScript dentro de todos los parámetros editables dentro de las funcionalidades 'General' e 'ID de equipo', lo que podría resultar en una toma de control de la sesión.