Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en algoritmos criptográficos en IBM Security Verify Information Queue (CVE-2021-20406)
    Severidad: MEDIA
    Fecha de publicación: 12/02/2021
    Fecha de última actualización: 16/09/2024
    IBM Security Verify Information Queue versiones 1.0.6 y 1.0.7, utiliza algoritmos criptográficos más débiles de lo esperado que podrían permitir a un atacante descifrar información altamente confidencial. IBM X-Force ID: 198184
  • Vulnerabilidad en Zoho ManageEngine ServiceDesk Plus (CVE-2022-47966)
    Severidad: Pendiente de análisis
    Fecha de publicación: 18/01/2023
    Fecha de última actualización: 16/09/2024
    Múltiples productos locales de Zoho ManageEngine, como ServiceDesk Plus hasta 14003, permiten la ejecución remota de código debido al uso de Apache Santuario xmlsec (también conocido como XML Security para Java) 1.4.1, porque las funciones xmlsec XSLT, por diseño en esa versión, hacen la aplicación responsable de ciertas protecciones de seguridad, y las aplicaciones ManageEngine no proporcionaban esas protecciones. Esto afecta a Access Manager Plus anterior a 4308, Active Directory 360 anterior a 4310, ADAudit Plus anterior a 7081, ADManager Plus anterior a 7162, ADSelfService Plus anterior a 6211, Analytics Plus anterior a 5150, Application Control Plus anterior a 10.1.2220.18, Asset Explorer anterior a 6983, Browser Security Plus antes de 11.1.2238.6, Device Control Plus antes de 10.1.2220.18, Endpoint Central antes de 10.1.2228.11, Endpoint Central MSP antes de 10.1.2228.11, Endpoint DLP antes de 10.1.2137.6, Key Manager Plus antes de 6401, OS Deployer antes de 1.1.2243.1, PAM 360 antes de 5713, Password Manager Pro antes de 12124, Patch Manager Plus antes de 10.1.2220.18, Remote Access Plus antes de 10.1.2228.11, Remote Monitoring and Management (RMM) antes de 10.1.41. ServiceDesk Plus anterior a 14004, ServiceDesk Plus MSP anterior a 13001, SupportCenter Plus anterior a 11026 y Vulnerability Manager Plus anterior a 10.1.2220.18. La explotación solo es posible si alguna vez se ha configurado SAML SSO para un producto (para algunos productos, la explotación requiere que SAML SSO esté actualmente activo).
  • Vulnerabilidad en Talya Informatics (CVE-2024-1107)
    Severidad: Pendiente de análisis
    Fecha de publicación: 27/06/2024
    Fecha de última actualización: 16/09/2024
    La vulnerabilidad de omisión de autorización a través de clave controlada por el usuario en las aplicaciones de viaje de Talya Informatics permite explotar niveles de seguridad de control de acceso configurados incorrectamente. Este problema afecta a las aplicaciones de viaje: anteriores a v17.0.68.
  • Vulnerabilidad en NVIDIA Mellanox OS, ONYX, Skyway, MetroX-2 y MetroX-3 XC (CVE-2024-0101)
    Severidad: Pendiente de análisis
    Fecha de publicación: 08/08/2024
    Fecha de última actualización: 16/09/2024
    NVIDIA Mellanox OS, ONYX, Skyway, MetroX-2 y MetroX-3 XC contienen una vulnerabilidad en ipfilter, donde definiciones incorrectas de ipfilter podrían permitir que un atacante cause una falla al atacar el conmutador. Una explotación exitosa de esta vulnerabilidad podría provocar una denegación de servicio.
  • Vulnerabilidad en NVIDIA CUDA Toolkit (CVE-2024-0102)
    Severidad: Pendiente de análisis
    Fecha de publicación: 08/08/2024
    Fecha de última actualización: 16/09/2024
    NVIDIA CUDA Toolkit para todas las plataformas contiene una vulnerabilidad en nvdisasm, donde un atacante puede causar un problema de lectura fuera de los límites engañando a un usuario para que lea un archivo ELF con formato incorrecto. Una explotación exitosa de esta vulnerabilidad podría provocar una denegación de servicio.
  • Vulnerabilidad en NVIDIA Jetson Linux (CVE-2024-0108)
    Severidad: Pendiente de análisis
    Fecha de publicación: 08/08/2024
    Fecha de última actualización: 16/09/2024
    NVIDIA Jetson Linux contiene una vulnerabilidad en NvGPU donde las rutas de manejo de errores en el código de mapeo de GPU MMU no logran limpiar un intento fallido de mapeo. Una explotación exitosa de esta vulnerabilidad puede provocar denegación de servicio, ejecución de código y escalada de privilegios.
  • Vulnerabilidad en Asterisk (CVE-2024-42365)
    Severidad: Pendiente de análisis
    Fecha de publicación: 08/08/2024
    Fecha de última actualización: 16/09/2024
    Asterisk es un kit de herramientas de telefonía y centralita privada (PBX) de código abierto. Antes de las versiones de asterisk 18.24.2, 20.9.2 y 21.4.2 y de las versiones de asterisco certificado 18.9-cert11 y 20.7-cert2, un usuario de AMI con `write=originate` podía cambiar todos los archivos de configuración en `/etc/asterisk. /` directorio. Esto ocurre porque pueden curvar archivos remotos y escribirlos en el disco, pero también pueden agregarlos a archivos existentes usando la función `FILE` dentro de la aplicación `SET`. Este problema puede provocar una escalada de privilegios, la ejecución remota de código y/o blind server-side request forgery con un protocolo arbitrario. Las versiones de Asterisk 18.24.2, 20.9.2 y 21.4.2 y las versiones de asterisco certificado 18.9-cert11 y 20.7-cert2 contienen una solución para este problema.
  • Vulnerabilidad en Filament Excel (CVE-2024-42485)
    Severidad: Pendiente de análisis
    Fecha de publicación: 12/08/2024
    Fecha de última actualización: 16/09/2024
    Filament Excel permite la exportación de Excel para los recursos de administración de Filament. La ruta de descarga de exportación `/filament-excel/{path}` permitía descargar cualquier archivo sin iniciar sesión cuando el servidor web permite `../` en la URL. Parcheado con la versión v2.3.3.
  • Vulnerabilidad en XWiki (CVE-2024-42489)
    Severidad: Pendiente de análisis
    Fecha de publicación: 12/08/2024
    Fecha de última actualización: 16/09/2024
    Pro Macros proporciona macros de renderizado de XWiki. La falta de escape en la macro Viewpdf permite a cualquier usuario con vista directa en la página `CKEditor.HTMLConverter` o editar o comentar directamente en cualquier página realizar la ejecución remota de código. Otras macros como Viewppt son vulnerables al mismo tipo de ataque. Esta vulnerabilidad se solucionó en 1.10.1.
  • Vulnerabilidad en SonicWall SonicOS (CVE-2024-40766)
    Severidad: Pendiente de análisis
    Fecha de publicación: 23/08/2024
    Fecha de última actualización: 16/09/2024
    Se ha identificado una vulnerabilidad de control de acceso inadecuado en el acceso de administración de SonicWall SonicOS, que potencialmente conduce a un acceso no autorizado a recursos y, en condiciones específicas, provoca que el firewall falle. Este problema afecta a los dispositivos SonicWall Firewall Gen 5 y Gen 6, así como a los dispositivos Gen 7 que ejecutan SonicOS 7.0.1-5035 y versiones anteriores.