Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

• Vulnerabilidad en Woodpecker (CVE-2024-41122)
  Severidad: Pendiente de análisis
  Fecha de publicación: 19/07/2024
  Fecha de última actualización: 03/10/2024
  Woodpecker es un motor CI/CD simple pero potente con gran extensibilidad. El servidor permite crear cualquier usuario que pueda desencadenar una canalización que ejecute workflows maliciosos: 1. Esos workflows pueden conducir a una toma de control del host que ejecuta el agente que ejecuta el workflow. 2. O permitir extraer los secretos que normalmente se proporcionarían a los complementos cuyo punto de entrada se sobrescribe. Este problema se solucionó en la versión 2.7.0. Se recomienda a los usuarios que actualicen. No se conocen soluciones para esta vulnerabilidad.
  
• Vulnerabilidad en VNote (CVE-2024-41662)
  Severidad: Pendiente de análisis
  Fecha de publicación: 24/07/2024
  Fecha de última actualización: 03/10/2024
  VNote es una plataforma para tomar notas. Se identificó una vulnerabilidad de Cross-Site Scripting (XSS) en la funcionalidad de renderizado Markdown de las versiones 3.18.1 y anteriores de la aplicación de toma de notas VNote. Esta vulnerabilidad permite la inyección y ejecución de código JavaScript arbitrario a través del cual se puede lograr la ejecución remota de código. Hay un parche para este problema disponible en la confirmación f1af78573a0ef51d6ef6a0bc4080cddc8f30a545. Otras estrategias de mitigación incluyen implementar una rigurosa sanitización de entradas para todo el contenido de Markdown y utilizar un analizador de Markdown seguro que escape o elimine adecuadamente el contenido potencialmente peligroso.
  
• Vulnerabilidad en MongoDB (CVE-2024-20489)
  Severidad: Pendiente de análisis
  Fecha de publicación: 11/09/2024
  Fecha de última actualización: 03/10/2024
  Una vulnerabilidad en el método de almacenamiento del archivo de configuración del controlador PON podría permitir que un atacante local autenticado con privilegios bajos obtenga las credenciales de MongoDB. Esta vulnerabilidad se debe al almacenamiento inadecuado de las credenciales de la base de datos sin cifrar en el dispositivo que ejecuta el software Cisco IOS XR. Un atacante podría aprovechar esta vulnerabilidad accediendo a los archivos de configuración en un sistema afectado. Una explotación exitosa podría permitir al atacante ver las credenciales de MongoDB.
  
• Vulnerabilidad en Palo Alto Networks (CVE-2024-8686)
  Severidad: Pendiente de análisis
  Fecha de publicación: 11/09/2024
  Fecha de última actualización: 03/10/2024
  Una vulnerabilidad de inyección de comandos en el software PAN-OS de Palo Alto Networks permite a un administrador autenticado eludir las restricciones del sistema y ejecutar comandos arbitrarios como superusuario en el firewall.
  
• Vulnerabilidad en Palo Alto Networks (CVE-2024-8687)
  Severidad: Pendiente de análisis
  Fecha de publicación: 11/09/2024
  Fecha de última actualización: 03/10/2024
  Existe una vulnerabilidad de exposición de información en el software PAN-OS de Palo Alto Networks que permite que un usuario final de GlobalProtect conozca tanto la contraseña de desinstalación de GlobalProtect configurada como el código de acceso de deshabilitación o desconexión configurado. Una vez que se conoce la contraseña o el código de acceso, los usuarios finales pueden desinstalar, deshabilitar o desconectar GlobalProtect incluso si la configuración de la aplicación GlobalProtect normalmente no les permitiría hacerlo.
  
• Vulnerabilidad en Palo Alto Networks (CVE-2024-8688)
  Severidad: Pendiente de análisis
  Fecha de publicación: 11/09/2024
  Fecha de última actualización: 03/10/2024
  Una vulnerabilidad de neutralización incorrecta de símbolos coincidentes en la interfaz de línea de comandos (CLI) PAN-OS de Palo Alto Networks permite a los administradores autenticados (incluidos los administradores de solo lectura) con acceso a la CLI leer archivos arbitrarios en el firewall.
  
• Vulnerabilidad en Palo Alto Networks (CVE-2024-8690)
  Severidad: Pendiente de análisis
  Fecha de publicación: 11/09/2024
  Fecha de última actualización: 03/10/2024
  Un problema con un mecanismo de detección en el agente Cortex XDR de Palo Alto Networks en dispositivos Windows permite que un usuario con privilegios de administrador de Windows deshabilite el agente. Este problema puede ser aprovechado por malware para deshabilitar el agente Cortex XDR y luego realizar una actividad maliciosa.
  
• Vulnerabilidad en Telerik UI para WPF (CVE-2024-8316)
  Severidad: Pendiente de análisis
  Fecha de publicación: 25/09/2024
  Fecha de última actualización: 03/10/2024
  En las versiones de Telerik UI para WPF anteriores al tercer trimestre de 2024 (2024.3.924), es posible un ataque de ejecución de código a través de una vulnerabilidad de deserialización insegura.
  
• Vulnerabilidad en PaperCut NG/MF (CVE-2024-8405)
  Severidad: Pendiente de análisis
  Fecha de publicación: 26/09/2024
  Fecha de última actualización: 03/10/2024
  Existe una vulnerabilidad de creación de archivos arbitrarios en PaperCut NG/MF que solo afecta a los servidores Windows con Web Print habilitado. Esta falla específica existe dentro del proceso web-print.exe, que puede crear incorrectamente archivos que no existen cuando se proporciona un payload malicioso. Esto se puede utilizar para inundar el espacio del disco y provocar un ataque de denegación de servicio (DoS). Nota: esta CVE se ha separado de CVE-2024-4712.
  
• Vulnerabilidad en MZK-DP300N (CVE-2024-45372)
  Severidad: Pendiente de análisis
  Fecha de publicación: 26/09/2024
  Fecha de última actualización: 03/10/2024
  Las versiones de firmware 1.04 y anteriores del MZK-DP300N contienen una vulnerabilidad de cross-site request forgery. Al visualizar una página maliciosa mientras se inicia sesión en la página de administración web del producto afectado, el usuario puede realizar operaciones no deseadas, como cambiar la contraseña de inicio de sesión, etc.
  
• Vulnerabilidad en PLANEX COMMUNICATIONS (CVE-2024-45836)
  Severidad: Pendiente de análisis
  Fecha de publicación: 26/09/2024
  Fecha de última actualización: 03/10/2024
  Existe una vulnerabilidad de Cross Site Scripting en la página de administración web de las cámaras de red PLANEX COMMUNICATIONS. Si un usuario conectado accede a un archivo específico, se puede ejecutar una secuencia de comandos arbitraria en el navegador web del usuario.
  
• Vulnerabilidad en National Keep Cyber Security Services CyberMath (CVE-2024-7107)
  Severidad: Pendiente de análisis
  Fecha de publicación: 26/09/2024
  Fecha de última actualización: 03/10/2024
  Vulnerabilidad de archivos o directorios accesibles a partes externas en National Keep Cyber Security Services CyberMath permite recopilar datos de ubicaciones de recursos comunes. Este problema afecta a CyberMath: anteriores a CYBM.240816253.
  
• Vulnerabilidad en National Keep Cyber Security Services CyberMath (CVE-2024-7108)
  Severidad: Pendiente de análisis
  Fecha de publicación: 26/09/2024
  Fecha de última actualización: 03/10/2024
  Vulnerabilidad de autorización incorrecta en National Keep Cyber Security Services CyberMath permite acceder a funcionalidades que no están correctamente restringidas por las ACL. Este problema afecta a CyberMath: anteriores a CYBM.240816253.