Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

• Vulnerabilidad en Kernel de Linux (CVE-2023-6270)
  Severidad: ALTA
  Fecha de publicación: 04/01/2024
  Fecha de última actualización: 22/05/2025
  Se encontró una falla en el controlador ATA sobre Ethernet (AoE) en el kernel de Linux. La función aoecmd_cfg_pkts() actualiza incorrectamente el refcnt en `struct net_device`, y se puede activar el use after free corriendo entre lo libre en la estructura y el acceso a través de la cola global `skbtxq`. Esto podría provocar una condición de denegación de servicio o una posible ejecución de código.
  
• Vulnerabilidad en CosmWasm (CVE-2025-25500)
  Severidad: ALTA
  Fecha de publicación: 18/03/2025
  Fecha de última actualización: 22/05/2025
  Un problema en CosmWasm anterior a la versión 2.2.0 permite a los atacantes eludir las restricciones de capacidad en las cadenas de bloques aprovechando la falta de validación de capacidad en tiempo de ejecución. Esto permite a los atacantes implementar un contrato sin la aplicación de la capacidad y ejecutar acciones no autorizadas en la cadena de bloques.
  
• Vulnerabilidad en Forvia Hella HELLA Driving Recorder DR 820 (CVE-2025-30113)
  Severidad: CRÍTICA
  Fecha de publicación: 18/03/2025
  Fecha de última actualización: 22/05/2025
  Se descubrió un problema en Forvia Hella HELLA Driving Recorder DR 820. Existen credenciales codificadas en el APK para los puertos 9091 y 9092. La aplicación Android de dashcam contiene credenciales codificadas que permiten el acceso no autorizado a la configuración del dispositivo a través de los puertos 9091 y 9092. Estas credenciales, almacenadas en texto plano, pueden ser explotadas por un atacante que obtenga acceso a la red de dashcam.
  
• Vulnerabilidad en Forvia Hella HELLA Driving Recorder DR 820 (CVE-2025-30114)
  Severidad: CRÍTICA
  Fecha de publicación: 18/03/2025
  Fecha de última actualización: 22/05/2025
  Se detectó un problema en Forvia Hella HELLA Driving Recorder DR 820. Es posible que se omita el emparejamiento del dispositivo. El mecanismo de emparejamiento se basa únicamente en la dirección MAC del dispositivo conectado. Al obtener la dirección MAC mediante escaneo de red y falsificarla, un atacante puede eludir el proceso de autenticación y obtener acceso completo a las funciones de dashcam sin la debida autorización.
  
• Vulnerabilidad en Forvia Hella HELLA Driving Recorder DR 820 (CVE-2025-30115)
  Severidad: CRÍTICA
  Fecha de publicación: 18/03/2025
  Fecha de última actualización: 22/05/2025
  Se detectó un problema en Forvia Hella HELLA Driving Recorder DR 820. Las credenciales predeterminadas no se pueden cambiar. Utiliza un SSID y una contraseña predeterminados ("qwertyuiop"), que los usuarios no pueden modificar. El SSID se transmite continuamente, lo que permite el acceso no autorizado a la red del dispositivo.
  
• Vulnerabilidad en Forvia Hella HELLA Driving Recorder DR 820 (CVE-2025-30116)
  Severidad: ALTA
  Fecha de publicación: 18/03/2025
  Fecha de última actualización: 22/05/2025
  Se detectó un problema en Forvia Hella HELLA Driving Recorder DR 820. Puede producirse un volcado remoto de las grabaciones de vídeo y la transmisión en directo. Esto permite a atacantes remotos acceder y descargar las grabaciones de vídeo de la tarjeta SD a través del puerto 9091. Además, los atacantes pueden conectarse al puerto 9092 para transmitir la señal de vídeo en directo evadiendo el mecanismo de autenticación de desafío-respuesta. Esto expone datos confidenciales de ubicación y personales.
  
• Vulnerabilidad en Forvia Hella HELLA Driving Recorder DR 820 (CVE-2025-30117)
  Severidad: ALTA
  Fecha de publicación: 18/03/2025
  Fecha de última actualización: 22/05/2025
  Se detectó un problema en Forvia Hella HELLA Driving Recorder DR 820. La gestión de la configuración, la obtención de datos confidenciales y el sabotaje de la batería del coche pueden ser realizados por personas no autorizadas. Tras eludir la sincronización del dispositivo, un atacante puede obtener información confidencial del usuario y del vehículo a través de la interfaz de configuración. Los atacantes remotos pueden modificar la configuración de administración de energía, desactivar la grabación, eliminar las grabaciones almacenadas y desactivar la protección de la batería, lo que puede provocar una denegación de servicio y la descarga de la batería del vehículo.