Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

• Vulnerabilidad en la CLI del software Cisco SD-WAN (CVE-2022-20818)
  Severidad: ALTA
  Fecha de publicación: 30/09/2022
  Fecha de última actualización: 03/11/2026
  Múltiples vulnerabilidades en la CLI del software Cisco SD-WAN podrían permitir a un atacante local autenticado conseguir altos privilegios. Estas vulnerabilidades son debido a controles de acceso inapropiados en los comandos dentro de la aplicación CLI. Un atacante podría explotar estas vulnerabilidades al ejecutar un comando malicioso en la CLI de la aplicación. Una explotación con éxito podría permitir al atacante ejecutar comandos arbitrarios como usuario root
  
• Vulnerabilidad en rsync de RsyncProject (CVE-2026-70464)
  Severidad: ALTA
  Fecha de publicación: 13/08/2026
  Fecha de última actualización: 03/11/2026
  El demonio rsync 2.0.0 anterior a 3.5.0 contiene una vulnerabilidad de denegación de servicio que permite a atacantes remotos no autenticados agotar las ranuras de conexión del demonio al estancar el proceso de handshake antes o después de la selección de módulos sin activar el tiempo de espera de E/S. Los atacantes pueden abrir muchas conexiones simultáneas y enviar datos a la velocidad mínima para evitar el tiempo de espera, o estancarse completamente antes de la selección de módulos donde no se aplica ningún tiempo de espera, consumiendo todas las ranuras de conexión disponibles y denegando el servicio a clientes legítimos.
  
• Vulnerabilidad en rsync de RsyncProject (CVE-2026-70462)
  Severidad: ALTA
  Fecha de publicación: 13/08/2026
  Fecha de última actualización: 03/11/2026
  rsync 3.1.0 anterior a 3.5.0 contiene una vulnerabilidad de desbordamiento de entero con signo en la implementación del tiempo de espera de E/S que permite a los atacantes deshabilitar permanentemente los tiempos de espera de conexión inyectando mensajes MSG_IO_TIMEOUT que transportan valores no positivos (cero o negativos). Los atacantes pueden crear mensajes MSG_IO_TIMEOUT maliciosos que hacen que la variable de tiempo de espera se ajuste a un valor no positivo, impidiendo que se active la comprobación del tiempo de espera y permitiendo que las conexiones inactivas o estancadas mantengan ranuras de demonio indefinidamente, lo que lleva al agotamiento de recursos.