Inicio / Content / Boletín de vulnerabilidades

Boletín de vulnerabilidades

Nuevas vulnerabilidades documentadas a los productos que usted está suscrito:

Vulnerabilidad en productos HP (CVE-2018-5923)
Gravedad:
AltaAlta
Publication date: 27/03/2019
Last modified:
18/04/2019
Descripción:
En HP LaserJet Enterprise, HP PageWide Enterprise, HP LaserJet Managed y HP OfficeJet Enterprise Printers, la comprobación de firmas de la aplicación de solución podría permitir la ejecución de código arbitrario.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

Vulnerabilidad en Toast en Materialize (CVE-2019-11004)
Gravedad:
MediaMedia
Publication date: 08/04/2019
Last modified:
08/04/2019
Descripción:
En Materialize hasta la versión 1.0.0, una vulnerabilidad de tipo XSS es posible por medio de la función Toast.
Vulnerabilidad en el plugin Kmap de Jenkins (CVE-2019-10294)
Gravedad:
MediaMedia
Publication date: 04/04/2019
Last modified:
09/10/2019
Descripción:
El plugin Kmap de Jenkins almacena credenciales sin cifrar en archivos config.xml de tareas en el servidor maestro de Jenkins donde dichas credenciales pueden ser visualizadas por los usuarios con permisos de lectura extendidos o con acceso al sistema de archivos maestro.
CVE-2019-10291
Gravedad:
MediaMedia
Publication date: 04/04/2019
Last modified:
09/10/2019
Descripción:
El plugin Netsparker Cloud Scan de Jenkins, en versiones 1.1.5 y anteriores, almacena credenciales sin cifrar en su archivo de configuración global en el servidor maestro de Jenkins donde dichas credenciales pueden ser visualizadas por los usuarios con acceso al sistema de archivos maestro.
Vulnerabilidad en Jenkins Netsparker Cloud Scan Plugin (CVE-2019-10290)
Gravedad:
MediaMedia
Publication date: 04/04/2019
Last modified:
09/10/2019
Descripción:
Una verificación de permiso faltante en Jenkins Netsparker Cloud Scan Plugin 1.1.5 y versiones anteriores en el método de validación de formulario NCScanBuilder.DescriptorImpl # doValidateAPI permitió a los atacantes con permiso General y de Lectura para iniciar una conexión a un servidor especificado por el atacante.
Vulnerabilidad en el plugin StarTeam de Jenkins (CVE-2019-10277)
Gravedad:
MediaMedia
Publication date: 04/04/2019
Last modified:
09/10/2019
Descripción:
El plugin StarTeam de Jenkins almacena credenciales sin cifrar en archivos config.xml de tareas en el servidor maestro de Jenkins donde dichas credenciales pueden ser visualizadas por los usuarios con permisos de lectura extendidos o con acceso al sistema de archivos maestro.
Vulnerabilidad en el plugin Crowd Integration de Jenkins (CVE-2019-1003097)
Gravedad:
MediaMedia
Publication date: 04/04/2019
Last modified:
15/07/2020
Descripción:
El plugin Crowd Integration de Jenkins almacena credenciales sin cifrar en su archivo de configuración global config.xml en el servidor maestro de Jenkins donde dichas credenciales pueden ser visualizadas por los usuarios con acceso al sistema de archivos maestro.
Vulnerabilidad en el plugin TestFairy de Jenkins (CVE-2019-1003096)
Gravedad:
MediaMedia
Publication date: 04/04/2019
Last modified:
15/07/2020
Descripción:
El plugin TestFairy de Jenkins almacena credenciales sin cifrar en archivos config.xml de tareas en el servidor maestro de Jenkins donde dichas credenciales pueden ser visualizadas por los usuarios con permisos de lectura extendidos o con acceso al sistema de archivos maestro.
Vulnerabilidad en el plugin Nomadde Jenkins (CVE-2019-1003092)
Gravedad:
MediaMedia
Publication date: 04/04/2019
Last modified:
23/06/2020
Descripción:
Una vulnerabilidad de Cross-Site Request Forgery (CSRF) en el plugin Nomad de Jenkins, en el método de validación de formulario NomadCloud.DescriptorImpl#doTestConnection, permite a los atacantes iniciar una conexión a un servidor especificado por el atacante.
Vulnerabilidad en el plugin SOASTA CloudTest de Jenkins (CVE-2019-1003090)
Gravedad:
MediaMedia
Publication date: 04/04/2019
Last modified:
23/06/2020
Descripción:
Una vulnerabilidad de Cross-Site Request Forgery (CSRF) en el plugin SOASTA CloudTest de Jenkins, en el método de validación de formulario CloudTestServer.DescriptorImpl#doValidate, permite a los atacantes iniciar una conexión a un servidor especificado por el atacante.
Vulnerabilidad en JBoss Management Console (CVE-2018-10934)
Gravedad:
BajaBaja
Publication date: 27/03/2019
Last modified:
11/06/2019
Descripción:
Se ha descubierto una vulnerabilidad Cross-Site Scripting (XSS) en JBoss Management Console, en versiones anteriores a la 7.1.6.CR1 y la 7.1.6.GA. Los usuarios con roles que pueden crear objetos en la aplicación pueden explotar esto para atacar a otros usuarios privilegiados.
Vulnerabilidad en Zcash (CVE-2019-7167)
Gravedad:
MediaMedia
Publication date: 26/03/2019
Last modified:
24/08/2020
Descripción:
Zcash, antes de la actualización de la red Sapling (28/10/2018), tenía una vulnerabilidad de falsificación. Un proceso generador de claves durante la evaluación de polinomios relacionados con una instrucción por confirmar producía ciertos elementos de omisión. La disponibilidad de estos elementos permitía que un "prover" falso omitiese una comprobación de consistencia y, en consecuencia, transformase la prueba de una instrucción en una prueba ostensiblemente válida de una instrucción diferente, quebrantando así la seguridad del sistema de pruebas. Esto hacía que el verificador Sprout zk-SNARK original aceptase que una transacción fuese correcta.
Vulnerabilidad en SCALANCE (CVE-2019-6569)
Gravedad:
MediaMedia
Publication date: 26/03/2019
Last modified:
16/01/2020
Descripción:
Se ha identificado una vulnerabilidad en la familia de conmutadores SCALANCE X-200 (incluidas las variantes SIPLUS NET) (Todas las versiones anteriores a la versión V5.2.4), conmutador SCALANCE X-300 familia (incluidas las variantes X408 y SIPLUS NET) (Todas las versiones anteriores a la versión V4.1.3), conmutador SCALANCE XP/XC/XF-200 familia (incluidas las variantes SIPLUS NET) (Todas las versiones anteriores a la versión V4.1). La barrera del monitor de los productos afectados bloquea insuficientemente la transmisión de datos a través del puerto espejo a la red reflejada. Un atacante podría usar este comportamiento para transmitir paquetes maliciosos a los sistemas en la red reflejada, posiblemente influyendo en su configuración y comportamiento de tiempo de ejecución. La vulnerabilidad de seguridad podría ser explotada por un atacante con acceso de red a la red receptora de tráfico. La explotación con éxito no requiere privilegios del sistema ni interacción del usuario. Un atacante podría usar la vulnerabilidad para comprometer la confidencialidad y la disponibilidad de la red generadora de tráfico. En el momento de la publicación del aviso, no se conocía la explotación pública de esta vulnerabilidad de seguridad.
Vulnerabilidad en productos Medtronic (CVE-2019-6540)
Gravedad:
BajaBaja
Publication date: 26/03/2019
Last modified:
09/10/2019
Descripción:
El protocolo de telemetría Conexus empleado en Medtronic MyCareLink Monitor, en las versiones 24950 y 24952; CareLink Monitor, en su versión 2490C; CareLink 2090 Programmer, Amplia CRT-D, Claria CRT-D, Compia CRT-D, Concerto CRT-D, Concerto II CRT-D, Consulta CRT-D, Evera ICD, Maximo II CRT-D y ICD, Mirro ICD, Nayamed ND ICD, Primo ICD, Protecta ICD y CRT-D, Secura ICD, Virtuoso ICD, Virtuoso II ICD, Visia AF ICD y Viva CRT-D no implementan cifrado. Un atacante con acceso adyacente de rango corto a un producto objetivo puede escuchar las comunicaciones, incluyendo la transmisión de datos sensibles.
Vulnerabilidad en NetApp Service Processor (CVE-2019-5490)
Gravedad:
AltaAlta
Publication date: 21/03/2019
Last modified:
24/08/2020
Descripción:
Ciertas versiones entre la 2.x y la 5.x (véase el advisory) del firmware de NetApp Service Processor se distribuían con una cuenta por defecto habilitada que podría permitir la ejecución no autorizada de comandos arbitrarios. Cualquier plataforma listada en la sección "impact" del advisory podría haberse visto afectada y debe actualizarse a una versión solucionada del firmware de Service Processor INMEDIATAMENTE.
Vulnerabilidad en dispositivos JioFi (CVE-2019-7438)
Gravedad:
MediaMedia
Publication date: 21/03/2019
Last modified:
26/04/2019
Descripción:
cgi-bin/qcmap_web_cgi en dispositivos JioFi 4G M2S 1.0.2 tiene Cross-Site Scripting (XSS) y una inyección HTML mediante el parámetro POST mask.
Vulnerabilidad en productos Siemens (CVE-2018-16563)
Gravedad:
MediaMedia
Publication date: 21/03/2019
Last modified:
02/10/2019
Descripción:
Se ha identificado una vulnerabilidad en la variante de firmware IEC 61850 para el módulo de Ethernet EN100 (todas las versiones anteriores a la V4.35), la variante de firmware MODBUS TCP para el módulo de Ethernet EN100 (todas las versiones), la variante de firmware DNP3 TCP para el módulo de Ethernet EN100 (todas las versiones), la variante de firmware IEC104 para el módulo de Ethernet EN100 para el módulo de Ethernet (todas las versiones), la variante de firmware Profinet IO para el módulo de Ethernet EN100 para el módulo de Ethernet (todas las versiones), los relays SIPROTEC 5 con las variantes de CPU CP300 y CP100 y los respectivos módulos de comunicación Ethernet (todas las versiones anteriores a la V7.82) y los relays SIPROTEC 5 con las variantes de CPU CP200 y los respectivos módulos de comunicación Ethernet (todas las versiones anteriores a la V7.58). Los paquetes especialmente manipulados enviados al puerto 102/tcp podrían provocar una denegación de servicio (DoS) en los productos afectados. Se necesita un reinicio manual para recuperar la funcionalidad del módulo EN100 de los dispositivos afectados. Su explotación con éxito requiere que un atacante con acceso de red envíe múltiples paquetes a los productos o módulos afectados. Como prerrequisito, la comunicación IEC 61850-MMS necesita activarse en los productos o módulos afectados. No se requiere interacción o privilegios del usuario para explotar esta vulnerabilidad. La vulnerabilidad podría permitir una denegación de servicio (DoS) en la funcionalidad de red del dispositivo, comprometiendo la disponibilidad del sistema. En el momento de la publicación del advisory, no se conoce ninguna explotación pública de la vulnerabilidad de seguridad.
Vulnerabilidad en ShoreTel Connect ONSITE (CVE-2019-9591)
Gravedad:
MediaMedia
Publication date: 06/03/2019
Last modified:
08/04/2019
Descripción:
Una vulnerabilidad de Cross-Site Scripting (XSS) en ShoreTel Connect ONSITE, en versiones anteriores a la 19.49.1500.0, permite a los atacantes remotos inyectar scripts web o HTML arbitrarios mediante el parámetro brandUrl.
Vulnerabilidad en la función d_walk en el kernel de Linux (CVE-2014-8559)
Gravedad:
MediaMedia
Publication date: 10/11/2014
Last modified:
13/08/2020
Descripción:
La función d_walk en fs/dcache.c en el kernel de Linux hasta 3.17.2 no mantiene debidamente la semántica de rename_lock, lo que permite a usuarios locales causar una denegación de servicio (bloqueo y cuelgue del sistema) a través de una aplicación manipulada.