Inicio / Content / Boletín de vulnerabilidades

Boletín de vulnerabilidades

Nuevas vulnerabilidades documentadas a los productos que usted está suscrito:

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

Vulnerabilidad en GraphicsMagick (CVE-2019-11505)
Gravedad:
MediaMedia
Publication date: 24/04/2019
Last modified:
24/08/2020
Descripción:
En GraphicsMagick, desde la versión 1.3.8 hasta la 1.4 snapshot-20190403 Q8, hay un desbordamiento de búfer basado en memoria dinámica (heap) en la función WritePDBImage de codificadores/pdb.c, que permite a un atacante causar una denegación de servicio o posiblemente tener otro impacto no especificado a través de un archivo de imagen creado. Esto está relacionado con MagickBitStreamMSBWrite en magick/bit_stream.c.
Vulnerabilidad en FasterXML jackson-databind (CVE-2018-12022)
Gravedad:
MediaMedia
Publication date: 21/03/2019
Last modified:
17/09/2019
Descripción:
Se ha descubierto un problema en FasterXML jackson-databind, en versiones anteriores a la 2.7.9.4, 2.8.11.2 y 2.9.6. Cuando "Default Typing" está habilitado (globalmente o para una propiedad en concreto), el servicio cuenta con el jar Jodd-db (para acceso a la base de datos del framework Jodd) en la ruta de clase; un atacante puede proporcionar un servicio LDAP para acceder y es posible hacer que el servicio ejecute una carga útil maliciosa.
CVE-2018-1114
Gravedad:
MediaMedia
Publication date: 11/09/2018
Last modified:
09/10/2019
Descripción:
Se ha detectado que URLResource.getLastModified() en Undertow cierra los descriptores de archivo solo cuando están finalizados, lo que puede provocar el agotamiento de dichos descriptores. Esto conduce a una fuga del manejador de archivos.
Vulnerabilidad en lxc-user-nic (CVE-2018-6556)
Gravedad:
BajaBaja
Publication date: 10/08/2018
Last modified:
31/05/2019
Descripción:
Cuando se solicita a lxc-user-nic que elimine una interfaz de red, abrirá de forma incondicional una ruta proporcionada por el usuario. Esta ruta de código podría ser empleada por un usuario sin privilegios para comprobar la existencia de una ruta que no hubiese podido alcanzar de otra forma. También podría emplearse para desencadenar efectos secundarios provocando la apertura (solo lectura) de archivos especiales del kernel (ptmx, proc, sys). Los productos afectados son LXC: desde la versión 2.0 hasta después de la la 2.0.9 (incluida) y desde la versión 3.0 hasta después de la 3.0.0, anterior a la 3.0.2.
Vulnerabilidad en keycloak (CVE-2018-10912)
Gravedad:
MediaMedia
Publication date: 23/07/2018
Last modified:
09/10/2019
Descripción:
keycloak en versiones anteriores a la 4.0.0.final es vulnerable a un bucle infinito en el reemplazo de sesiones. Un clúster de Keycloak con múltiples nodos podría gestionar erróneamente un reemplazo de sesión erróneo y conducir a un bucle infinito. Un usuario autenticado malicioso podría emplear este error para lograr una denegación de servicio (DoS) en el servidor.
CVE-2018-1313
Gravedad:
BajaBaja
Publication date: 07/05/2018
Last modified:
17/10/2019
Descripción:
En Apache Derby 10.3.1.4 a 10.14.1.0, un paquete de red especialmente manipulado puede emplearse para solicitar que Derby Network Server cargue una base de datos cuya ubicación y contenido están bajo el control del usuario. Si Derby Network Server no se está ejecutando con un archivo de políticas de Java Security Manager, el ataque tendrá éxito. Si el servidor está usando un archivo de políticas, este archivo debe permitir que la ubicación de la base de datos pueda leerse para que el ataque funcione. El archivo de políticas de Derby Network Server por defecto distribuido con las versiones afectadas incluye una política permisiva como la política por defecto del servidor de red, lo que permite que el ataque funcione.
Vulnerabilidad en IBM Cognos Analytics (CVE-2018-1413)
Gravedad:
BajaBaja
Publication date: 07/05/2018
Last modified:
27/04/2019
Descripción:
IBM Cognos Analytics 11.0 es vulnerable a Cross-Site Scripting (XSS). Esta vulnerabilidad permite que los usuarios embeban código JavaScript arbitrario en la interfaz de usuario web, lo que altera las funcionalidades previstas. Esto podría dar lugar a una revelación de credenciales en una sesión de confianza. IBM X-Force ID: 138819.