Inicio / Content / Boletín de vulnerabilidades

Boletín de vulnerabilidades

Nuevas vulnerabilidades documentadas a los productos que usted está suscrito:

Vulnerabilidad en las claves SSH en qtnx. (CVE-2011-2916)
Gravedad:
BajaBaja
Publication date: 15/11/2019
Last modified:
22/11/2019
Descripción:
qtnx versión 0.9 almacena claves SSH no personalizadas en un archivo de configuración tipo world-readable. Si un usuario posee un directorio de inicio world-readable o world-executable, otro usuario del sistema local podría obtener la clave privada utilizada para conectarse a sesiones remotas de NX.
Vulnerabilidad en IMAP y POP STARTTLS en Perdition. (CVE-2013-4584)
Gravedad:
MediaMedia
Publication date: 15/11/2019
Last modified:
22/11/2019
Descripción:
Perdition versiones anteriores a la versión2.2, puede tener una seguridad débil cuando se maneja conexiones salientes, causada por un error en el servidor IMAP y POP STARTTLS. La función ssl_outgoing_ciphers no se aplica a las conexiones STARTTLS
Vulnerabilidad en la definición del filtro en la extensión AbuseFilter (CVE-2019-18987)
Gravedad:
MediaMedia
Publication date: 15/11/2019
Last modified:
22/11/2019
Descripción:
Se descubrió un problema en la extensión AbuseFilter versiones hasta 1.34 para MediaWiki. Una vez que un filtro de abuso específico se ha hecho público (accidentalmente o de otro modo), sus versiones anteriores pueden ser expuestas, lo que revela potencialmente información privada o confidencial dentro de la definición del filtro.
Vulnerabilidad en Se descubrió un problema en los dispositivos Zyxel GS1900 (CVE-2019-15802)
Gravedad:
MediaMedia
Publication date: 14/11/2019
Last modified:
22/11/2019
Descripción:
Se descubrió un problema en los dispositivos Zyxel GS1900 con firmware anterior a la versión 2.50 (AAHH.0) C0. El firmware codifica y cifra las contraseñas con una clave criptográfica codificada en sal_util_str_encrypt () en libsal.so.0.0. Los parámetros (sal, IV y datos clave) se utilizan para cifrar y descifrar todas las contraseñas utilizando AES256 en modo CBC. Con los parámetros conocidos, se pueden descifrar todas las contraseñas previamente encriptadas. Esto incluye las contraseñas que forman parte de las copias de seguridad de la configuración o que están integradas como parte del firmware.
Vulnerabilidad en XMLV2 LIBNAME en la opción AUTOMAP en SAS XML Mapper (CVE-2019-14678)
Gravedad:
AltaAlta
Publication date: 14/11/2019
Last modified:
22/11/2019
Descripción:
SAS XML Mapper versión 9.45, tiene una vulnerabilidad de tipo XML External Entity (XXE) que los atacantes maliciosos pueden aprovechar en múltiples maneras. Algunos ejemplos son la Lectura de Archivos Local, la Filtración de Archivos Fuera de Banda, la Falsificación de Peticiones del Lado del Servidor o potenciales ataques de denegación de servicio. Esta vulnerabilidad también afecta al motor XMLV2 LIBNAME cuando se utiliza la opción AUTOMAP.
Vulnerabilidad en una aplicación preinstalada con un nombre de paquete de aplicación com.android.lava.powersave en el dispositivo Lava Z61 Turbo Android. (CVE-2019-15336)
Gravedad:
BajaBaja
Publication date: 14/11/2019
Last modified:
22/11/2019
Descripción:
El dispositivo Lava Z61 Turbo Android con una huella digital de compilación de LAVA/Z61_Turbo/Z61_Turbo:8.1.0/O11019/1536917928:user/release-keys, contiene una aplicación preinstalada con un nombre de paquete de aplicación com.android.lava.powersave (versionCode=400, versionName=v4.0.31), que permite a cualquier aplicación ubicada en el dispositivo deshabilitar y habilitar el Wi-Fi mediante programación sin el permiso de acceso correspondiente por medio de una interfaz exportada.
Vulnerabilidad en una aplicación preinstalada con un nombre de paquete de aplicación com.android.lava.powersave en el dispositivo Lava Iris 88 Lite Android. (CVE-2019-15338)
Gravedad:
BajaBaja
Publication date: 14/11/2019
Last modified:
22/11/2019
Descripción:
El dispositivo Lava Iris 88 Lite Android con una huella digital de compilación de LAVA/iris88_lite/iris88_lite:8.1.0/O11019/1536323070:user/release-keys, contiene una aplicación preinstalada con un nombre de paquete de aplicación com.android.lava.powersave (versionCode=400, versionName=v4.0.27), que permite a cualquier aplicación ubicada en el dispositivo deshabilitar y habilitar el Wi-Fi mediante programación sin el permiso de acceso correspondiente por medio de una interfaz exportada.
Vulnerabilidad en una aplicación preinstalada con un nombre de paquete de aplicación com.android.lava.powersave en el dispositivo Lava Z81 Android. (CVE-2019-15337)
Gravedad:
BajaBaja
Publication date: 14/11/2019
Last modified:
22/11/2019
Descripción:
El dispositivo Lava Z81 Android con una huella digital de compilación de LAVA/Z81/Z81:8.1.0/O11019/1532317309:user/release-keys, contiene una aplicación preinstalada con un nombre de paquete de aplicación com.android.lava.powersave (versionCode=400, versionName=v4.0.31), que permite a cualquier aplicación ubicada en el dispositivo deshabilitar y habilitar la conexión Wi-Fi mediante programación sin el permiso de acceso correspondiente por medio de una interfaz exportada.
Vulnerabilidad en paquete de aplicación com.android.lava.powersave en el dispositivo Lava Z92 Android (CVE-2019-15335)
Gravedad:
BajaBaja
Publication date: 14/11/2019
Last modified:
22/11/2019
Descripción:
El dispositivo Lava Z92 Android con una huella digital de compilación de LAVA/Z92/Z92:8.1.0/O11019/1535088037:user/release-keys, contiene una aplicación preinstalada con un nombre de paquete de aplicación com.android.lava.powersave (versionCode=400, versionName=v4.0.27), que permite a cualquier aplicación ubicada en el dispositivo deshabilitar y habilitar el Wi-Fi mediante programación sin el permiso de acceso correspondiente por medio de una interfaz exportada.
Vulnerabilidad en aplicación com.android.lava.powersave en el dispositivo Lava Iris 88 Go Android (CVE-2019-15334)
Gravedad:
BajaBaja
Publication date: 14/11/2019
Last modified:
22/11/2019
Descripción:
El dispositivo Lava Iris 88 Go Android con una huella digital de compilación de LAVA/iris88_go/iris88_go:8.1.0/O11019/1538188945:user/release-keys, contiene una aplicación preinstalada con un nombre de paquete de aplicación com.android.lava.powersave (versionCode=400, versionName=v4.0.27), que permite a cualquier aplicación ubicada en el dispositivo deshabilitar y habilitar el Wi-Fi mediante programación sin el permiso de acceso correspondiente por medio de una interfaz exportada.
Vulnerabilidad en una aplicación preinstalada con un nombre de paquete de aplicación com.android.lava.powersave en el dispositivo Lava Flair Z1 Android (CVE-2019-15333)
Gravedad:
BajaBaja
Publication date: 14/11/2019
Last modified:
22/11/2019
Descripción:
El dispositivo Lava Flair Z1 Android con una huella digital de compilación de LAVA/Z1/Z1:8.1.0/O11019/1536680131:user/release-keys, contiene una aplicación preinstalada con un nombre de paquete de aplicación com.android.lava.powersave (versionCode=400, versionName=v4.0.27), que permite a cualquier aplicación ubicada en el dispositivo deshabilitar y habilitar el Wi-Fi mediante programación sin el permiso de acceso correspondiente por medio de una interfaz exportada.
Vulnerabilidad en el cliente de Microsoft Windows en McAfee Total Protection (CVE-2019-3648)
Gravedad:
AltaAlta
Publication date: 13/11/2019
Last modified:
24/08/2020
Descripción:
Una vulnerabilidad de escalada de privilegios en el cliente de Microsoft Windows en McAfee Total Protection versión 16.0.R22 y anteriores, permite a administradores ejecutar código arbitrario mediante la colocación cuidadosa de archivos maliciosos dentro de ubicaciones específicas protegidas mediante permiso de administrador.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

Vulnerabilidad en un archivo PostScript en el procedimiento ".charkeys" en Ghostscript. (CVE-2019-14869)
Gravedad:
MediaMedia
Publication date: 15/11/2019
Last modified:
24/11/2019
Descripción:
Se detectó un fallo en todas las versiones de ghostscript 9.x en versiones anteriores a la 9.50, donde el procedimiento ".charkeys", donde no aseguraba apropiadamente sus llamadas privilegiadas, permitiendo que los scripts omitieran las restricciones "-dSAFER". Un atacante podría abusar de este fallo mediante la creación de un archivo PostScript especialmente diseñado que podría aumentar los privilegios dentro de Ghostscript y acceder a archivos fuera de áreas restringidas o ejecutar comandos.
Vulnerabilidad en VMware vSphere ESXi (CVE-2019-5531)
Gravedad:
MediaMedia
Publication date: 18/09/2019
Last modified:
10/02/2020
Descripción:
VMware vSphere ESXi (6.7 anterior a la versión ESXi670-201810101-SG, 6.5 anterior a la versión ESXi650-201811102-SG y 6.0 anterior a la verisón ESXi600-201807103-SG) y VMware vCenter Server (6.7 anterior a 6.7 U1b, 6.5 anterior de 6.5 U2b, y 6.0 anterior a 6.0 U3j) contiene una vulnerabilidad de divulgación de información en clientes que surge de una caducidad de sesión insuficiente. Un atacante con acceso físico o la capacidad de imitar una conexión websocket al navegador de un usuario puede obtener el control de una consola VM después de que el usuario haya cerrado sesión o su sesión haya caducado.
Vulnerabilidad en el archivo drivers/net/wireless/ath/ath6kl/usb.c en el kernel de Linux (CVE-2019-15098)
Gravedad:
MediaMedia
Publication date: 16/08/2019
Last modified:
25/11/2019
Descripción:
El archivo drivers/net/wireless/ath/ath6kl/usb.c en el kernel de Linux versiones hasta 5.2.9 presenta una desreferencia del puntero NULL mediante una dirección incompleta en un descriptor de endpoint.
Vulnerabilidad en la función read_MSAT en libxls (CVE-2017-2897)
Gravedad:
MediaMedia
Publication date: 20/11/2017
Last modified:
30/03/2020
Descripción:
Existe una vulnerabilidad explotable fuera de límites en la función read_MSAT de libxls 1.4. Un archivo XLS especialmente manipulado puede provocar una corrupción de memoria que daría lugar a la ejecución remota de código. Un atacante puede enviar un archivo XLS malicioso para provocar esta vulnerabilidad.
Vulnerabilidad en vbf_stp_error en Varnish HTTP Cache (CVE-2017-8807)
Gravedad:
MediaMedia
Publication date: 15/11/2017
Last modified:
22/11/2019
Descripción:
vbf_stp_error en bin/varnishd/cache/cache_fetch.c en Varnish HTTP Cache en versiones 4.1.x anteriores a la 4.1.9 y las versiones 5.x anteriores a la 5.2.1 permite que atacantes remotos obtengan información sensible de la memoria de procesos debido a que un búfer VFP_GetStorage es más grande de lo planeado en ciertas circunstancias relacionadas con objetos transitorios -sfile Stevedore.