Inicio / Content / Boletín de vulnerabilidades

Boletín de vulnerabilidades

Nuevas vulnerabilidades documentadas a los productos que usted está suscrito:

Vulnerabilidad en un enlace en Icegram Email Subscribers & Newsletters Plugin para WordPress (CVE-2020-5767)
Gravedad:
MediaMedia
Publication date: 17/07/2020
Last modified:
21/07/2020
Descripción:
Una vulnerabilidad Cross-site request forgery en Icegram Email Subscribers & Newsletters Plugin para WordPress versión v4.4.8, permite a un atacante remoto enviar correos electrónicos falsificados al engañar a usuarios legítimos para que hagan clic en un enlace diseñado
Vulnerabilidad en un comando SQL en la base de datos en Icegram Email Subscribers & Newsletters Plugin para WordPress (CVE-2020-5768)
Gravedad:
MediaMedia
Publication date: 17/07/2020
Last modified:
21/07/2020
Descripción:
Una Neutralización inapropiada de elementos especiales usados en un comando SQL ("SQL Injection") en Icegram Email Subscribers & Newsletters Plugin para WordPress versión v4.4.8, permite a un atacante autenticado remoto determinar el valor de los campos de la base de datos
Vulnerabilidad en el archivo PhoneInterfaceManager.java en la función getUiccCardsInfo en Android (CVE-2020-0107)
Gravedad:
BajaBaja
Publication date: 17/07/2020
Last modified:
21/07/2020
Descripción:
En la función getUiccCardsInfo del archivo PhoneInterfaceManager.java, se presenta una posible omisión de permisos debido a una comprobación de entrada inapropiada. Esto podría conllevar a una divulgación de información local sin ser necesarios privilegios de ejecución adicionales. No es necesaria una interacción del usuario para su explotación. Producto: Android, Versiones: Android-10, ID de Android: A-146570216
Vulnerabilidad en el archivo CompanionDeviceManagerService.java en la función onCommand en Android (CVE-2020-0227)
Gravedad:
AltaAlta
Publication date: 17/07/2020
Last modified:
21/07/2020
Descripción:
En la función onCommand del archivo CompanionDeviceManagerService.java, se presenta una posible omisión de permisos debido a una falta de comprobación de permisos. Esto podría conllevar a una escalada local de privilegios que permite el uso de datos en segundo plano o una iniciación desde el segundo plano, sin ser necesarios privilegios de ejecución adicionales. No es necesaria una interacción del usuario para su explotación. Producto: Android, Versiones: Android-8.0 Android-8.1 Android-9 Android-10, ID de Android: A-129476618
Vulnerabilidad en la UI new/RBAC en Apache Airflow (CVE-2020-11983)
Gravedad:
BajaBaja
Publication date: 16/07/2020
Last modified:
21/07/2020
Descripción:
Se encontró un problema en Apache Airflow versiones 1.10.10 y posteriores. Se detectó que muchas de las pantallas de gestión de administración en la UI new/RBAC manejaban el escape incorrectamente, permitiendo a usuarios autenticados con los permisos apropiados crear ataques de tipo XSS almacenado
Vulnerabilidad en las páginas de Chart de la IU "classic" en Apache Airflow (CVE-2020-9485)
Gravedad:
MediaMedia
Publication date: 16/07/2020
Last modified:
21/07/2020
Descripción:
Se encontró un problema en Apache Airflow versiones 1.10.10 y posteriores. Se detectó una vulnerabilidad de tipo XSS almacenado en las páginas de Chart de la IU "classic"
Vulnerabilidad en la Interfaz de Usuario Web en IBM Jazz Team Server basadas en Applications (CVE-2019-4748)
Gravedad:
BajaBaja
Publication date: 16/07/2020
Last modified:
21/07/2020
Descripción:
IBM Jazz Team Server basadas en Applications es vulnerable a un ataque de tipo cross-site scripting. Esta vulnerabilidad permite a usuarios insertar código JavaScript arbitrario en la Interfaz de Usuario Web, alterando así la funcionalidad prevista que puede conllevar a una divulgación de credenciales dentro de una sesión confiable. IBM X-Force ID: 173174
Vulnerabilidad en diferentes campos en Artica Proxy (CVE-2020-15051)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
21/07/2020
Descripción:
Se detectó un problema en Artica Proxy versiones anteriores a 4.30.000000. Se presenta una vulnerabilidad de tipo XSS almacenado por medio de los campos Server Domain Name, Your Email Address, Group Name, MYSQL Server, Database, MYSQL Username, Group Name, and Task Description
Vulnerabilidad en el producto Oracle Commerce Guided Search / Oracle Commerce Experience Manager de Oracle Commerce (componente: Workbench) (CVE-2020-14536)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
20/07/2020
Descripción:
Vulnerabilidad en el producto Oracle Commerce Guided Search / Oracle Commerce Experience Manager de Oracle Commerce (componente: Workbench). Las versiones compatibles que están afectadas son 11.0, 11.1, 11.2 y anteriores a 11.3.1. La vulnerabilidad difícil de explotar permite a un atacante no autenticado con acceso de red por medio de HTTP comprometer a Oracle Commerce Guided Search / Oracle Commerce Experience Manager. Los ataques con éxito de esta vulnerabilidad pueden resultar en la creación, eliminación o modificación no autorizada del acceso a datos críticos o a todos los datos accesibles de Oracle Commerce Guided Search / Oracle Commerce Experience Manager, así como el acceso no autorizado a datos críticos o el acceso completo a todos los datos accesibles de Oracle Commerce Guided Search / Oracle Commerce Experience Manager. CVSS 3.1 Puntuación Base 7.4 (Impactos de la Confidencialidad e Integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N)
Vulnerabilidad en el producto Oracle AutoVue de Oracle Supply Chain (componente: Security) (CVE-2020-14551)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
20/07/2020
Descripción:
Vulnerabilidad en el producto Oracle AutoVue de Oracle Supply Chain (componente: Security). La versión compatible que está afectada es la 21.0. La vulnerabilidad explotable fácilmente permite a un atacante poco privilegiado con acceso de red por medio de HTTP comprometer Oracle AutoVue. Los ataques con éxito de esta vulnerabilidad pueden resultar en una actualización no autorizada, insertar o eliminar el acceso a algunos de los datos accesibles de Oracle AutoVue. CVSS 3.1 Puntuación Base 4.3 (Impactos de la Integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N)
Vulnerabilidad en el producto Oracle WebCenter Portal de Oracle Fusion Middleware (componente: Security Framework) (CVE-2020-14552)
Gravedad:
BajaBaja
Publication date: 15/07/2020
Last modified:
20/07/2020
Descripción:
Vulnerabilidad en el producto Oracle WebCenter Portal de Oracle Fusion Middleware (componente: Security Framework). Las versiones compatibles que están afectadas son 11.1.1.9.0, 12.2.1.3.0 y 12.2.1.4.0. La vulnerabilidad explotable fácilmente permite a un atacante poco privilegiado con acceso de red por medio de HTTP comprometer a Oracle WebCenter Portal. Los ataques con éxito requieren la interacción humana de una persona diferente del atacante y, aunque la vulnerabilidad se encuentra en Oracle WebCenter Portal, los ataques pueden afectar significativamente a productos adicionales. Los ataques con éxito de esta vulnerabilidad pueden resultar en un acceso no autorizado a datos críticos o acceso completo a todos los datos accesibles de Oracle WebCenter Portal. CVSS 3.1 Puntuación Base 6.8 (Impactos de la Confidencialidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:N/A:N)
Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Pluggable Auth) (CVE-2020-14553)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
11/09/2020
Descripción:
Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Pluggable Auth). Las versiones compatibles que están afectadas son 5.7.30 y anteriores y 8.0.20 y anteriores. La vulnerabilidad explotable fácilmente permite a un atacante poco privilegiado con acceso de red por medio de múltiples protocolos comprometer a MySQL Server. Los ataques con éxito de esta vulnerabilidad pueden resultar en una actualización no autorizada, insertar o eliminar el acceso a algunos de los datos accesibles de MySQL Server. CVSS 3.1 Puntuación Base 4.3 (Impactos de la Integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N)
Vulnerabilidad en el producto Oracle Application Object Library de Oracle E-Business Suite (componente: Diagnostics) (CVE-2020-14554)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
20/07/2020
Descripción:
Vulnerabilidad en el producto Oracle Application Object Library de Oracle E-Business Suite (componente: Diagnostics). Las versiones compatibles que están afectadas son 12.1.3 y 12.2.3-12.2.8. La vulnerabilidad explotable fácilmente permite a un atacante no autenticado con acceso de red por medio de HTTP comprometer a Oracle Application Object Library. Los ataques con éxito requieren la interacción humana de una persona diferente del atacante y, aunque la vulnerabilidad se encuentra en Oracle Application Object Library, los ataques pueden afectar significativamente a productos adicionales. Los ataques con éxito de esta vulnerabilidad pueden resultar en una actualización no autorizada, insertar o eliminar el acceso a algunos de los datos accesibles de Oracle Application Object Library. CVSS 3.1 Puntuación Base 4.7 (Impactos de la Integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N)
Vulnerabilidad en el producto Oracle Marketing de Oracle E-Business Suite (componente: Marketing Administration) (CVE-2020-14555)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
20/07/2020
Descripción:
Vulnerabilidad en el producto Oracle Marketing de Oracle E-Business Suite (componente: Marketing Administration). Las versiones compatibles que están afectadas son 12.1.1-12.1.3 y 12.2.3-12.2.9. La vulnerabilidad explotable fácilmente permite a un atacante no autenticado con acceso de red por medio de HTTP comprometer a marketing de Oracle. Los ataques con éxito requieren la interacción humana de una persona diferente del atacante y, aunque la vulnerabilidad se encuentra en Oracle Marketing, los ataques pueden afectar significativamente a productos adicionales. Los ataques con éxito de esta vulnerabilidad pueden resultar en una actualización no autorizada, insertar o eliminar el acceso a algunos de los datos accesibles de Oracle Marketing. CVSS 3.1 Puntuación Base 4.7 (Impactos de la Integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N)
Vulnerabilidad en el producto Java SE, Java SE Embedded de Oracle Java SE (componente: Libraries) (CVE-2020-14556)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
30/08/2020
Descripción:
Vulnerabilidad en el producto Java SE, Java SE Embedded de Oracle Java SE (componente: Libraries). Las versiones compatibles que están afectadas son Java SE: 8u251, 11.0.7 y 14.0.1; Java SE Embedded: 8u251. La vulnerabilidad difícil de explotar permite a un atacante no autenticado con acceso de red por medio de múltiples protocolos comprometer a Java SE, Java SE Embedded. Los ataques con éxito de esta vulnerabilidad pueden resultar en una actualización no autorizada, insertar o eliminar el acceso a algunos de los datos accesibles de Java SE, Java SE Embedded, así como el acceso de lectura no autorizado a un subconjunto de datos accesibles de Java SE, Java SE Embedded. Nota: Aplica a la implementación del cliente y el servidor de Java. Esta vulnerabilidad puede ser explotada por medio de aplicaciones Java Web Start en sandbox y applets de Java en sandbox. También puede ser explotada mediante el suministro de datos a las API en el Componente especificado sin utilizar aplicaciones de Java Web Start en sandbox o applets de Java en sandbox, como por medio de un servicio web. CVSS 3.1 Puntuación Base 4.8 (Impactos de la Confidencialidad e Integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N)
Vulnerabilidad en el producto Oracle WebLogic Server de Oracle Fusion Middleware (componente: Web Container) (CVE-2020-14557)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
20/07/2020
Descripción:
Vulnerabilidad en el producto Oracle WebLogic Server de Oracle Fusion Middleware (componente: Web Container). Las versiones compatibles que están afectadas son 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 y 14.1.1.0.0. La vulnerabilidad difícil de explotar permite a un atacante no autenticado con acceso de red por medio de HTTP comprometer a Oracle WebLogic Server. Los ataques con éxito requieren la interacción humana de una persona diferente del atacante. Los ataques con éxito de esta vulnerabilidad pueden resultar en la creación, eliminación o modificación no autorizada del acceso a datos críticos o a todos los datos accesibles de Oracle WebLogic Server, así como a un acceso no autorizado a datos críticos o acceso completo a todos los datos accesibles de Oracle WebLogic Server. CVSS 3.1 Puntuación Base 6.8 (Impactos de la Confidencialidad e Integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N)
Vulnerabilidad en el producto PeopleSoft Enterprise PeopleTools de Oracle PeopleSoft (componente: Portal) (CVE-2020-14558)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
20/07/2020
Descripción:
Vulnerabilidad en el producto PeopleSoft Enterprise PeopleTools de Oracle PeopleSoft (componente: Portal). Las versiones compatibles que están afectadas son 8.56, 8.57 y 8.58. La vulnerabilidad explotable fácilmente permite a un atacante no autenticado con acceso de red por medio de HTTP comprometer a PeopleSoft Enterprise PeopleTools. Los ataques con éxito de esta vulnerabilidad pueden resultar en un acceso de lectura no autorizado a un subconjunto de datos accesibles de PeopleSoft Enterprise PeopleTools. CVSS 3.1 Puntuación Base 5.3 (Impactos de la Confidencialidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N)
Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Information Schema) (CVE-2020-14559)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
11/09/2020
Descripción:
Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Information Schema). Las versiones compatibles que están afectadas son 5.6.48 y anteriores, 5.7.30 y anteriores y 8.0.20 y anteriores. La vulnerabilidad explotable fácilmente permite a un atacante poco privilegiado con acceso de red por medio de múltiples protocolos comprometer a MySQL Server. Los ataques con éxito de esta vulnerabilidad pueden resultar en un acceso de lectura no autorizado a un subconjunto de datos accesibles de MySQL Server. CVSS 3.1 Puntuación Base 4.3 (Impactos de la Confidencialidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)
Vulnerabilidad en el producto Oracle Hyperion BI+ de Oracle Hyperion (componente: UI and Visualization) (CVE-2020-14560)
Gravedad:
BajaBaja
Publication date: 15/07/2020
Last modified:
20/07/2020
Descripción:
Vulnerabilidad en el producto Oracle Hyperion BI+ de Oracle Hyperion (componente: UI and Visualization). La versión compatible que está afectada es 11.1.2.4. La vulnerabilidad difícil de explotar permite a un atacante muy privilegiado con acceso de red por medio de HTTP comprometer Oracle Hyperion BI+. Los ataques con éxito requieren la interacción humana de una persona diferente del atacante. Los ataques con éxito de esta vulnerabilidad pueden resultar en un acceso no autorizado a datos críticos o acceso completo a todos los datos accesibles de Oracle Hyperion BI+. CVSS 3.1 Puntuación Base 4.2 (Impactos de la Confidencialidad). Vector CVSS: (CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:N/A:N)
Vulnerabilidad en el producto Oracle Hospitality Reporting and Analytics de Oracle Food and Beverage Applications (componente: Installation) (CVE-2020-14561)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
20/07/2020
Descripción:
Vulnerabilidad en el producto Oracle Hospitality Reporting and Analytics de Oracle Food and Beverage Applications (componente: Installation). La versión compatible que está afectada es la 9.1.0. La vulnerabilidad explotable fácilmente permite a un atacante poco privilegiado con inicio de sesión en la infraestructura donde se ejecuta Oracle Hospitality Reporting and Analytics comprometer a Oracle Hospitality Reporting and Analytics. Los ataques con éxito requieren la interacción humana de una persona diferente del atacante. Los ataques con éxito de esta vulnerabilidad pueden resultar en la toma de control de Oracle Hospitality Reporting and Analytics. CVSS 3.1 Puntuación Base 7.3 (Impactos de la Confidencialidad, Integridad y Disponibilidad). Vector CVSS: (CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H)
Vulnerabilidad en el producto Java SE de Oracle Java SE (componente: ImageIO) (CVE-2020-14562)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
30/08/2020
Descripción:
Vulnerabilidad en el producto Java SE de Oracle Java SE (componente: ImageIO). Las versiones compatibles que están afectadas son Java SE: 11.0.7 y 14.0.1. La vulnerabilidad explotable fácilmente permite a un atacante no autenticado con acceso de red por medio de múltiples protocolos comprometer a Java SE. Los ataques con éxito de esta vulnerabilidad pueden resultar en una capacidad no autorizada de causar una denegación de servicio parcial (DOS parcial) de Java SE. Nota: Esta vulnerabilidad se aplica a las implementaciones de Java, generalmente en clientes que ejecutan aplicaciones Java Web Start en sandbox o applets de Java en sandbox, que cargan y ejecutan código no confiable (por ejemplo, código que proviene de Internet) y confían en el sandbox de Java para la seguridad. Esta vulnerabilidad no se aplica a las implementaciones de Java, generalmente en servidores, que cargan y ejecutan solo código confiable (por ejemplo, código instalado por parte de un administrador). CVSS 3.1 Puntuación Base 5.3 (Impactos de la Disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L)
Vulnerabilidad en el producto Oracle Enterprise Communications Broker de Oracle Communications Applications (componente: WebGUI) (CVE-2020-14563)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
20/07/2020
Descripción:
Vulnerabilidad en el producto Oracle Enterprise Communications Broker de Oracle Communications Applications (componente: WebGUI). Las versiones compatibles que están afectadas son 3.0.0-3.2.0. La vulnerabilidad explotable fácilmente permite a un atacante no autenticado con acceso de red por medio de HTTP comprometer a Oracle Enterprise Communications Broker. Los ataques con éxito requieren la interacción humana de una persona diferente del atacante y, aunque la vulnerabilidad se encuentra en Oracle Enterprise Communications Broker, los ataques pueden afectar significativamente a productos adicionales. Los ataques con éxito de esta vulnerabilidad pueden resultar en una actualización no autorizada, insertar o eliminar el acceso a algunos de los datos accesibles de Oracle Enterprise Communications Broker, así como el acceso de lectura no autorizado a un subconjunto de datos accesibles de Oracle Enterprise Communications Broker. CVSS 3.1 Puntuación Base 6.1 (Impactos de la Confidencialidad e Integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N)
Vulnerabilidad en el producto PeopleSoft Enterprise PeopleTools de Oracle PeopleSoft (componente: Environment Mgmt Console) (CVE-2020-14564)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
20/07/2020
Descripción:
Vulnerabilidad en el producto PeopleSoft Enterprise PeopleTools de Oracle PeopleSoft (componente: Environment Mgmt Console). Las versiones compatibles que están afectadas son 8.56, 8.57 y 8.58. La vulnerabilidad explotable fácilmente permite a un atacante no autenticado con acceso de red por medio de HTTP comprometer a PeopleSoft Enterprise PeopleTools. Los ataques con éxito requieren la interacción humana de una persona diferente del atacante y, aunque la vulnerabilidad se encuentra en PeopleSoft Enterprise PeopleTools, los ataques pueden afectar significativamente a productos adicionales. Los ataques con éxito de esta vulnerabilidad pueden resultar en una capacidad no autorizada para causar un suspensión o bloqueo repetible frecuentemente (DOS completo) de PeopleSoft Enterprise PeopleTools, así como la actualización no autorizada, insertar o eliminar el acceso a algunos de los datos accesibles de PeopleSoft Enterprise PeopleTools. CVSS 3.1 Puntuación Base 8.2 (Impactos de la Integridad y Disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:H)
Vulnerabilidad en el producto Oracle Unified Directory de Oracle Fusion Middleware (componente: Security) (CVE-2020-14565)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
20/07/2020
Descripción:
Vulnerabilidad en el producto Oracle Unified Directory de Oracle Fusion Middleware (componente: Security). Las versiones compatibles que están afectadas son 11.1.2.3.0, 12.2.1.3.0 y 12.2.1.4.0. La vulnerabilidad explotable fácilmente permite a un atacante muy privilegiado con acceso de red por medio de HTTP comprometer a Oracle Unified Directory. Los ataques con éxito requieren la interacción humana de una persona diferente del atacante y, aunque la vulnerabilidad se encuentra en Oracle Unified Directory, los ataques pueden afectar significativamente a productos adicionales. Los ataques con éxito de esta vulnerabilidad pueden resultar en la creación, eliminación o modificación no autorizadas del acceso a datos críticos o a todos los datos accesibles de Oracle Unified Directory y una capacidad no autorizada para causar un suspensión o bloqueo repetible frecuentemente (DOS completo) de Oracle Unified Directory. CVSS 3.1 Puntuación Base 8.1 (Impactos de la Integridad y Disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:N/I:H/A:H)
Vulnerabilidad en el producto Primavera Portfolio Management de Oracle Construction and Engineering (componente: Web Access) (CVE-2020-14566)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
20/07/2020
Descripción:
Vulnerabilidad en el producto Primavera Portfolio Management de Oracle Construction and Engineering (componente: Web Access). Las versiones compatibles que están afectadas son 16.1.0.0-16.1.5.1, 18.0.0.0-18.0.2.0 y 19.0.0.0. La vulnerabilidad explotable fácilmente permite a un atacante no autenticado con acceso de red por medio de HTTP comprometer a Primavera Portfolio Management. Los ataques con éxito requieren la interacción humana de una persona diferente del atacante. Los ataques con éxito de esta vulnerabilidad pueden resultar en una actualización no autorizada, insertar o eliminar el acceso a algunos de los datos accesibles de Primavera Portfolio Management. CVSS 3.1 Puntuación Base 4.3 (Impactos de la Integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N)
Vulnerabilidad en el producto Java SE de Oracle Java SE (componente: Hotspot) (CVE-2020-14573)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
30/08/2020
Descripción:
Vulnerabilidad en el producto Java SE de Oracle Java SE (componente: Hotspot). Las versiones compatibles que están afectadas son Java SE: 11.0.7 y 14.0.1. La vulnerabilidad difícil de explotar permite a un atacante no autenticado con acceso de red por medio de múltiples protocolos comprometer a Java SE. Los ataques con éxito de esta vulnerabilidad pueden resultar en una actualización no autorizada, insertar o eliminar el acceso a algunos de los datos accesibles de Java SE. Nota: Aplica a la implementación del cliente y el servidor de Java. Esta vulnerabilidad puede ser explotada por medio de aplicaciones Java Web Start en sandbox y applets de Java en sandbox. También puede ser explotada mediante el suministro de datos a las API en el Componente especificado sin utilizar aplicaciones de Java Web Start en sandbox o applets de Java en sandbox, como por medio de un servicio web. CVSS 3.1 Puntuación Base 3.7 (Impactos de la Integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N)
Vulnerabilidad en el producto Java SE, Java SE Embedded de Oracle Java SE (componente: JSSE) (CVE-2020-14577)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
17/08/2020
Descripción:
Vulnerabilidad en el producto Java SE, Java SE Embedded de Oracle Java SE (componente: JSSE). Las versiones compatibles que están afectadas son Java SE: 7u261, 8u251, 11.0.7 y 14.0.1; Java SE Embedded: 8u251. La vulnerabilidad difícil de explotar permite a un atacante no autenticado con acceso de red por medio de TLS comprometer a Java SE, Java SE Embedded. Los ataques con éxito de esta vulnerabilidad pueden resultar en un acceso de lectura no autorizado a un subconjunto de datos accesibles de Java SE, Java SE Embedded. Nota: Aplica a la implementación del cliente y el servidor de Java. Esta vulnerabilidad puede ser explotada por medio de aplicaciones Java Web Start en sandbox y applets de Java en sandbox. También puede ser explotada mediante el suministro de datos a las API en el Componente especificado sin utilizar aplicaciones de Java Web Start en sandbox o applets de Java en sandbox, como por medio de un servicio web. CVSS 3.1 Puntuación Base 3.7 (Impactos de la Confidencialidad). Vector CVSS: (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N)
Vulnerabilidad en el producto Oracle WebLogic Server de Oracle Fusion Middleware (componente: Web Container) (CVE-2020-14588)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
20/07/2020
Descripción:
Vulnerabilidad en el producto Oracle WebLogic Server de Oracle Fusion Middleware (componente: Web Container). Las versiones compatibles que están afectadas son 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 y 14.1.1.0.0. La vulnerabilidad explotable fácilmente permite a un atacante no autenticado con acceso de red por medio de HTTP comprometer a Oracle WebLogic Server. Los ataques con éxito de esta vulnerabilidad pueden resultar en la creación, eliminación o modificación no autorizada del acceso a datos críticos o a todos los datos accesibles de Oracle WebLogic Server, así como el acceso de lectura no autorizado a un subconjunto de datos accesibles de Oracle WebLogic Server. CVSS 3.1 Puntuación Base 8.2 (Impactos de la Confidencialidad e Integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N)
Vulnerabilidad en el producto Oracle Applications Framework de Oracle E-Business Suite (componente: Page Request) (CVE-2020-14590)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
20/07/2020
Descripción:
Vulnerabilidad en el producto Oracle Applications Framework de Oracle E-Business Suite (componente: Page Request). Las versiones compatibles que están afectadas son 12.1.3 y 12.2.3-12.2.9. La vulnerabilidad explotable fácilmente permite a un atacante muy privilegiado con acceso de red por medio de HTTP comprometer a Oracle Applications Framework. Los ataques con éxito de esta vulnerabilidad pueden resultar en un acceso de lectura no autorizado a un subconjunto de datos accesibles de Oracle Applications Framework. CVSS 3.1 Puntuación Base 2.7 (Impactos de la Confidencialidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N)
Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Audit Plug-in) (CVE-2020-14591)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
04/08/2020
Descripción:
Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Audit Plug-in). Las versiones compatibles que están afectadas son 8.0.20 y anteriores. La vulnerabilidad explotable fácilmente permite a un atacante poco privilegiado con acceso de red por medio de múltiples protocolos comprometer a MySQL Server. Los ataques con éxito de esta vulnerabilidad pueden resultar en una capacidad no autorizada para causar un suspensión o bloqueo repetible frecuentemente (DOS completo) de MySQL Server. CVSS 3.1 Puntuación Base 6.5 (Impactos de la Disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H)
Vulnerabilidad en el producto PeopleSoft Enterprise PeopleTools de Oracle PeopleSoft (componente: Rich Text Editor) (CVE-2020-14592)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
21/07/2020
Descripción:
Vulnerabilidad en el producto PeopleSoft Enterprise PeopleTools de Oracle PeopleSoft (componente: Rich Text Editor). Las versiones compatibles que están afectadas son 8.56, 8.57 y 8.58. La vulnerabilidad explotable fácilmente permite a un atacante no autenticado con acceso de red por medio de HTTP comprometer a PeopleSoft Enterprise PeopleTools. Los ataques con éxito requieren la interacción humana de una persona diferente del atacante y, aunque la vulnerabilidad se encuentra en PeopleSoft Enterprise PeopleTools, los ataques pueden afectar significativamente a productos adicionales. Los ataques con éxito de esta vulnerabilidad pueden resultar en actualizaciones no autorizadas, insertar o eliminar el acceso a algunos de los datos accesibles de PeopleSoft Enterprise PeopleTools, así como el acceso de lectura no autorizado a un subconjunto de datos accesibles de PeopleSoft Enterprise PeopleTools. CVSS 3.1 Puntuación Base 6.1 (Impactos de la Confidencialidad e Integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N)
Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: JSON) (CVE-2020-14624)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
04/08/2020
Descripción:
Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: JSON). Las versiones compatibles que están afectadas son 8.0.20 y anteriores. La vulnerabilidad explotable fácilmente permite a un atacante muy privilegiado con acceso de red por medio de múltiples protocolos comprometer a MySQL Server. Los ataques con éxito de esta vulnerabilidad pueden resultar en una capacidad no autorizada para causar un suspensión o bloqueo repetible frecuentemente (DOS completo) de MySQL Server. CVSS 3.1 Puntuación Base 4.9 (Impactos de la Disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H)
Vulnerabilidad en el producto Oracle VM VirtualBox de Oracle Virtualization (componente: Core) (CVE-2020-14707)
Gravedad:
BajaBaja
Publication date: 15/07/2020
Last modified:
24/09/2020
Descripción:
Vulnerabilidad en el producto Oracle VM VirtualBox de Oracle Virtualization (componente: Core). Las versiones compatibles que están afectadas son anteriores a 5.2.44, anteriores a 6.0.24 y anteriores a 6.1.12. La vulnerabilidad explotable fácilmente permite a un atacante poco privilegiado con inicio de sesión en la infraestructura donde se ejecuta Oracle VM VirtualBox comprometer a Oracle VM VirtualBox. Los ataques con éxito requieren la interacción humana de una persona diferente del atacante. Los ataques con éxito de esta vulnerabilidad pueden resultar en una capacidad no autorizada para causar una suspensión o bloqueo repetible frecuentemente (DOS completo) de Oracle VM VirtualBox. CVSS 3.1 Puntuación Base 5.0 (Impactos de Disponibilidad). Vector CVSS: (CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:H)
Vulnerabilidad en el producto Oracle Enterprise Communications Broker de Oracle Communications Applications (componente: WebGUI) (CVE-2020-14721)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
20/07/2020
Descripción:
Vulnerabilidad en el producto Oracle Enterprise Communications Broker de Oracle Communications Applications (componente: WebGUI). Las versiones compatibles que están afectadas son 3.0.0-3.2.0. La vulnerabilidad explotable fácilmente permite a un atacante poco privilegiado con acceso de red por medio de HTTP comprometer a Oracle Enterprise Communications Broker. Los ataques con éxito de esta vulnerabilidad pueden resultar en una actualización no autorizada, insertar o eliminar el acceso a algunos de los datos accesibles de Oracle Enterprise Communications Broker, así como el acceso de lectura no autorizado a un subconjunto de datos accesibles de Oracle Enterprise Communications Broker y una capacidad no autorizada de causar una denegación de servicio parcial (DOS parcial) de Oracle Enterprise Communications Broker. CVSS 3.1 Puntuación Base 6.3 (Impactos de la Confidencialidad, Integridad y Disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L)
Vulnerabilidad en el producto Oracle Enterprise Communications Broker de Oracle Communications Applications (componente: WebGUI) (CVE-2020-14722)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
20/07/2020
Descripción:
Vulnerabilidad en el producto Oracle Enterprise Communications Broker de Oracle Communications Applications (componente: WebGUI). Las versiones compatibles que están afectadas son 3.0.0-3.2.0. La vulnerabilidad difícil de explotar permite a un atacante no autenticado con acceso de red por medio de HTTP comprometer a Oracle Enterprise Communications Broker. Los ataques con éxito requieren la interacción humana de una persona diferente del atacante y, aunque la vulnerabilidad se encuentra en Oracle Enterprise Communications Broker, los ataques pueden afectar significativamente a productos adicionales. Los ataques con éxito de esta vulnerabilidad pueden resultar en una actualización no autorizada, insertar o eliminar el acceso a algunos de los datos accesibles de Oracle Enterprise Communications Broker, así como el acceso de lectura no autorizado a un subconjunto de datos accesibles de Oracle Enterprise Communications Broker y una capacidad no autorizada de causar una denegación de servicio parcial (DOS parcial) de Oracle Enterprise Communications Broker. CVSS 3.1 Puntuación Base 5.8 (Impactos de la Confidencialidad, Integridad y Disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:L)
Vulnerabilidad en el producto Oracle Solaris de Oracle Systems (componente: Device Driver Utility) (CVE-2020-14724)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
20/07/2020
Descripción:
Vulnerabilidad en el producto Oracle Solaris de Oracle Systems (componente: Device Driver Utility). La versión compatible que está afectada es la 11. La vulnerabilidad explotable fácilmente permite a un atacante poco privilegiado con inicio de sesión en la infraestructura donde se ejecuta Oracle Solaris comprometer a Oracle Solaris. Los ataques con éxito requieren la interacción humana de una persona diferente del atacante. Los ataques con éxito de esta vulnerabilidad pueden resultar en la toma de control de Oracle Solaris. CVSS 3.1 Puntuación Base 7.3 (Impactos de la Confidencialidad, Integridad y Disponibilidad). Vector CVSS: (CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H)
Vulnerabilidad en el nombre del agente en la página de tendencia del tiempo de compilación en Jenkins y LTS (CVE-2020-2220)
Gravedad:
BajaBaja
Publication date: 15/07/2020
Last modified:
21/07/2020
Descripción:
Jenkins versiones 2.244 y anteriores, LTS versiones 2.235.1 y anteriores, no escapan el nombre del agente en la página de tendencia del tiempo de compilación, resultando en una vulnerabilidad de tipo cross-site scripting almacenado
Vulnerabilidad en el nombre a desplegar del trabajo anterior en Jenkins y LTS (CVE-2020-2221)
Gravedad:
BajaBaja
Publication date: 15/07/2020
Last modified:
21/07/2020
Descripción:
Jenkins versiones 2.244 y anteriores, LTS versiones 2.235.1 y anteriores, no escapan el nombre a desplegar del trabajo anterior que se muestra como parte de una causa de compilación, resultando en una vulnerabilidad de tipo cross-site scripting almacenado
Vulnerabilidad en el nombre de trabajo en la información sobre herramientas de la insignia "Keep this build forever" en Jenkins y LTS (CVE-2020-2222)
Gravedad:
BajaBaja
Publication date: 15/07/2020
Last modified:
21/07/2020
Descripción:
Jenkins versiones 2.244 y anteriores, LTS versiones 2.235.1 y anteriores, no escapan el nombre del trabajo en la información sobre herramientas de la insignia "Keep this build forever", resultando en una vulnerabilidad de tipo cross-site scripting almacenado
Vulnerabilidad en el atributo "href" de los enlaces en la página de la consola de compilación en Jenkins y LTS (CVE-2020-2223)
Gravedad:
BajaBaja
Publication date: 15/07/2020
Last modified:
21/07/2020
Descripción:
Jenkins versiones 2.244 y anteriores, LTS versiones 2.235.1 y anteriores, no escapan apropiadamente el atributo "href" de los enlaces en trabajos posteriores que se muestran en la página de la consola de compilación, resultando en una vulnerabilidad de tipo cross-site scripting almacenado
Vulnerabilidad en la página de descripción general de las compilaciones con un solo eje en Jenkins Matrix Project Plugin (CVE-2020-2224)
Gravedad:
BajaBaja
Publication date: 15/07/2020
Last modified:
21/07/2020
Descripción:
Jenkins Matrix Project Plugin versiones 1.16 y anteriores, no escapa los nombres de nodo que se muestran en la información sobre herramientas en la página de descripción general de las compilaciones con un solo eje, resultando en una vulnerabilidad de tipo cross-site scripting almacenado
Vulnerabilidad en la página de resumen de compilaciones con varios ejes en Jenkins Matrix Project Plugin (CVE-2020-2225)
Gravedad:
BajaBaja
Publication date: 15/07/2020
Last modified:
21/07/2020
Descripción:
Jenkins Matrix Project Plugin versiones 1.16 y anteriores, no escapa los nombres de eje que se muestran en la información sobre herramientas en la página de resumen de compilaciones con varios ejes, resultando en una vulnerabilidad de tipo cross-site scripting almacenado
Vulnerabilidad en el componente Oracle Application Express de Oracle Database Server (CVE-2020-2513)
Gravedad:
BajaBaja
Publication date: 15/07/2020
Last modified:
21/07/2020
Descripción:
Vulnerabilidad en el componente Oracle Application Express de Oracle Database Server. Las versiones compatibles que están afectadas son 5.1-19.2. La vulnerabilidad explotable fácilmente permite a un atacante poco privilegiado teniendo privilegios de SQL Workshop con acceso de red por medio de HTTP comprometer a Oracle Application Express. Los ataques con éxito requieren la interacción humana de una persona diferente del atacante y, aunque la vulnerabilidad se encuentra en Oracle Application Express, los ataques pueden afectar significativamente a productos adicionales. Los ataques con éxito de esta vulnerabilidad pueden resultar en una actualización no autorizada, insertar o eliminar el acceso a algunos de los datos accesibles de Oracle Application Express, así como el acceso de lectura no autorizado a un subconjunto de datos accesibles de Oracle Application Express. CVSS 3.1 Puntuación Base 5.4 (Impactos de la Confidencialidad e Integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N)
Vulnerabilidad en el producto Primavera Portfolio Management de Oracle Construction and Engineering (componente: Investor Module) (CVE-2020-2562)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
21/07/2020
Descripción:
Vulnerabilidad en el producto Primavera Portfolio Management de Oracle Construction and Engineering (componente: Investor Module). Las versiones compatibles que están afectadas son 16.1.0.0-16.1.5.1, 18.0.0.0-18.0.2.0 y 19.0.0.0. La vulnerabilidad explotable fácilmente permite a un atacante no autenticado con acceso de red por medio de HTTP comprometer a Primavera Portfolio Management. Los ataques con éxito requieren la interacción humana de una persona diferente del atacante y, aunque la vulnerabilidad se encuentra en Primavera Portfolio Management, los ataques pueden afectar significativamente a productos adicionales. Los ataques con éxito de esta vulnerabilidad pueden resultar en una actualización no autorizada, insertar o eliminar el acceso a algunos de los datos accesibles de Primavera Portfolio Management, así como el acceso de lectura no autorizado a un subconjunto de datos accesibles de Primavera Portfolio Management. CVSS 3.1 Puntuación Base 6.1 (Impactos de la Confidencialidad e Integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N)
Vulnerabilidad en el producto Oracle WebLogic Server de Oracle Fusion Middleware (componente: Console) (CVE-2020-2966)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
21/07/2020
Descripción:
Vulnerabilidad en el producto Oracle WebLogic Server de Oracle Fusion Middleware (componente: Console). Las versiones compatibles que están afectadas son 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0 y 12.2.1.4.0. La vulnerabilidad explotable fácilmente permite a un atacante no autenticado con acceso de red por medio de HTTP comprometer a Oracle WebLogic Server. Los ataques con éxito requieren la interacción humana de una persona diferente del atacante. Los ataques con éxito de esta vulnerabilidad pueden resultar en una actualización no autorizada, insertar o eliminar el acceso a algunos de los datos accesibles de Oracle WebLogic Server, así como el acceso de lectura no autorizado a un subconjunto de datos accesibles de Oracle WebLogic Server. CVSS 3.1 Puntuación Base 5.4 (Impactos de la Confidencialidad e Integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N)
Vulnerabilidad en el producto Oracle WebLogic Server de Oracle Fusion Middleware (componente: Web Services) (CVE-2020-2967)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
21/07/2020
Descripción:
Vulnerabilidad en el producto Oracle WebLogic Server de Oracle Fusion Middleware (componente: Web Services). Las versiones compatibles que están afectadas son 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 y 14.1.1.0.0. La vulnerabilidad explotable fácilmente permite a un atacante no autenticado con acceso de red por medio de IIOP, T3 comprometer a Oracle WebLogic Server. Los ataques con éxito de esta vulnerabilidad pueden resultar en un acceso no autorizado a datos críticos o acceso completo a todos los datos accesibles de Oracle WebLogic Server. CVSS 3.1 Puntuación Base 7.5 (Impactos de la Confidencialidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)
Vulnerabilidad en el componente Java VM de Oracle Database Server (CVE-2020-2968)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
21/07/2020
Descripción:
Vulnerabilidad en el componente Java VM de Oracle Database Server. Las versiones compatibles que están afectadas son 11.2.0.4, 12.1.0.2, 12.2.0.1, 18c y 19c. La vulnerabilidad difícil de explotar permite a un atacante poco privilegiado teniendo privilegio Create Session, Create Procedure con acceso de red por medio de múltiples protocolos comprometer a Java VM. Los ataques con éxito requieren la interacción humana de una persona diferente del atacante y, aunque la vulnerabilidad se encuentra en Java VM, los ataques pueden afectar significativamente a productos adicionales. Los ataques con éxito de esta vulnerabilidad pueden resultar en la toma de control de Java VM. CVSS 3.1 Puntuación Base 8.0 (Impactos de la Confidencialidad, Integridad y Disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H)
Vulnerabilidad en el componente Data Pump de Oracle Database Server (CVE-2020-2969)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
21/07/2020
Descripción:
Vulnerabilidad en el componente Data Pump de Oracle Database Server. Las versiones compatibles que están afectadas son 11.2.0.4, 12.1.0.2, 12.2.0.1, 18c y 19c. La vulnerabilidad difícil de explotar permite a un atacante muy privilegiado teniendo privilegios de cuenta de rol DBA con acceso de red por medio de Oracle Net comprometer a Data Pump. Los ataques con éxito de esta vulnerabilidad pueden resultar en la toma de control de Data Pump. CVSS 3.1 Puntuación Base 6.6 (Impactos de la Confidencialidad, Integridad y Disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H)
Vulnerabilidad en el componente Oracle Application Express de Oracle Database Server (CVE-2020-2974)
Gravedad:
BajaBaja
Publication date: 15/07/2020
Last modified:
21/07/2020
Descripción:
Vulnerabilidad en el componente Oracle Application Express de Oracle Database Server. Las versiones compatibles que están afectadas son 5.1-19.2. La vulnerabilidad explotable fácilmente permite a un atacante poco privilegiado teniendo privilegios de SQL Workshop con acceso de red por medio de HTTP comprometer a Oracle Application Express. Los ataques con éxito requieren la interacción humana de una persona diferente del atacante y, aunque la vulnerabilidad se encuentra en Oracle Application Express, los ataques pueden afectar significativamente a productos adicionales. Los ataques con éxito de esta vulnerabilidad pueden resultar en una actualización no autorizada, insertar o eliminar el acceso a algunos de los datos accesibles de Oracle Application Express, así como el acceso de lectura no autorizado a un subconjunto de datos accesibles de Oracle Application Express. CVSS 3.1 Puntuación Base 5.4 (Impactos de la Confidencialidad e Integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N)
Vulnerabilidad en el componente Oracle Application Express de Oracle Database Server (CVE-2020-2975)
Gravedad:
BajaBaja
Publication date: 15/07/2020
Last modified:
21/07/2020
Descripción:
Vulnerabilidad en el componente Oracle Application Express de Oracle Database Server. Las versiones compatibles que están afectadas son 5.1-19.2. La vulnerabilidad explotable fácilmente permite a un atacante poco privilegiado teniendo privilegios de SQL Workshop con acceso de red por medio de HTTP comprometer a Oracle Application Express. Los ataques con éxito requieren la interacción humana de una persona diferente del atacante y, aunque la vulnerabilidad se encuentra en Oracle Application Express, los ataques pueden afectar significativamente a productos adicionales. Los ataques con éxito de esta vulnerabilidad pueden resultar en una actualización no autorizada, insertar o eliminar el acceso a algunos de los datos accesibles de Oracle Application Express, así como el acceso de lectura no autorizado a un subconjunto de datos accesibles de Oracle Application Express. CVSS 3.1 Puntuación Base 5.4 (Impactos de la Confidencialidad e Integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N)
Vulnerabilidad en el componente Oracle Application Express de Oracle Database Server (CVE-2020-2976)
Gravedad:
BajaBaja
Publication date: 15/07/2020
Last modified:
21/07/2020
Descripción:
Vulnerabilidad en el componente Oracle Application Express de Oracle Database Server. Las versiones compatibles que están afectadas son 5.1-19.2. La vulnerabilidad explotable fácilmente permite a un atacante poco privilegiado teniendo privilegios de SQL Workshop con acceso de red por medio de HTTP comprometer a Oracle Application Express. Los ataques con éxito requieren la interacción humana de una persona diferente del atacante y, aunque la vulnerabilidad se encuentra en Oracle Application Express, los ataques pueden afectar significativamente a productos adicionales. Los ataques con éxito de esta vulnerabilidad pueden resultar en una actualización no autorizada, insertar o eliminar el acceso a algunos de los datos accesibles de Oracle Application Express, así como el acceso de lectura no autorizado a un subconjunto de datos accesibles de Oracle Application Express. CVSS 3.1 Puntuación Base 5.4 (Impactos de la Confidencialidad e Integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N)
Vulnerabilidad en el paquete npm "jison" (CVE-2020-8178)
Gravedad:
AltaAlta
Publication date: 15/07/2020
Last modified:
21/07/2020
Descripción:
Una comprobación de entrada insuficiente en el paquete npm "jison" versiones anteriores a 0.4.18 incluyéndola, puede conllevar a ataques de inyección de comandos de Sistema Operativo
Vulnerabilidad en la cookie del navegador web en el servidor web del sistema en los Enrutadores de la Serie EDR-G902 y EDR-G903 (CVE-2020-14511)
Gravedad:
AltaAlta
Publication date: 15/07/2020
Last modified:
21/07/2020
Descripción:
El funcionamiento malicioso de la cookie del navegador web diseñada puede causar un desbordamiento del búfer en la región stack de la memoria en el servidor web del sistema en los Enrutadores de la Serie EDR-G902 y EDR-G903 (versiones anteriores a 5.4)
Vulnerabilidad en Advantech iView, versiones 5.6 y anteriores, tiene una vulnerabilidad de control de acceso inadecuado (CVE-2020-14499)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
21/07/2020
Descripción:
Advantech iView, versiones 5.6 y anteriores, tiene una vulnerabilidad de control de acceso inadecuado. La explotación exitosa de esta vulnerabilidad puede permitir a un atacante obtener las credenciales de todas las cuentas de usuario
Vulnerabilidad en Advantech iView, versiones 5.6 y anteriores, contiene múltiples vulnerabilidades de inyección SQL (CVE-2020-14497)
Gravedad:
AltaAlta
Publication date: 15/07/2020
Last modified:
21/07/2020
Descripción:
Advantech iView, versiones 5.6 y anteriores, contiene múltiples vulnerabilidades de inyección SQL que son vulnerables al uso de una cadena controlada por el atacante en la construcción de consultas SQL. Un atacante podría extraer las credenciales del usuario, leer o modificar la información y ejecutar el código de forma remota
Vulnerabilidad en Advantech iView, versiones 5.6 y anteriores (CVE-2020-14507)
Gravedad:
AltaAlta
Publication date: 15/07/2020
Last modified:
21/07/2020
Descripción:
Advantech iView, versiones 5.6 y anteriores, es vulnerable a vulnerabilidades de múltiples caminos que podrían permitir a un atacante crear/descargar archivos arbitrarios, limitar la disponibilidad del sistema y ejecutar código de forma remota.
Vulnerabilidad en un servidor host en Hyper-V RemoteFX vGPU de Microsoft (CVE-2020-1032)
Gravedad:
AltaAlta
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Se presenta una vulnerabilidad de ejecución de código remota cuando Hyper-V RemoteFX vGPU en un servidor host presenta un fallo al comprobar apropiadamente la entrada de un usuario autenticado en un sistema operativo invitado, también se conoce como 'Hyper-V RemoteFX vGPU Remote Code Execution Vulnerability'. Este ID de CVE es diferente de CVE-2020-1036, CVE-2020-1040, CVE-2020-1041, CVE-2020-1042, CVE-2020-1043
Vulnerabilidad en un servidor host en Hyper-V RemoteFX vGPU de Microsoft (CVE-2020-1036)
Gravedad:
AltaAlta
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Se presenta una vulnerabilidad de ejecución de código remota cuando Hyper-V RemoteFX vGPU en un servidor host presenta un fallo al comprobar apropiadamente la entrada de un usuario autenticado en un sistema operativo invitado, también se conoce como 'Hyper-V RemoteFX vGPU Remote Code Execution Vulnerability'. Este ID de CVE es diferente de CVE-2020-1032, CVE-2020-1040, CVE-2020-1041, CVE-2020-1042, CVE-2020-1043
Vulnerabilidad en un servidor host en Hyper-V RemoteFX vGPU de Microsoft (CVE-2020-1040)
Gravedad:
AltaAlta
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Se presenta una vulnerabilidad de ejecución de código remota cuando Hyper-V RemoteFX vGPU en un servidor host presenta un fallo al comprobar apropiadamente la entrada de un usuario autenticado en un sistema operativo invitado, también se conoce como 'Hyper-V RemoteFX vGPU Remote Code Execution Vulnerability'. Este ID de CVE es diferente de CVE-2020-1032, CVE-2020-1036, CVE-2020-1041, CVE-2020-1042, CVE-2020-1043
Vulnerabilidad en un servidor host en Hyper-V RemoteFX vGPU de Microsoft (CVE-2020-1041)
Gravedad:
AltaAlta
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Se presenta una vulnerabilidad de ejecución de código remota cuando Hyper-V RemoteFX vGPU en un servidor host presenta un fallo al comprobar apropiadamente la entrada de un usuario autenticado en un sistema operativo invitado, también se conoce como 'Hyper-V RemoteFX vGPU Remote Code Execution Vulnerability'. Este ID de CVE es diferente de CVE-2020-1032, CVE-2020-1036, CVE-2020-1040, CVE-2020-1042, CVE-2020-1043
Vulnerabilidad en un servidor host en Hyper-V RemoteFX vGPU de Microsoft (CVE-2020-1042)
Gravedad:
AltaAlta
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Se presenta una vulnerabilidad de ejecución de código remota cuando Hyper-V RemoteFX vGPU en un servidor host presenta un fallo al comprobar apropiadamente la entrada de un usuario autenticado en un sistema operativo invitado, también se conoce como "Hyper-V RemoteFX vGPU Remote Code Execution Vulnerability". Este ID de CVE es diferente de CVE-2020-1032, CVE-2020-1036, CVE-2020-1040, CVE-2020-1041, CVE-2020-1043
Vulnerabilidad en un servidor host en Hyper-V RemoteFX vGPU de Microsoft (CVE-2020-1043)
Gravedad:
AltaAlta
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Se presenta una vulnerabilidad de ejecución de código remota cuando Hyper-V RemoteFX vGPU en un servidor host presenta un fallo al comprobar apropiadamente la entrada de un usuario autenticado en un sistema operativo invitado, también se conoce como "Hyper-V RemoteFX vGPU Remote Code Execution Vulnerability". Este ID de CVE es diferente de CVE-2020-1032, CVE-2020-1036, CVE-2020-1040, CVE-2020-1041, CVE-2020-1042
Vulnerabilidad en Windows Function Discovery Service de Microsoft (CVE-2020-1085)
Gravedad:
MediaMedia
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Se presenta una vulnerabilidad de elevación de privilegios en la manera en que Windows Function Discovery Service maneja objetos en memoria, también se conoce como "Windows Function Discovery Service Elevation of Privilege Vulnerability"
Vulnerabilidad en el componente Windows Resource Policy de Microsoft (CVE-2020-1358)
Gravedad:
BajaBaja
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Se presenta una vulnerabilidad de divulgación de información cuando el componente Windows Resource Policy maneja inapropiadamente la memoria. Para explotar esta vulnerabilidad, un atacante primero tendría que conseguir una ejecución en el sistema víctima, también se conoce como "Windows Resource Policy Information Disclosure Vulnerability"
Vulnerabilidad en el Windows WalletService de Microsoft (CVE-2020-1369)
Gravedad:
MediaMedia
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Se presenta una vulnerabilidad de elevación de privilegios en la manera en que el Windows WalletService maneja objetos en memoria, también se conoce como "Windows WalletService Elevation of Privilege Vulnerability". Este ID de CVE es diferente de CVE-2020-1344, CVE-2020-1362
Vulnerabilidad en el Windows Graphics Component de Microsoft (CVE-2020-1381)
Gravedad:
MediaMedia
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Se presenta una vulnerabilidad de elevación de privilegios cuando el Windows Graphics Component maneja inapropiadamente objetos en memoria, también se conoce como "Windows Graphics Component Elevation of Privilege Vulnerability". Este ID de CVE es diferente de CVE-2020-1382
Vulnerabilidad en el Windows Jet Database Engine de Microsoft (CVE-2020-1407)
Gravedad:
AltaAlta
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Se presenta una vulnerabilidad de ejecución de código remota cuando el Windows Jet Database Engine maneja inapropiadamente objetos en memoria, también se conoce como "Jet Database Engine Remote Code Execution Vulnerability". Este ID de CVE es diferente de CVE-2020-1400, CVE-2020-1401
Vulnerabilidad en el Windows Subsystem para Linux de Microsoft (CVE-2020-1423)
Gravedad:
MediaMedia
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Se presenta una vulnerabilidad de elevación de privilegios en la manera en que el Windows Subsystem para Linux maneja los archivos, también se conoce como "Windows Subsystem for Linux Elevation of Privilege Vulnerability"
Vulnerabilidad en Windows Update Stack de Microsoft (CVE-2020-1424)
Gravedad:
AltaAlta
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Se presenta una vulnerabilidad de elevación de privilegios cuando Windows Update Stack presenta un fallo al manejar apropiadamente objetos en memoria, también se conoce como 'Windows Update Stack Elevation of Privilege Vulnerability'
Vulnerabilidad en el kernel de Microsoft Windows (CVE-2020-1426)
Gravedad:
BajaBaja
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Se presenta una vulnerabilidad de divulgación de información cuando el kernel de Windows maneja inapropiadamente objetos en memoria, también se conoce como "Windows Kernel Information Disclosure Vulnerability". Este ID de CVE es diferente de CVE-2020-1367, CVE-2020-1389, CVE-2020-1419
Vulnerabilidad en el Windows UPnP Device Host de Microsoft (CVE-2020-1430)
Gravedad:
MediaMedia
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Se presenta una vulnerabilidad de elevación de privilegios cuando el Windows UPnP Device Host maneja inapropiadamente la memoria. Para explotar esta vulnerabilidad, un atacante primero tendría que conseguir una ejecución en el sistema víctima, también se conoce como "Windows UPnP Device Host Elevation of Privilege Vulnerability". Este ID de CVE es diferente de CVE-2020-1354
Vulnerabilidad en una aplicación en Windows AppX Deployment Extensions de Microsoft (CVE-2020-1431)
Gravedad:
MediaMedia
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Se presenta una vulnerabilidad de elevación de privilegios cuando Windows AppX Deployment Extensions lleva a cabo una gestión de privilegio inapropiadamente, resultando en el acceso a archivos del sistema. Para explotar esta vulnerabilidad, un atacante autenticado necesitaría ejecutar una aplicación especialmente diseñada para elevar los privilegios. La actualización de seguridad aborda la vulnerabilidad al corregir cómo AppX Deployment Extensions gestiona los privilegios, también se conoce como "Windows AppX Deployment Extensions Elevation of Privilege Vulnerability"
Vulnerabilidad en el Windows Sync Host Service de Microsoft (CVE-2020-1434)
Gravedad:
MediaMedia
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Se presenta una vulnerabilidad de elevación de privilegios en la manera en que el Windows Sync Host Service maneja objetos en memoria, también se conoce como "Windows Sync Host Service Elevation of Privilege Vulnerability"
Vulnerabilidad en manejo de fuentes en Windows Font Library de Microsoft (CVE-2020-1436)
Gravedad:
MediaMedia
Publication date: 14/07/2020
Last modified:
25/08/2020
Descripción:
Se presenta una vulnerabilidad de ejecución de código remota cuando Windows Font Library maneja inapropiadamente fuentes especialmente diseñadas. Para todos los sistemas, excepto Windows 10, un atacante que haya explotado con éxito la vulnerabilidad podría ejecutar código remotamente, también se conoce como "Windows Font Library Remote Code Execution Vulnerability"
Vulnerabilidad en una petición en un servidor de Office Web Apps de Microsoft (CVE-2020-1442)
Gravedad:
MediaMedia
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Se presenta una vulnerabilidad de suplantación de identidad cuando un servidor de Office Web Apps no sanea apropiadamente una petición especialmente diseñada, también se conoce como 'Vulnerabilidad XSS de Office Web Apps'
Vulnerabilidad en el software de Microsoft Word (CVE-2020-1446)
Gravedad:
MediaMedia
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Se presenta una vulnerabilidad de ejecución de código remota en el software de Microsoft Word cuando no puede manejar apropiadamente objetos en memoria, también se conoce como "Microsoft Word Remote Code Execution Vulnerability". Este ID de CVE es diferente de CVE-2020-1447, CVE-2020-1448
Vulnerabilidad en el software de Microsoft Word (CVE-2020-1448)
Gravedad:
MediaMedia
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Se presenta una vulnerabilidad de ejecución de código remota en el software de Microsoft Word cuando no puede manejar apropiadamente objetos en memoria, también se conoce como "Microsoft Word Remote Code Execution Vulnerability". Este ID de CVE es diferente de CVE-2020-1446, CVE-2020-1447
Vulnerabilidad en una petición web en Microsoft SharePoint Server (CVE-2020-1450)
Gravedad:
BajaBaja
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Se presenta una vulnerabilidad de tipo cross-site-scripting (XSS) cuando Microsoft SharePoint Server no sanea apropiadamente una petición web especialmente diseñada para un servidor de SharePoint afectado, también se conoce como "Microsoft Office SharePoint XSS Vulnerability". Este ID de CVE es diferente de CVE-2020-1451, CVE-2020-1456
Vulnerabilidad en una petición web en Microsoft SharePoint Server (CVE-2020-1451)
Gravedad:
BajaBaja
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Se presenta una vulnerabilidad de tipo cross-site-scripting (XSS) cuando Microsoft SharePoint Server no sanea apropiadamente una petición web especialmente diseñada para un servidor de SharePoint afectado, también se conoce como "Microsoft Office SharePoint XSS Vulnerability". Este ID de CVE es diferente de CVE-2020-1450, CVE-2020-1456
Vulnerabilidad en una petición web en Microsoft SharePoint Server (CVE-2020-1456)
Gravedad:
BajaBaja
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Se presenta una vulnerabilidad de tipo cross-site-scripting (XSS) cuando Microsoft SharePoint Server no sanea apropiadamente una petición web especialmente diseñada para un servidor de SharePoint afectado, también se conoce como "Microsoft Office SharePoint XSS Vulnerability". Este ID de CVE es diferente de CVE-2020-1450, CVE-2020-1451
Vulnerabilidad en "For Developers" en la ejecución manual de la función eval() en iPear (CVE-2020-11084)
Gravedad:
MediaMedia
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
En iPear, la ejecución manual de la función eval() puede conducir a la inyección de comandos. Solo están afectadas las PC donde los comandos se ejecutan manualmente por medio de "For Developers". Esta función permite ejecutar cualquier código PHP dentro de iPear que pueda cambiar, dañar o robar datos (archivos) desde la PC
Vulnerabilidad en la comprobación de los certificados TLS en verify_subject_alt_name y match_subject_alt_names en Envoy (CVE-2020-15104)
Gravedad:
MediaMedia
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
En Envoy versiones anteriores a 1.12.6, 1.13.4, 1.14.4 y 1.15.0, cuando se comprueban los certificados TLS, Envoy permitiría incorrectamente aplicar un DNS Subject Alternative Name comodín a múltiples subdominios. Por ejemplo, con una SAN de *.example.com, Envoy permitiría incorrectamente el nested.subdomain.example.com, cuando solo debería permitir el subdomain.example.com. Este fallo aplica para ambos comprobaciones de un certificado TLS del cliente en mTLS y a la comprobación de un certificado TLS del servidor para conexiones anteriores. Esta vulnerabilidad solo es aplicable a situaciones en las que una entidad no confiable puede obtener un certificado TLS comodín firmado para un dominio en el que solo desea confiar en un subdominio. Por ejemplo, si tiene la intención de confiar en api.mysubdomain.example.com, y un actor no confiable puede obtener un certificado TLS firmado para *.example.com o *.com. Las configuraciones son vulnerables si usan verify_subject_alt_name en cualquier versión de Envoy, o si usan match_subject_alt_names en la versión 1.14 o posteriores. Este problema ha sido corregido en las versiones de Envoy 1.12.6, 1.13.4, 1.14.4, 1.15.0
Vulnerabilidad en Dell EMC OpenManage Integration for Microsoft System Center (OMIMSSC) para SCCM y SCVMM (CVE-2020-5373)
Gravedad:
MediaMedia
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Dell EMC OpenManage Integration for Microsoft System Center (OMIMSSC) para SCCM y SCVMM versiones anteriores a 7.2.1, contiene una vulnerabilidad de autenticación inapropiada. Un atacante remoto no autenticado puede explotar esta vulnerabilidad para recuperar los datos de inventario del sistema del dispositivo administrado
Vulnerabilidad en Dell EMC OpenManage Integration for Microsoft System Center (OMIMSSC) para SCCM y SCVMM (CVE-2020-5374)
Gravedad:
MediaMedia
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Dell EMC OpenManage Integration for Microsoft System Center (OMIMSSC) para SCCM y SCVMM versiones anteriores a 7.2.1, contiene una vulnerabilidad de clave embebida. Un atacante remoto no autenticado puede explotar esta vulnerabilidad para conseguir acceso a los datos del dispositivo para dispositivos administrados remotamente
Vulnerabilidad en el acceso a CLONE_NEWUSER y al ioctl TIOCSTI en el sandbox bubblewrap de WebKitGTK y WPE WebKit (CVE-2020-13753)
Gravedad:
AltaAlta
Publication date: 14/07/2020
Last modified:
26/07/2020
Descripción:
El sandbox bubblewrap de WebKitGTK y WPE WebKit, versiones anteriores a 2.28.3, no pudo bloquear apropiadamente el acceso a CLONE_NEWUSER y al ioctl TIOCSTI. CLONE_NEWUSER podría ser usada potencialmente para confundir xdg-desktop-portal, que permite el acceso fuera del sandbox. TIOCSTI puede ser usado para ejecutar comandos directamente fuera del sandbox al escribir en el búfer de entrada del terminal de control, similar a CVE-2017-5226
Vulnerabilidad en determinados paquetes OpenLDAP en libldap en Red Hat Enterprise (CVE-2020-15719)
Gravedad:
MediaMedia
Publication date: 14/07/2020
Last modified:
19/09/2020
Descripción:
libldap en determinados paquetes OpenLDAP de terceros presenta un fallo de comprobación de certificados cuando el paquete de terceros está afirmando que admite RFC6125. Considera CN incluso cuando se presenta un subjectAltName (SAN) no coincidente. Esto es corregido, por ejemplo, en la versión openldap-2.4.46-10.el8 en Red Hat Enterprise
Vulnerabilidad en el envío de peticiones RPC en un nombre de servicio o nombre de método en Dubbo (CVE-2020-1948)
Gravedad:
AltaAlta
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Esta vulnerabilidad puede afectar a todos los usuarios de Dubbo que permanecen en las versiones 2.7.6 o por debajo. Un atacante puede enviar peticiones RPC con un nombre de servicio o nombre de método no reconocido junto con algunas cargas útiles de parámetros maliciosos. Cuando el parámetro malicioso es deserializado, ejecutará algún código malicioso. Más detalles pueden ser encontrados a continuación
Vulnerabilidad en las API restful en Kylin (CVE-2020-13925)
Gravedad:
AltaAlta
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Al igual que CVE-2020-1956, Kylin presenta mas de una API restful que concatena las entradas de la API en los comandos del Sistema Operativo y luego las ejecuta en el servidor; mientras la API reportada pierde la comprobación de entrada necesaria, lo que causa que los hackers tengan la posibilidad de ejecutar el comando del Sistema Operativo remotamente. Los usuarios de todas las versiones anteriores después de 2.3 deben actualizar a la versión 3.1.0
Vulnerabilidad en API rest en Kylin en un Hive SQL en Hive CLI (CVE-2020-13926)
Gravedad:
AltaAlta
Publication date: 14/07/2020
Last modified:
21/07/2020
Descripción:
Kylin concatena y ejecuta un Hive SQL en Hive CLI o en línea recta cuando se construye un nuevo segmento; alguna parte de la HQL proviene de las configuraciones del sistema, mientras que la configuración puede ser sobrescrita con determinada API rest, lo que hace posible el ataque de inyección SQL. Los usuarios de todas las versiones anteriores después de 2.0 deben actualizar a la versión 3.1.0
Vulnerabilidad en los paquetes docker para Red Hat Enterprise Linux 7 Extras (CVE-2020-14300)
Gravedad:
MediaMedia
Publication date: 13/07/2020
Last modified:
21/07/2020
Descripción:
La versión de los paquetes docker docker-1.13.1-108.git4ef4b30.el7 según lo publicado para Red Hat Enterprise Linux 7 Extras por medio de RHBA-2020:0053 (https://access.redhat.com/errata/RHBA-2020:0053) incluida una versión incorrecta de runc a la que le faltaban múltiples correcciones de bugs y seguridad. Una de las correcciones regresadas en esa actualización fue la corrección para CVE-2016-9962, que se corrigió previamente en los paquetes docker en Red Hat Enterprise Linux 7 Extras por medio de RHSA-2017:0116 (https://access.redhat.com/errata/RHSA-2017:0116). El CVE-2020-14300 fue asignado a esta regresión de seguridad y es específico para los paquetes docker producidos por Red Hat. El problema original, CVE-2016-9962, podría permitir a un proceso dentro del contenedor comprometer un proceso que ingresa al espacio de nombres del contenedor y ejecutar código arbitrario fuera del contenedor. Esto podría comprometer el host del contenedor u otros contenedores que se ejecutan en el mismo host del contenedor. Este problema solo afecta a una versión única de Docker, 1.13.1-108.git4ef4b30, incluida en Red Hat Enterprise Linux 7. Las versiones anteriores y posteriores no están afectadas
Vulnerabilidad en runc en Red Hat Enterprise Linux 7 Extras (CVE-2020-14298)
Gravedad:
MediaMedia
Publication date: 13/07/2020
Last modified:
21/07/2020
Descripción:
La versión de Docker según lo publicado para Red Hat Enterprise Linux 7 Extras por medio del aviso RHBA-2020:0053 incluía una versión incorrecta de runc que no tenía la corrección para CVE-2019-5736, que se corrigió previamente por medio de RHSA-2019:0304. Este problema podría permitir a un contenedor malicioso o comprometido comprometer el host del contenedor y otros contenedores que se ejecutan en el mismo host. Este problema solo afecta a la versión 1.13.1-108.git4ef4b30.el7 de docker, incluida en Red Hat Enterprise Linux 7 Extras. Las versiones anteriores y posteriores no están afectadas
Vulnerabilidad en las CPU Intel en una ejecución especulativa de instrucciones cuando se produce un error TAA en Linux antes del kernel (CVE-2019-19338)
Gravedad:
BajaBaja
Publication date: 13/07/2020
Last modified:
21/07/2020
Descripción:
Se encontró un fallo en la corrección para CVE-2019-11135, en Linux antes del kernel versiones anteriores a 5.5 donde, la manera en que las CPU Intel manejan una ejecución especulativa de instrucciones cuando se produce un error TSX Asynchronous Abort (TAA). Cuando un invitado es ejecutado en una CPU host afectada por el fallo de TAA (TAA_NO=0), pero no está afectado por el problema de MDS (MDS_NO=1), el invitado debía limpiar los búferes afectados al usar un mecanismo de instrucción VERW. Pero cuando se exportó el bit MDS_NO=1 a los invitados, los invitados no usaron el mecanismo VERW para borrar los búferes afectados. Este problema afecta a los invitados que son ejecutados en CPU Cascade Lake y requiere que el host tenga habilitado "TSX". La confidencialidad de los datos es la mayor amenaza asociada con esta vulnerabilidad
CVE-2020-15105
Gravedad:
BajaBaja
Publication date: 10/07/2020
Last modified:
21/07/2020
Descripción:
Django Two-Factor Authentication versiones anteriores a 1.12, almacena la contraseña del usuario en texto sin cifrar en la sesión del usuario (codificada en base64). La contraseña es almacenada en la sesión cuando el usuario introduce su nombre de usuario y contraseña, y se elimina una vez que completa la autenticación al ingresar un código de autenticación de dos factores. Esto quiere decir que la contraseña es almacenada en texto sin cifrar en la sesión durante un período de tiempo arbitrario, y potencialmente para siempre si el usuario comienza el proceso de inicio de sesión ingresando su nombre de usuario y contraseña y luego se sale antes de ingresar su código de autenticación de dos factores. La gravedad de este problema depende del tipo de almacenamiento de sesión que haya configurado: en el peor de los casos, si está usando el almacenamiento de sesión de base de datos predeterminado de Django, las contraseñas de los usuarios son almacenadas en texto sin cifrar en su base de datos. En el mejor de los casos, si está utilizando la sesión de cookies firmada de Django, las contraseñas de los usuarios solo son almacenadas en texto sin cifrar dentro de la tienda de cookies de su navegador. En el caso común de usar el almacén de sesiones de caché de Django, las contraseñas de los usuarios son almacenadas en texto sin cifrar en cualquier almacenamiento de caché que haya configurado (generalmente Memcached o Redis). Esto ha sido corregido en la versión 1.12. Después de la actualización, los usuarios deben asegurarse de eliminar las contraseñas de texto sin cifrar que hayan sido almacenadas. Por ejemplo, si está usando el back-end de sesión de la base de datos, es probable que quiera eliminar cualquier registro de sesión de la base de datos y purgar esos datos de cualquier copia de seguridad o réplica de la base de datos. Adicionalmente, las organizaciones afectadas que han sufrido una violación de la base de datos al usar una versión afectada deben reportar a sus usuarios que sus contraseñas de texto sin cifrar han sido comprometidas. Todas las organizaciones deben exhortar a los usuarios cuyas contraseñas son almacenadas de forma no segura para que cambien estas contraseñas en los sitios donde se utilizaron. Como solución alternativa, cambiar el almacenamiento de sesión de Django para usar cookies firmadas en lugar de la base de datos o caché disminuye el impacto de este problema, pero no se debe hacer sin un conocimiento profundo de las compensaciones de seguridad del uso de cookies firmadas en lugar de un almacenamiento de sesión del lado del servidor. No existe manera de mitigar completamente el problema sin actualizar
Vulnerabilidad en la implementación de OpenPGP en administración de PIN en los dispositivos Yubico YubiKey (CVE-2020-15000)
Gravedad:
MediaMedia
Publication date: 09/07/2020
Last modified:
21/07/2020
Descripción:
Se detectó un problema de administración de PIN en los dispositivos Yubico YubiKey versiones 5 5.2.0 hasta 5.2.6. OpenPGP tiene tres contraseñas: el PIN de administrador, el Código de Restablecimiento y el PIN de usuario. El código de restablecimiento se usa para restablecer el PIN de usuario, pero está deshabilitado por defecto. Un fallo en la implementación de OpenPGP establece el código de restablecimiento en un valor conocido tras la inicialización. Si el contador de reintentos para el Código de Reinicio se establece en un valor distinto de cero sin cambiar el Código de Reinicio, este valor conocido se puede usar para reiniciar el PIN del usuario. Para configurar los contadores de reintento, es requerido el PIN de administrador
Vulnerabilidad en las comprobaciones de certificados de seguridad TLS en las páginas Configuration ) Notifications en Redgate SQL Monitor (CVE-2020-15526)
Gravedad:
MediaMedia
Publication date: 09/07/2020
Last modified:
21/07/2020
Descripción:
En Redgate SQL Monitor versiones 7.1.4 hasta 10.1.6 (incluso), el alcance para deshabilitar algunas comprobaciones de certificados de seguridad TLS puede extenderse más allá de lo definido por varias opciones en las páginas Configuration ) Notifications para deshabilitar la comprobación de certificado para notificaciones de alerta. Estas comprobaciones de seguridad TLS son también ignoradas durante la supervisión de máquinas VMware. Esto haría que SQL Monitor sea vulnerable a potenciales ataques de tipo man-in-the-middle al enviar correos electrónicos de notificación de alertas, publicar en Slack o publicar en webhooks. La vulnerabilidad es corregida en la versión 10.1.7
Vulnerabilidad en la función posix_spawnp en la variable de entorno PATH en FreeBSD (CVE-2020-7458)
Gravedad:
AltaAlta
Publication date: 09/07/2020
Last modified:
24/07/2020
Descripción:
En FreeBSD versiones 12.1-STABLE anteriores a r362281, versiones 11.4-STABLE anteriores a r362281 y versiones 11.4-RELEASE anteriores a p1, los valores largos en la variable de entorno PATH controlada por el usuario causan que la función posix_spawnp escriba más allá del final de la región stack asignada a la región heap de la memoria, conllevando posiblemente a una ejecución de código arbitrario
Vulnerabilidad en el soporte PKCE no está implementado según el RFC para OAuth en el paquete com.google.oauth-client:google-oauth-client (CVE-2020-7692)
Gravedad:
MediaMedia
Publication date: 09/07/2020
Last modified:
27/07/2020
Descripción:
Un soporte PKCE no está implementado de acuerdo con el RFC para OAuth versión 2.0 para Native Apps. Sin el uso de PKCE, el código de autorización devuelto por un servidor de autorización no es suficiente para garantizar que el cliente que emitió la petición de autorización inicial sea el que será autorizado. Un atacante puede ser capaz de obtener el código de autorización usando una aplicación maliciosa en el lado del cliente y usarlo para conseguir autorización para el recurso protegido. Esto afecta el paquete com.google.oauth-client:google-oauth-client versiones anteriores a 1.31.0
Vulnerabilidad en la clave AWS en varios dispositivos por medio del firmware Linkplay (CVE-2019-15310)
Gravedad:
AltaAlta
Publication date: 01/07/2020
Last modified:
21/07/2020
Descripción:
Se detectó un problema en varios dispositivos por medio del firmware Linkplay. Se presenta una ejecución de código remota WAN sin interacción del usuario. Un atacante podría recuperar la clave AWS del firmware y obtener un control total sobre el estado de AWS de Linkplay, incluyendo los buckets de S3 que contienen el firmware del dispositivo. Cuando se combina con una vulnerabilidad de inyección de comandos del Sistema Operativo dentro de la lógica del Análisis XML del proceso de actualización del firmware, un atacante podría obtener una ejecución de código en cualquier dispositivo que intente actualizar. Tome en cuenta que, por defecto, todos los dispositivos probados tenían habilitadas las actualizaciones automáticas
Vulnerabilidad en el endpoint /httpapi.asp en el firmware Linkplay en los dispositivos Zolo Halo (CVE-2019-15312)
Gravedad:
AltaAlta
Publication date: 01/07/2020
Last modified:
21/07/2020
Descripción:
Se detectó un problema en los dispositivos Zolo Halo por medio del firmware Linkplay. Se presenta un ataque de reenlace DNS de Zolo Halo. Se encontró que el dispositivo era vulnerable a un reenlace DNS. Combinado con uno de los muchos problemas de seguridad de ejecución de comandos del endpoint /httpapi.asp, el ataque de reenlace DNS podría permitir a un atacante comprometer el dispositivo víctima desde la Internet
Vulnerabilidad en la ACL en el servidor web interno en PowerDNS Recursor (CVE-2020-14196)
Gravedad:
MediaMedia
Publication date: 01/07/2020
Last modified:
25/09/2020
Descripción:
En PowerDNS Recursor versiones hasta 4.3.1, 4.2.2 y 4.1.16 incluyéndola, la ACL que restringe el acceso al servidor web interno no se aplica correctamente

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

Vulnerabilidad en el archivo char_dev.c en la función cdev_get en Android (CVE-2020-0305)
Gravedad:
MediaMedia
Publication date: 17/07/2020
Last modified:
21/08/2020
Descripción:
En la función cdev_get del archivo char_dev.c, se presenta un posible uso de la memoria previamente liberada debido a una condición de carrera. Esto podría conllevar a una escalada local de privilegios con los privilegios de ejecución System necesarios. No es necesaria una interacción del usuario para su explotación. Producto: Android, Versiones: Android-10, ID de Android: A-153467744
Vulnerabilidad en el archivo jcore/portal/ajaxPortal.jsp en el parámetro types en Jalios JCMS (CVE-2020-15497)
Gravedad:
MediaMedia
Publication date: 17/07/2020
Last modified:
29/07/2020
Descripción:
**EN DISPUTA** El archivo jcore/portal/ajaxPortal.jsp en Jalios JCMS versión 10.0.2 build-20200224104759, permite un ataque de tipo XSS por medio del parámetro types Nota: Se afirma que esta vulnerabilidad no está presente en la instalación estándar de Jalios JCMS
Vulnerabilidad en una URL en el contexto de salida en McAfee Web Gateway (MWG) (CVE-2020-7292)
Gravedad:
MediaMedia
Publication date: 15/07/2020
Last modified:
17/09/2020
Descripción:
Una Codificación Inapropiada para el contexto de salida en McAfee Web Gateway (MWG) versiones anteriores a 9.2.1, permite al atacante remoto causar que MWG devuelva una respuesta de redireccionamiento ambigua haciendo que un usuario haga clic en una URL maliciosa.
Vulnerabilidad en el marcado de origen de una entrada de archivo XML en .NET Framework, Microsoft SharePoint y Visual Studio (CVE-2020-1147)
Gravedad:
MediaMedia
Publication date: 14/07/2020
Last modified:
20/08/2020
Descripción:
Se presenta una vulnerabilidad de ejecución de código remota en .NET Framework, Microsoft SharePoint y Visual Studio cuando el software presenta un fallo al comprobar el marcado de origen de una entrada de archivo XML, también se conoce como ".NET Framework, SharePoint Server, and Visual Studio Remote Code Execution Vulnerability"
Vulnerabilidad en una estructura de directorios de más de 1000 directorios anidados en Python y os.walk() en el escaneo en freewvs (CVE-2020-15101)
Gravedad:
MediaMedia
Publication date: 14/07/2020
Last modified:
31/07/2020
Descripción:
En freewvs versiones anteriores a 0.1.1, una estructura de directorios de más de 1000 directorios anidados puede interrumpir un escaneo de freewvs debido al límite de recursión de Python y os.walk(). Esto puede ser problemático en un caso en donde un administrador escanea los directorios de usuarios potencialmente no confiables. Esto ha sido parcheado en la versión 0.1.1
Vulnerabilidad en encabezados de respuesta HTTP en una excepción en Eclipse Jetty (CVE-2019-17638)
Gravedad:
AltaAlta
Publication date: 09/07/2020
Last modified:
23/09/2020
Descripción:
En Eclipse Jetty, versiones 9.4.27.v20200227 hasta 9.4.29.v20200521, en el caso de encabezados de respuesta demasiado grandes, Jetty lanza una excepción para producir un error HTTP 431. Cuando esto sucede, el ByteBuffer que contiene los encabezados de respuesta HTTP es devuelto al ByteBufferPool dos veces. Debido a esta doble versión, dos subprocesos (hilos) pueden adquirir el mismo ByteBuffer del grupo y, mientras que thread1 está a punto de usar ByteBuffer para escribir datos de response1, thread2 llena el ByteBuffer con otros datos. Thread1 luego procede a escribir el búfer que ahora contiene datos diferentes. Esto resulta en que el cliente1, que emitió la petición1, ve los datos de otra petición o respuesta que podría contener datos sensibles pertenecientes al cliente2 (identificaciones de sesión HTTP, credenciales de autenticación, etc.). Si no se puede actualizar la versión del muelle, la vulnerabilidad se puede reducir significativamente configurando un responseHeaderSize significativamente mayor que el requestHeaderSize (12KB responseHeaderSize y 8KB requestHeaderSize)
Vulnerabilidad en la implementación de red SLiRP en la rutina icmp6_send_echoreply() en el emulador QEMU en libslirp (CVE-2020-10756)
Gravedad:
BajaBaja
Publication date: 09/07/2020
Last modified:
26/08/2020
Descripción:
Se encontró una vulnerabilidad de lectura fuera de límites en la implementación de red SLiRP del emulador QEMU. Este fallo se produce en la rutina icmp6_send_echoreply() al responder a una petición echo ICMP, también se conoce como ping. Este fallo permite a un invitado malicioso filtrar el contenido de la memoria del host, resultando en una posible divulgación de información. Este fallo afecta a las versiones de libslirp anteriores a 4.3.1
Vulnerabilidad en Traffic Management User Interface (TMUI) en BIG-IP (CVE-2020-5902)
Gravedad:
AltaAlta
Publication date: 01/07/2020
Last modified:
07/08/2020
Descripción:
En BIG-IP versiones 15.0.0 hasta 15.1.0.3, 14.1.0 hasta 14.1.2.5, 13.1.0 hasta 13.1.3.3, 12.1.0 hasta 12.1.5.1 y 11.6.1 hasta 11.6.5.1, el Traffic Management User Interface (TMUI), también se conoce como la utilidad de Configuración, presenta una vulnerabilidad de Ejecución de Código Remota (RCE) en páginas no reveladas
Vulnerabilidad en Atlassian Confluence Server and Data Center (CVE-2018-20237)
Gravedad:
MediaMedia
Publication date: 13/02/2019
Last modified:
21/07/2020
Descripción:
Atlassian Confluence Server and Data Center, en versiones anteriores a la 6.13.1, permite que un usuario autenticado descargue una página eliminada mediante la característica de exportación de palabras.
Vulnerabilidad en SAP BusinessObjects Business Intelligence (CVE-2018-2432)
Gravedad:
MediaMedia
Publication date: 10/07/2018
Last modified:
24/08/2020
Descripción:
SAP BusinessObjects Business Intelligence (BI Launchpad and Central Management Console) 4.10, 4.20 y 4.30 permite que un atacante incluya datos no validados en la cabecera de respuesta HTTP enviada a un usuario web. La explotación con éxito de esta vulnerabilidad podría desembocar en ataques avanzados, incluyendo Cross-Site Scripting (XSS) y el secuestro de páginas.
Vulnerabilidad en Atlassian Confluence (CVE-2017-9505)
Gravedad:
MediaMedia
Publication date: 15/06/2017
Last modified:
21/07/2020
Descripción:
Atlassian Confluence desde la versión 4.3.0 hasta la 6.2.1 no comprobaba si un usuario tenía permiso para visualizar una página mientras se creaba una notificación workbox sobre nuevos comentarios. Un atacante que pueda iniciar sesión en Confluence podría recibir notificaciones workbox, que contienen los comentarios, para los comentarios añadidos a una página una vez que han empezado a verla aunque no tengan permiso para visualizar la propia página.