Inicio / Content / Boletín de vulnerabilidades

Boletín de vulnerabilidades

Nuevas vulnerabilidades documentadas a los productos que usted está suscrito:

Vulnerabilidad en los certificados TLS en las integraciones de HashiCorp Vault y Vault Enterprise Cassandra (CVE-2021-27400)
Gravedad:
MediaMedia
Publication date: 22/04/2021
Last modified:
27/04/2021
Descripción:
Las integraciones de HashiCorp Vault y Vault Enterprise Cassandra (backend de almacenamiento y plugin del motor de secretos de la base de datos) no comprobaban los certificados TLS al conectarse a los clústeres de Cassandra. Corregido en 1.6.4 y 1.7.1
Vulnerabilidad en Discord-Recon (CVE-2021-29465)
Gravedad:
AltaAlta
Publication date: 21/04/2021
Last modified:
27/04/2021
Descripción:
Discord-Recon es un bot para el servicio de chat Discord. Unas versiones de Discord-Recon versiones 0.0.3 y anteriores, contienen una vulnerabilidad en la que un atacante remoto puede sobrescribir cualquier archivo del sistema con los resultados del comando. Esto puede resultar en la ejecución de código remota cuando el usuario sobrescribe archivos importantes en el sistema. Como solución alternativa, los encargados de mantenimiento de bots pueden editar su archivo "setting.py" y luego agregar" ("y") "en la variable" RCE" dentro de él para solucionar el problema sin una actualización. La vulnerabilidad está parcheada en la versión 0.0.4
Vulnerabilidad en Discord-Recon (CVE-2021-29466)
Gravedad:
MediaMedia
Publication date: 21/04/2021
Last modified:
27/04/2021
Descripción:
Discord-Recon es un bot para el servicio de chat Discord. En versiones de Discord-Recon versiones 0.0.3 y anteriores, un atacante remoto puede leer archivos locales del servidor que pueden divulgar información importante. Como solución alternativa, un encargado de mantenimiento de bots puede ubicar el archivo "app.py" y agregar" .replace ("..", '')" en la variable "Path" dentro de la función "recon". La vulnerabilidad está parcheada en versión 0.0.4
Vulnerabilidad en un portal web en un parámetro de consulta HTTP en Authelia (CVE-2021-29456)
Gravedad:
MediaMedia
Publication date: 21/04/2021
Last modified:
27/04/2021
Descripción:
Authelia es un servidor de autorización y autenticación de código abierto que proporciona autenticación de 2 factores e inicio de sesión único (SSO) para sus aplicaciones por medio de un portal web. En versiones 4.27.4 y anteriores, usando un parámetro de consulta HTTP, un atacante puede redireccionar a usuarios desde la aplicación web a cualquier dominio, incluyendo sitios potencialmente maliciosos. Este problema de seguridad no afecta directamente la seguridad de la aplicación web en sí. Como solución alternativa, se puede usar un proxy inverso para eliminar el parámetro query del endpoint afectado. Se presenta un parche para versión 4.28.0
Vulnerabilidad en la API jdk.internal.reflect.ConstantPool en Eclipse Openj9 (CVE-2021-28167)
Gravedad:
MediaMedia
Publication date: 21/04/2021
Last modified:
27/04/2021
Descripción:
En Eclipse Openj9 a versión 0.25.0, el uso de la API jdk.internal.reflect.ConstantPool causa a la JVM en algunos casos resolver previamente determinadas entradas de grupo constante. Esto permite a un usuario llamar a métodos estáticos o acceder a miembros estáticos sin ejecutar el método de inicialización de la clase, y puede permitir a un usuario observar valores no inicializados
Vulnerabilidad en la Administración GUI en diversos productos de TIBCO (CVE-2021-28827)
Gravedad:
MediaMedia
Publication date: 20/04/2021
Last modified:
27/04/2021
Descripción:
El componente GUI de Administración de TIBCO Administrator - Enterprise Edition., TIBCO Administrator - Enterprise Edition, TIBCO Administrator - Enterprise Edition Distribution para TIBCO Silver Fabric, TIBCO Administrator - Enterprise Edition Distribution para TIBCO Silver Fabric, TIBCO Administrator - Enterprise Edition para z/Linux, TIBCO Administrator - Enterprise Edition para z/Linux, TIBCO Runtime Agent, TIBCO Runtime Agent, TIBCO Runtime Agent para z/Linux y TIBCO Runtime Agent para z/Linux de TIBCO Inc, contiene una vulnerabilidad fácilmente explotable que permite a un atacante no autenticado hacer ingeniería social a un usuario legítimo con acceso a la red para ejecutar un ataque de tipo XSS Almacenado dirigido al sistema afectado. Un ataque con éxito que utilice esta vulnerabilidad requiere una interacción humana de una persona diferente del atacante. Las versiones afectadas son: TIBCO Administrator - Enterprise Edition: versiones 5.10.2 y por debajo, TIBCO Administrator - Enterprise Edition: versiones 5.11.0 y 5.11.1, TIBCO Administrator - Enterprise Edition Distribution para TIBCO Silver Fabric: versiones 5.10.2 y por debajo, TIBCO Administrator - Enterprise Edition Distribution para TIBCO Silver Fabric: versiones 5.11.0 y 5.11.1, TIBCO Administrator - Enterprise Edition para z/Linux: versiones 5.10.2 y por debajo, TIBCO Administrator - Enterprise Edition para z/Linux: versiones 5.11.0 y 5.11.1, TIBCO Runtime Agent: versiones 5.10.2 y por debajo, TIBCO Runtime Agent: versiones 5.11.0 y 5.11.1, TIBCO Runtime Agent para z/Linux: versiones 5.10.2 y por debajo, y TIBCO Runtime Agent para z/Linux: versiones 5.11.0 y 5.11.1, de TIBCO Software Inc
Vulnerabilidad en el modo de cumplimiento de SmartLock en Dell PowerScale OneFS (CVE-2021-21526)
Gravedad:
AltaAlta
Publication date: 20/04/2021
Last modified:
27/04/2021
Descripción:
Dell PowerScale OneFS versiones 8.1.0 - 9.1.0, contiene una escalada de privilegios en el modo de cumplimiento de SmartLock que puede permitir a compadmin ejecutar comandos arbitrarios como root

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

Vulnerabilidad en Apache OFBiz (CVE-2016-2170)
Gravedad:
AltaAlta
Publication date: 12/04/2016
Last modified:
30/07/2021
Descripción:
Apache OFBiz 12.04.x en versiones anteriores a 12.04.06 y 13.07.x en versiones anteriores a 13.07.03 permiten a atacantes remotos ejecutar comandos arbitrarios a través de un objeto Java serializado manipulado, relacionado con la librería Apache Commons Collections.