Inicio / Content / Boletín de vulnerabilidades

Boletín de vulnerabilidades

Nuevas vulnerabilidades documentadas a los productos que usted está suscrito:

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

Vulnerabilidad en el controlador de modo de kernel invitado y el administrador de Virtual GPU (plugin vGPU) en el software NVIDIA vGPU (CVE-2021-1081)
Gravedad:
MediaMedia
Publication date: 29/04/2021
Last modified:
07/05/2021
Descripción:
El software NVIDIA vGPU contiene una vulnerabilidad en el controlador de modo de kernel invitado y el administrador de Virtual GPU (plugin vGPU), en el que la longitud de la entrada no es comprobada, lo que puede conllevar a una divulgación de información, manipulación de datos o denegación de servicio. Esto afecta a vGPU versión 12.x (anteriores a 12.2), versión 11.x (anteriores a 11.4) y versión 8.x (anteriores a 8.7).
Vulnerabilidad en Micro Focus Application Performance Management (CVE-2021-22514)
Gravedad:
AltaAlta
Publication date: 28/04/2021
Last modified:
07/05/2021
Descripción:
Se presenta una vulnerabilidad de ejecución de código arbitrario en Micro Focus Application Performance Management, que afecta a versiones 9.40, 9.50 y 9.51. La vulnerabilidad podría permitir a atacantes remotos ejecutar código arbitrario en instalaciones afectadas de APM
Vulnerabilidad en el flag X509_V_FLAG_X509_STRICT en OpenSSL (CVE-2021-3450)
Gravedad:
MediaMedia
Publication date: 25/03/2021
Last modified:
20/10/2021
Descripción:
El flag X509_V_FLAG_X509_STRICT permite llevar a cabo comprobaciones de seguridad adicionales de los certificados presentes en una cadena de certificados. No está establecido por defecto. A partir de la versión 1.1.1h de OpenSSL, se añadió como comprobación estricta adicional la de no permitir certificados en la cadena que tengan parámetros de curva elíptica codificados explícitamente. Un error en la implementación de esta comprobación significaba que el resultado de una comprobación previa para confirmar que los certificados de la cadena son certificados de CA válidos fueron sobrescritos. De este modo, se omite la comprobación de que los certificados que no son de CA no deben poder emitir otros certificados. Si se ha configurado un "purpose", se presenta la posibilidad de comprobar posteriormente que el certificado es una CA válida. Todos los valores de "purpose" implementados en libcrypto llevan a cabo esta comprobación. Por lo tanto, cuando se establece un propósito, la cadena de certificados seguirá siendo rechazada inclusive cuando se haya usado el flag strict. Se establece un propósito por defecto en las rutinas de verificación de certificados de cliente servidor de libssl, pero puede ser anulado o eliminado por una aplicación. Para que se vea afectada, una aplicación debe establecer explícitamente el flag de verificación X509_V_FLAG_X509_STRICT y no establecer un propósito para la verificación de certificados o, en el caso de las aplicaciones de cliente o servidor TLS, anular el propósito por defecto. Este problema afecta a las versiones 1.1.1h y posteriores de OpenSSL. Los usuarios de estas versiones deben actualizar a OpenSSL versión 1.1.1k. OpenSSL versión 1.0.2 no está afectado por este problema. Corregido en OpenSSL versión 1.1.1k (Afectadas versiones 1.1.1h-1.1.1j)
Vulnerabilidad en un archivo fuente de Standard ML (SML) en SMLLexer en Pygments (CVE-2021-20270)
Gravedad:
MediaMedia
Publication date: 23/03/2021
Last modified:
20/10/2021
Descripción:
Un bucle infinito en SMLLexer en Pygments versiones 1.5 hasta 2.7.3, puede conllevar a una denegación de servicio cuando se lleva a cabo el resaltado de sintaxis de un archivo fuente de Standard ML (SML), como es demostrado por la entrada que solo contiene la palabra clave "exception"
Vulnerabilidad en el modo loopback de una NIC en varios emuladores de NIC de QEMU (CVE-2021-3416)
Gravedad:
BajaBaja
Publication date: 18/03/2021
Last modified:
07/05/2021
Descripción:
Se encontró un posible desbordamiento de la pila por medio de un problema de bucle infinito en varios emuladores de NIC de QEMU en versiones hasta 5.2.0 incluyéndola. El problema ocurre en el modo loopback de una NIC en donde son omitidas las comprobaciones DMA reentrantes. Un usuario y proceso invitado puede usar este fallo para consumir ciclos de CPU o bloquear el proceso QEMU en el host, resultando en un escenario DoS