Actualización de seguridad sobre vulnerabilidad crítica en V8 de Google Chrome
Google ha lanzado una nueva actualización estable de Chrome, dirigida a mejorar la seguridad y la estabilidad del navegador en sus versiones para Windows, Mac y Linux. Además de la vulnerabilidad CVE-2024-12053, esta actualización aborda múltiples fallos detectados a través de auditorías internas, técnicas de fuzzing y otras iniciativas de seguridad. Productos y versiones afectadas: Solución: Recomendaciones: Referencias:
Vulnerabilidad de denegación de servicio en biblioteca python-multipart
Se ha identificado una vulnerabilidad en python-multipart, una biblioteca utilizada para analizar datos de formularios multipart en aplicaciones Python. Este problema puede ser explotado para causar una denegación de servicio (DoS), agotando recursos del sistema y bloqueando el procesamiento de solicitudes en aplicaciones afectadas. CVE-2024-53981 (CVSS 7.5): El problema radica en la falta de límites al procesar datos en formato multipart/form-data. Cuando python-multipart encuentra saltos de línea (CR o LF) antes del primer delimitador o después del último, procesa estos bytes uno a la vez y genera un evento de registro en cada caso. Esto permite que un atacante envíe…
Vulnerabilidad en el plugin Advanced File Manager de WordPress permite carga arbitraria de archivos
Se ha identificado una vulnerabilidad en el plugin Advanced File Manager para WordPress, ampliamente utilizado para gestionar archivos desde el panel de administración. Este problema podría permitir a atacantes autenticados cargar archivos maliciosos en los servidores afectados, lo que representa un riesgo de ejecución remota de código si el atacante cuenta con permisos otorgados por un administrador. Productos y versiones afectadas: Solución: Recomendaciones: Referencias:
Microsoft corrige fallos de seguridad en inteligencia artificial, aplicaciones en la nube y herramientas empresariales
Microsoft ha abordado varias vulnerabilidades críticas que afectan servicios como Azure PolicyWatch, Dynamics 365 Sales y Partner Center. Algunas de ellas han sido catalogadas como críticas y podrían permitir la elevación de privilegios, acceso no autorizado y otros riesgos significativos. Una de las vulnerabilidades, CVE-2024-49035, ya ha sido explotada en ataques activos, según los informes de la compañía. CVE Producto Afectado CVE-2024-49038 Microsoft Copilot Studio CVE-2024-49035 Microsoft Partner Center CVE-2024-49052 Microsoft Azure Functions CVE-2024-49053 Dynamics 365 Sales for Android Recomendaciones: Referencias:
Vulnerabilidad crítica en el plugin Widget Options de WordPress
Una vulnerabilidad crítica ha sido identificada en el popular plugin “Widget Options”, utilizado en más de 100,000 sitios web activos. Este problema ha sido parcheado en la versión 4.0.8 del plugin. A continuación, se detalla la información sobre esta vulnerabilidad. CVE-2024-8672 (CVSS 9.9): Vulnerabilidad en la funcionalidad de lógica de visualización «Inyección de Código«. La vulnerabilidad radicaba en la función “display logic” del plugin, la cual interactúa con varios creadores de páginas. Este mecanismo permitía a los usuarios introducir datos que luego eran procesados mediante la función eval() sin aplicar los filtros o controles de capacidad adecuados. Esto permitía que atacantes autenticados…
Vulnerabilidades en el daemon Tuned de Linux
Linux es un sistema operativo de código abierto ampliamente utilizado en servidores, dispositivos embebidos, supercomputadoras y, en menor medida, en computadoras personales. Recientemente, se han descubierto nuevas vulnerabilidades en herramientas clave del ecosistema Linux, como el daemon Tuned, utilizado para optimizar el rendimiento del sistema. Estas fallas podrían permitir a un atacante escalar privilegios o manipular el sistema, representando riesgos significativos para la seguridad de los usuarios. CVE Productos afectados Versiones afectadas Solución CVE-2024-52336 Red Hat Enterprise Linux 9 Versiones previas a 0:2.24.0-2.el9_5 Actualizar a la versión 2.24.1 CVE-2024-52337 Fast Datapath for RHEL 9Red Hat Enterprise Linux 8Fast Datapath for…
Nueva vulnerabilidad en librería de Python
Python es un lenguaje de programación ampliamente utilizado debido a su simplicidad y versatilidad, lo que lo convierte en una herramienta esencial para desarrolladores y administradores de sistemas. Dentro de su ecosistema, el paquete «zhmcclient» destaca como una biblioteca cliente diseñada para interactuar con el IBM Z HMC Web Services API. Se ha identificado una vulnerabilidad alta en «zhmcclient» que expone información sensible, como contraseñas, en texto claro en los registros API y HMC, comprometiendo potencialmente la seguridad de los sistemas afectados. Productos y versiones afectadas: Solución: Recomendaciones: Referencias:
Vulnerabilidad en Apache Arrow R package permite ejecución arbitraria de código
Se ha identificado una vulnerabilidad en el Apache Arrow R package, utilizado para procesar datos en formatos IPC, Feather y Parquet. Este problema surge al deserializar datos de archivos maliciosos, lo que podría derivar en comportamientos inesperados si se procesan entradas provenientes de fuentes no confiables. Productos y versiones afectadas: Solución: Recomendaciones: Referencias:
Nueva vulnerabilidad en los Firewalls Zyxel está siendo explotada activamente
Zyxel es una empresa líder en soluciones de redes, conocida por ofrecer productos avanzados como firewalls, routers y soluciones de conectividad empresarial. En los últimos días, se ha identificado una vulnerabilidad crítica en sus firewalls, la cual está siendo explotada activamente para propagar ransomware y comprometer entidades. Productos y versiones afectadas: Solución: Recomendaciones: Referencias:
Múltiples vulnerabilidades detectadas en Jenkins
Jenkins, el ampliamente utilizado servidor de automatización de código abierto, ha emitido un aviso de seguridad que detalla múltiples vulnerabilidades en su sistema principal y en diversos complementos asociados. Estas vulnerabilidades, que abarcan desde denegación de servicio hasta secuencias de comandos entre sitios (XSS), representan riesgos significativos para los usuarios si no se corrigen oportunamente. CVE Productos afectados Versiones afectadas Solución CVE-2024-54003 Jenkins Simple Queue Plugin. Versión 0 hasta la 1.4.4. Versión 1.4.5 CVE-2024-47855 Jenkins weekly Versiones inferiores a 2.487. Versión 2.487. Jenkins LTS Versiones inferiores a 2.479.2. Versión 2.479.2. CVE-2024-54004 Jenkins Filesystem List Parameter Plugin. Versión 0 hasta la…