Vulnerabilidad de consumo de memoria en el módulo asyncio de Python
Se ha identificado una vulnerabilidad en Python que afecta el módulo asyncio, ampliamente utilizado para la programación asíncrona en sistemas macOS y Linux. Esta falla podría llevar al consumo excesivo de memoria, impactando la estabilidad y el rendimiento de aplicaciones críticas en entornos específicos. Producto y versiones afectadas: Solución: Recomendaciones: Referencias:
Actualización de seguridad para corregir vulnerabilidades críticas en Zyxel
Zyxel ha identificado y parcheado vulnerabilidades en dispositivos como CPE 4G LTE/5G NR, CPE DSL/Ethernet, ONT de fibra y extensores WiFi. Estas vulnerabilidades incluyen desbordamientos de búfer y vulnerabilidades de inyección de comandos post-autenticación. A continuación, se presentan los detalles: CVE Producto Afectado Versión Afectada Solución CVE-2024-8748 4G LTE/5G NR CPE, DSL/Ethernet CPE, Fiber ONT, Wi-Fi extender. Versiones previas a la última actualización. Actualizar a la última versión del firmware correspondiente a los modelos afectados proporcionada por Zyxel. CVE-2024-9200 DSL/Ethernet CPE. CVE-2024-9197 DSL/Ethernet CPE, Fiber ONT, Wi-Fi extender. Recomendaciones: Referencias:
Vulnerabilidades críticas en Veeam Service Provider Console (VSPC)
Veeam Software, un proveedor de soluciones de respaldo y recuperación ante desastres, ha publicado actualizaciones de seguridad urgentes para abordar dos vulnerabilidades críticas en su Service Provider Console (VSPC). CVE Productos afectados Versiones afectadas Solución CVE-2024-42448 Veeam Service Provider Console (VSPC) Versiones 8.1.0.21377 y todas las versiones anteriores, incluidas las compilaciones 8 y 7 Actualizar a la versión 8.1.0.21999 CVE-2024-42449 Recomendaciones: Referencias:
Vulnerabilidad CVE-2014-2120 en Cisco ASA Software
Cisco Systems ha confirmado la explotación activa de una vulnerabilidad de más de una década en el software Cisco Adaptive Security Appliance (ASA), específicamente en la funcionalidad WebVPN. Esta vulnerabilidad, identificada como CVE-2014-2120, permite a atacantes remotos no autenticados realizar ataques de Cross-Site Scripting (XSS) contra usuarios de WebVPN, subrayando la necesidad de implementar medidas de mitigación inmediatas. El Equipo de Respuesta a Incidentes de Seguridad de Cisco (PSIRT) fue notificado sobre esta actividad de explotación renovada en noviembre de 2024. En consecuencia, Cisco ha instado a sus clientes a actualizar a una versión de software corregida, aunque se enfatiza…
Actualización de seguridad sobre vulnerabilidad crítica en V8 de Google Chrome
Google ha lanzado una nueva actualización estable de Chrome, dirigida a mejorar la seguridad y la estabilidad del navegador en sus versiones para Windows, Mac y Linux. Además de la vulnerabilidad CVE-2024-12053, esta actualización aborda múltiples fallos detectados a través de auditorías internas, técnicas de fuzzing y otras iniciativas de seguridad. Productos y versiones afectadas: Solución: Recomendaciones: Referencias:
Vulnerabilidad de denegación de servicio en biblioteca python-multipart
Se ha identificado una vulnerabilidad en python-multipart, una biblioteca utilizada para analizar datos de formularios multipart en aplicaciones Python. Este problema puede ser explotado para causar una denegación de servicio (DoS), agotando recursos del sistema y bloqueando el procesamiento de solicitudes en aplicaciones afectadas. CVE-2024-53981 (CVSS 7.5): El problema radica en la falta de límites al procesar datos en formato multipart/form-data. Cuando python-multipart encuentra saltos de línea (CR o LF) antes del primer delimitador o después del último, procesa estos bytes uno a la vez y genera un evento de registro en cada caso. Esto permite que un atacante envíe…
Vulnerabilidad en el plugin Advanced File Manager de WordPress permite carga arbitraria de archivos
Se ha identificado una vulnerabilidad en el plugin Advanced File Manager para WordPress, ampliamente utilizado para gestionar archivos desde el panel de administración. Este problema podría permitir a atacantes autenticados cargar archivos maliciosos en los servidores afectados, lo que representa un riesgo de ejecución remota de código si el atacante cuenta con permisos otorgados por un administrador. Productos y versiones afectadas: Solución: Recomendaciones: Referencias:
Microsoft corrige fallos de seguridad en inteligencia artificial, aplicaciones en la nube y herramientas empresariales
Microsoft ha abordado varias vulnerabilidades críticas que afectan servicios como Azure PolicyWatch, Dynamics 365 Sales y Partner Center. Algunas de ellas han sido catalogadas como críticas y podrían permitir la elevación de privilegios, acceso no autorizado y otros riesgos significativos. Una de las vulnerabilidades, CVE-2024-49035, ya ha sido explotada en ataques activos, según los informes de la compañía. CVE Producto Afectado CVE-2024-49038 Microsoft Copilot Studio CVE-2024-49035 Microsoft Partner Center CVE-2024-49052 Microsoft Azure Functions CVE-2024-49053 Dynamics 365 Sales for Android Recomendaciones: Referencias:
Vulnerabilidad crítica en el plugin Widget Options de WordPress
Una vulnerabilidad crítica ha sido identificada en el popular plugin “Widget Options”, utilizado en más de 100,000 sitios web activos. Este problema ha sido parcheado en la versión 4.0.8 del plugin. A continuación, se detalla la información sobre esta vulnerabilidad. CVE-2024-8672 (CVSS 9.9): Vulnerabilidad en la funcionalidad de lógica de visualización «Inyección de Código«. La vulnerabilidad radicaba en la función “display logic” del plugin, la cual interactúa con varios creadores de páginas. Este mecanismo permitía a los usuarios introducir datos que luego eran procesados mediante la función eval() sin aplicar los filtros o controles de capacidad adecuados. Esto permitía que atacantes autenticados…
Vulnerabilidades en el daemon Tuned de Linux
Linux es un sistema operativo de código abierto ampliamente utilizado en servidores, dispositivos embebidos, supercomputadoras y, en menor medida, en computadoras personales. Recientemente, se han descubierto nuevas vulnerabilidades en herramientas clave del ecosistema Linux, como el daemon Tuned, utilizado para optimizar el rendimiento del sistema. Estas fallas podrían permitir a un atacante escalar privilegios o manipular el sistema, representando riesgos significativos para la seguridad de los usuarios. CVE Productos afectados Versiones afectadas Solución CVE-2024-52336 Red Hat Enterprise Linux 9 Versiones previas a 0:2.24.0-2.el9_5 Actualizar a la versión 2.24.1 CVE-2024-52337 Fast Datapath for RHEL 9Red Hat Enterprise Linux 8Fast Datapath for…