Vulnerabilidad crítica en Santesoft PACS Server

Se ha identificado una vulnerabilidad de severidad crítica en el producto PACS Server de Santesoft, que podría permitir a un atacante ejecutar código arbitrario.

Recursos afectados:

PACS Server, versiones anteriores a 3.3.6.

Solución:

Actualizar PACS Server a la versión 3.3.6.

Múltiples vulnerabilidades en productos SMA

Se han publicado dos vulnerabilidades, una de severidad alta y otra media, que afectan a productos SMA. Estas vulnerabilidades podrían dar lugar a una ejecución de acciones no autorizadas por parte de un atacante, la manipulación de datos sensibles, el robo de información confidencial o la interrupción del funcionamiento normal de los dispositivos afectados.

Recursos afectados:

• SMA Cluster Controller, versión 01.05.01.R.
• Sunny Webbox, versiones 1.61 y anteriores.

Solución:

No hay solución reportada por el momento.

Vulnerabilidad en Delta Electronics CNCSoft-B DOPSoft

Delta Electronics ha notificado una vulnerabilidad de severidad alta en su producto CNCSoft-B DOPSoft. Su explotación podría permitir a un atacante realizar una ejecución remota de código.

Recursos afectados:

CNCSoft-B v1.0.0.4 DOPSoft, versiones anteriores a 4.0.0.82.

Solución:

Actualizar CNCSoft-B a la versión 1.0.0.4, que incluye la versión 4.0.0.94 de DOPSoft.

Múltiples vulnerabilidades en productos Sierra Wireless

Se han notificado 3 vulnerabilidades de severidad alta que afectan a una amplia gama de chipsets Qualcomm, empleados en varios dispositivos de comunicaciones de Sierra Wireless. Estos fallos podrían resultar en denegación de servicio, degradación de la conectividad 5G y bloqueo de la conectividad del módem 3GPP, lo que afectaría la funcionalidad de los dispositivos afectados.

Recursos afectados:

Todos los módulos y dispositivos EM9190, EM9191, EM9291 y EM9293.

Solución:

• Módulos EM929x: actualizar a la versión de firmware Release 2 (SWIX65C_02.15.01.00) o superiores.
• Módulos EM919x:
  • Actualizar a la versión de firmware Release 6 (SWIX55C_03.14.10.00) o superiores para corregir CVE-2023-33044 y CVE-2023-33042.
  • La versión de firmware Release 7 se publicará próximamente para solucionar CVE-2023-33043.

Vulnerabilidad crítica en productos Progress Software  

Se ha detectado una vulnerabilidad crítica en productos de Progress Software. Un atacante remoto, no autenticado, podría acceder al sistema a través de la interfaz de gestión LoadMaster, permitiendo la ejecución arbitraria de comandos del sistema.

Recursos afectados:

• LMOS (LoadMaster Operating System), versiones anteriores a:
  • 7.2.59.2
  • 7.2.54.8
  • 7.2.48.10
• Todas las versiones standalone de ECS Connection Manager (ECS CM).

Solución:

• LMOS, versiones:
  • 7.2.59.2
  • 7.2.54.8
  • 7.2.48.10
• ECS CM, versión 7.2.59.2

Vulnerabilidad en productos de B&R Automation

B&R Automation ha notificado una vulnerabilidad de severidad alta, cuya explotación podría permitir a un atacante acceder a datos confidenciales o insertar y ejecutar código arbitrario.

Recursos afectados:

• B&R Automation Studio, versiones anteriores a 4.6.
• B&R Technology Guarding, versiones anteriores a 1.4.0.

Solución:

La vulnerabilidad se ha solucionado en las siguientes versiones:

• B&R Automation Studio, versiones 4.6 y posteriores.
• B&R Technology Guarding,  versiones 1.4.0 y  posteriores .

Actualización – Múltiples vulnerabilidades que afectan a productos Zyxel

Zyxel ha lanzado parches de seguridad que corrigen múltiples vulnerabilidades que podrían permitir a un atacante provocar condiciones de denegación de servicio (DoS) y ejecutar comandos del sistema operativo o código no autorizado de forma remota.

Recursos afectados:

Firewalls afectados:

• ATP, versiones ZLD V4.32 a V5.37 Parche 1
• USG FLEX, versiones ZLD V4.50 a V5.37 Parche 1
• USG FLEX 50(W)/USG20(W)-VPN, versiones ZLD V4.16 a V5.37 Parche 1
• [Actualización 22/02/2024] USG FLEX H, versión uOS V1.10 a V1.10 Parche 1.

AP afectados:

• NWA50AX, versión 6.29 (ABYW.3) y anteriores
• NWA55AXE, versión 6.29(ABZL.3) y anteriores
• NWA90AX, versión 6.29(ACCV.3) y anteriores
• NWA110AX, versión 6.65(ABTG.1) y anteriores
• NWA210AX, versión 6.65(ABTD.1) y anteriores
• NWA220AX-6E, versión 6.65(ACCO.1) y anteriores
• NWA1123ACv3, versión 6.65(ABVT.1) y anteriores
• WAC500, versión 6.65(ABVS.1) y anteriores
• WAC500H, versión 6.65(ABWA.1) y anteriores
• WAX300H, versión 6.60(ACHF.1) y anteriores
• WAX510D, versión 6.65(ABTF.1) y anteriores
• WAX610D, versión 6.65(ABTE.1) y anteriores
• WAX620D-6E, versión 6.65(ACCN.1) y anteriores
• WAX630S, versión 6.65(ABZD.1) y anteriores
• WAX640S-6E, versión 6.65(ACCM.1) y anteriores
• WAX650S, versión 6.65(ABRM.1) y anteriores
• WAX655E, versión 6.65(ACDO.1) y anteriores
• WBE660S, versión 6.65(ACGG.1) y anteriores
• NWA50AX-PRO, versión 6.65(ACGE.1) y anteriores
• NWA90AX-PRO, versión 6.65(ACGF.1) y anteriores

Actualización 22/02/2024

• CERA300H, versión 6.60(ACHF.1) y anteriores
• CERA510D, versión 6.65(ABTF.1) y anteriores
• CERA610D, versión 6.65(ABTE.1) y anteriores
• CERA620D-6E, versión 6.65(ACCN.1) y anteriores
• CERA630S, versión 6.65(ABZD.1) y anteriores
• CERA640S-6E, versión 6.65(ACCM.1) y anteriores
• CERA650S, versión 6.65(ABRM.1) y anteriores
• CERA655E, versión 6.65(ACDO.1) y anteriores

Solución:

Se recomienda a los usuarios que instalen los parches para una protección óptima.

Para los firewalls afectados:

• ZLD V5.37 Parche 2

Para los AP afectados:

• NWA50AX: 6.29(ABYW.4)
• NWA55AXE: 6.29(ABZL.4)
• NWA90AX: 6.29(ACCV.4)
• NWA110AX: 6.70(ABTG.1)
• NWA210AX: 6.70(ABTD.1)
• NWA220AX-6E: 6.70(ACCO.1)
• NWA1123ACv3: 6.70(ABVT.1)
• WAC500: 6.70(ABVS.1)
• WAC500H: 6.70(ABWA.1)
• WAX300H: 6.70(ACHF.1)
• WAX510D: 6.70(ABTF.1)
• WAX610D: 6.70(ABTE.1)
• WAX620D-6E: 6.70(ACCN.1)
• WAX630S: 6.70(ABZD.1)
• WAX640S-6E: 6.70(ACCM.1)
• WAX650S: 6.70(ABRM.1)
• WAX655E: 6.70(ACDO.1)
• WBE660S: 6.70(ACGG.1)
• NWA50AX-PRO: la revisión está disponible bajo petición. Parche estándar 6.80 (ACGE.0) en julio de 2024.
• NWA90AX-PRO: la revisión está disponible bajo petición. Parche estándar 6.80 (ACGF.0) en julio de 2024.

Actualización 22/02/2024

• WAX300H: 6.70(ACHF.1)
• WAX510D: 6.70(ABTF.1)
• WAX610D: 6.70(ABTE.1)
• WAX620D-6E: 6.70(ACCN.1)
• WAX630S: 6.70(ABZD.1)
• WAX640S-6E: 6.70(ACCM.1)
• WAX650S: 6.70(ABRM.1)
• WAX655E: 6.70(ACDO.1)

Vulnerabilidades en Ignition de Inductive Automation

Se ha informado de dos vulnerabilidades de severidad alta que afectan a Ignition de Inductive Automation. Su explotación podría permitir a atacantes remotos, ejecutar código arbitrario en las instalaciones afectadas.

Recursos afectados:

Ignition

Solución:

Se recomienda actualizar a la versión 8.1.35 para solucionar estas vulnerabilidades.

Actualización – Múltiples vulnerabilidades en productos de Liferay

Liferay ha publicado varias vulnerabilidades de diferentes severidades, de las cuales 11 son de severidad crítica, que podrían permitir a un atacante inyectar secuencias de comandos de forma remota (XSS).

Recursos afectados:

• Liferay Portal:
  • 7.2.0 y 7.2.1
  • 7.3.0 a 7.3.7
  • 7.4.0 a 7.4.3.4
  • 7.4.0 a 7.4.2
  • 7.4.0 a 7.4.3.12
  • 7.4.0 a 7.4.3.38
  • 7.4.0 a 7.4.3.44
  • 7.4.0 a 7.4.3.97
  • 7.4.3.101
  • Versiones anteriores no compatibles.
• Liferay DXP:
  • 7.2 antes del fixpack 15, 17 y 19
  • 7.3 antes de la actualización 4, 11 y 34
  • 7.3 antes del service pack 3
  • 7.4 antes de la actualización 9, 38, 44, 92, 97
  • 7.4 (todas las versiones para CVE-2023-42496)
  • 2023.Q3 antes del parche 5 y 6
  • 2024.Q1 antes del parche 26266, 26269, 25147, 25152, 25601, 25602, 25603 y 25610
  • Versiones anteriores no compatibles

Solución:

• Portal Liferay:
  • 7.4.2
  • 7.4.3.4
  • 7.4.3.5
  • 7.4.3.13
  • 7.4.3.14
  • 7.4.3.38
  • 7.4.3.98
  • 7.4.3.102
• Liferay DXP:
  • 7.2 15
  • 7.2 17
  • 7.2 20
  • 7.3 paquete de servicio 3
  • 7.3 actualización 4, 11 o 34
  • 7.4 actualización 1, 9, 10, 38 o 92
  • 2023.Q3.5
  • 2023.Q3.6 

Múltiples vulnerabilidades en productos Weston Embedded y Silicon Labs

Se han reportado dos vulnerabilidades, de severidad crítica y alta, que afectan a productos de los fabricantes Weston Embedded y Silicon Labs. Su explotación podría permitir a un atacante ejecutar código.

Recursos afectados:

• Weston Embedded:
  • uC-TCP-IP, versión 3.06.01
  • uC-HTTP, commit 80d4004
• Silicon Labs Gecko Platform, versión 4.3.2.0

Solución:

• Habilitar la opción de configuración NET_ERR_CFG_ARG_CHK_DBG_EN en net_cfg.h Ex.
• Modificar el código dentro del propio uC-HTTP para actualizar correctamente el valor de p_conn->RxBufLenRem.

Múltiples vulnerabilidades en WS203VICM de Commend

Se han publicado tres vulnerabilidades, una de severidad crítica, una de severidad alta y una de severidad media, que afectan a WS203VICM de Commend. La explotación de estos fallos podría permitir a un atacante obtener información sensible o forzar el reinicio del sistema.

Recursos afectados:

WS203VICM, versiones 1.7 y anteriores.

Solución:

Commend ha creado una nueva versión de firmware WS-CM 2.0 para solucionar los dos primeros problemas.

Múltiples vulnerabilidades en Industrial Control Systems Network Protocol Parsers de CISA

Se han detectado tres vulnerabilidades, dos de severidad crítica y una media, en Industrial Control Systems Network Protocol Parsers de CISA, cuya explotación podría permitir a un atacante realizar una ejecución remota de código.

Recursos afectados.

Industrial Control Systems Network Protocol Parsers (ICSNPP) – Ethercat Zeek Plugin: versiones d78dda6 y anteriores.

Solución:

CISA recomienda que los usuarios actualicen Industrial Control Systems Network Protocol Parsers (ICSNPP) – Ethercat Zeek Plugin al commit 3bca34c o posterior.

Múltiples vulnerabilidades que afectan a productos Zyxel

Zyxel ha lanzado parches de seguridad que corrigen múltiples vulnerabilidades que podrían permitir a un atacante provocar condiciones de denegación de servicio (DoS) y ejecutar comandos del sistema operativo o código no autorizado de forma remota.

Recursos afectados:

Firewalls afectados:

• ATP, versiones ZLD V4.32 a V5.37 Parche 1
• USG FLEX, versiones ZLD V4.50 a V5.37 Parche 1
• USG FLEX 50(W)/USG20(W)-VPN, versiones ZLD V4.16 a V5.37 Parche 1

AP afectados:

• NWA50AX, versión 6.29 (ABYW.3) y anteriores
• NWA55AXE, versión 6.29(ABZL.3) y anteriores
• NWA90AX, versión 6.29(ACCV.3) y anteriores
• NWA110AX, versión 6.65(ABTG.1) y anteriores
• NWA210AX, versión 6.65(ABTD.1) y anteriores
• NWA220AX-6E, versión 6.65(ACCO.1) y anteriores
• NWA1123ACv3, versión 6.65(ABVT.1) y anteriores
• WAC500, versión 6.65(ABVS.1) y anteriores
• WAC500H, versión 6.65(ABWA.1) y anteriores
• WAX300H, versión 6.60(ACHF.1) y anteriores
• WAX510D, versión 6.65(ABTF.1) y anteriores
• WAX610D, versión 6.65(ABTE.1) y anteriores
• WAX620D-6E, versión 6.65(ACCN.1) y anteriores
• WAX630S, versión 6.65(ABZD.1) y anteriores
• WAX640S-6E, versión 6.65(ACCM.1) y anteriores
• WAX650S, versión 6.65(ABRM.1) y anteriores
• WAX655E, versión 6.65(ACDO.1) y anteriores
• WBE660S, versión 6.65(ACGG.1) y anteriores
• NWA50AX-PRO, versión 6.65(ACGE.1) y anteriores
• NWA90AX-PRO, versión 6.65(ACGF.1) y anteriores

Solución:

Se recomienda a los usuarios que instalen los parches para una protección óptima.

Para los firewalls afectados:

• ZLD V5.37 Parche 2

Para los AP afectados:

• NWA50AX: 6.29(ABYW.4)
• NWA55AXE: 6.29(ABZL.4)
• NWA90AX: 6.29(ACCV.4)
• NWA110AX: 6.70(ABTG.1)
• NWA210AX: 6.70(ABTD.1)
• NWA220AX-6E: 6.70(ACCO.1)
• NWA1123ACv3: 6.70(ABVT.1)
• WAC500: 6.70(ABVS.1)
• WAC500H: 6.70(ABWA.1)
• WAX300H: 6.70(ACHF.1)
• WAX510D: 6.70(ABTF.1)
• WAX610D: 6.70(ABTE.1)
• WAX620D-6E: 6.70(ACCN.1)
• WAX630S: 6.70(ABZD.1)
• WAX640S-6E: 6.70(ACCM.1)
• WAX650S: 6.70(ABRM.1)
• WAX655E: 6.70(ACDO.1)
• WBE660S: 6.70(ACGG.1)
• NWA50AX-PRO: la revisión está disponible bajo petición. Parche estándar 6.80 (ACGE.0) en julio de 2024.
• NWA90AX-PRO: la revisión está disponible bajo petición. Parche estándar 6.80 (ACGF.0) en julio de 2024.

Vulnerabilidad en Moodle

Se ha reportado una vulnerabilidad de severidad alta que afecta a Moodle. Las comprobaciones insuficientes del tamaño de los archivos provocan un riesgo de denegación de servicio en la funcionalidad de descompresión del selector de archivos.

Recursos afectados:

Las siguientes versiones de Moodle están afectadas:

• 4.3 a 4.3.2
• 4.2 a 4.2.5
• 4.1 a 4.1.8 y versiones anteriores sin soporte

Solución:

La vulnerabilidad ha sido solucionada en las siguientes versiones:

• 4.3.3
• 4.2.6
• 4.1.9

Vulnerabilidad crítica en productos Mitsubishi Electric

Se ha identificado una vulnerabilidad de severidad crítica que afecta a máquinas de descarga eléctrica de Mitsubishi Electric. El fallo, de ejecución remota de código (RCE), podría permitir que un atacante remoto ejecute código malicioso en el producto afectado mediante el envío de paquetes especialmente diseñados. Como resultado, el atacante podría revelar, manipular, destruir o borrar información en los productos, así como causar una condición de denegación de servicio (DoS) en los mismos.

Recursos afectados:

Todas las versiones y sistemas de productos de las series:

• Wire-cut EDM MV Series
• Wire-cut EDM MP Series
• Wire-cut EDM MX Series
• Sinker EDM SV-P Series
• Sinker EDM SG Series

Solución:

El fabricante recomienda instalar un programa de actualización que solucione esta vulnerabilidad en los sistemas afectados.

Múltiples vulnerabilidades en SolarWinds Access Rights Manager

Se han detectado tres vulnerabilidades de severidad crítica que afectan al producto de control de accesos Access Rights Manager (ARM), del fabricante SolarWinds. Un atacante remoto podría explotar estos fallos para ejecutar código, aprovechando fallos en la deserialización de datos no confiables o la limitación incorrecta de una ruta a un directorio restringido ( directory traversal).

Recursos afectados:

ARM, versiones 2023.2.2 y anteriores.

Solución:

Actualizar ARM a la versión 2023.2.3.

Vulnerabilidad en productos ADS-TEC Industrial IT

Se ha publicado una vulnerabilidad en productos ADS-TEC Industrial IT que podría permitir en el host el escape de un Docker al otorgar acceso al sistema de archivos, que un proceso Docker obtenga acceso al sistema de archivos y usarse para sobrescribir archivos binarios.

Recursos afectados:

• DVG-IRF1401, DVG-IRF1421: IRF1000, versión 1.6.9 y anteriores,
• DVG-IRF3401, DVG-IRF3421, DVG-IRF3801. DVG-IRF3821: IRF3000 versión 1.3.9 y anteriores.

Solución:

El problema se resuelve con IRF1000 versión 1.6.10 e IRF3000 versión 1.3.10.

Múltiples vulnerabilidades 0day en productos Autodesk

Se han detectado vulnerabilidades 0day que afectan a varios productos de Autodesk. Estos fallos podrían afectar a la memoria de los productos afectados, forzando una escritura fuera de límite, provocando desbordamiento o corrupción de los datos, realizando accesos de escritura no autorizados o referenciando a espacios ya liberados de la memoria. En caso de ser explotados con éxito, un atacante podría causar bloqueos, leer datos sensibles o ejecutar código arbitrario.

Recursos afectados:

Versiones 2024, 2023, 2022 y 2021 de:

• Autodesk AutoCAD
• Autodesk AutoCAD Architecture
•  Autodesk AutoCAD Electrical
• Autodesk AutoCAD Map 3D
• Autodesk AutoCAD Mechanical
• Autodesk AutoCAD MEP,
• Autodesk AutoCAD Plant 3D
• Autodesk AutoCAD LT
• Autodesk Civil 3D
• Autodesk Advance Steel

Solución:

Las correcciones para estas vulnerabilidades se publicarán en una próxima versión.  

Vulnerabilidad crítica en Rockwell Automation FactoryTalk Service Platform

Rockwell Automation ha informado sobre una vulnerabilidad de severidad crítica en su producto FactoryTalk Service Platform, cuya explotación podría permitir a un atacante con privilegios de grupo de usuarios básicos obtener privilegios de grupo de administrador.

Recursos afectados:

FactoryTalk Service Platform, versiones anteriores a 2.74.

Solución:

Actualizar FactoryTalk Service Platform a la versión 2.74 o posteriores.

Actualización – Múltiples vulnerabilidades en productos Ivanti

Se ha descubierto una nueva vulnerabilidad de severidad alta en productos Ivanti. Su explotación podría permitir a un atacante acceder a determinados recursos restringidos sin autenticación. Este fallo se suma a las dos vulnerabilidades identificadas anteriormente, una de severidad crítica y otra alta, que están siendo explotadas desde diciembre de 2023.

Recursos afectados:

• Ivanti Connect Secure (versiones 9.1R14.4, 9.1R17.2, 9.1R18.3, 22.4R2.2 y 22.5R1.1).
• Ivanti Policy Secure versión 22.5R1.1.
• ZTA versión 22.6R1.3.

Solución:

Ya está disponible un parche para los productos afectados. Se recomienda actualizar a las siguientes versiones:

• Ivanti Connect Secure: versiones 9.1R15.3, 9.1R16.3, 22.1R6.1, 22.2R4.1, 22.3R1.1 y 22.4R1.1.
• Ivanti Policy Secure: versiones 9.1R16.3, 22.4R1.1 y 22.6R1.1.

 Actualización – Vulnerabilidades en Microsoft

Se han detectado 73 vulnerabilidades en Microsoft. De ellas, 6 son de severidad crítica, 52 de severidad importante y el resto medias y bajas. Los fallos críticos publicados podrían producir problemas de denegación de servicio, elevación de privilegios, divulgación de información, ejecución remota de código y suplantación de identidad (spoofing).

Microsoft ha reportado la explotación activa de las vulnerabilidades CVE-2024-21410, CVE-2024-21412 y CVE-2024-21351, permitiendo a atacantes remotos ejecutar código arbitrario y eludir medidas de protección, comprometiendo la seguridad de los sistemas afectados.

Recursos afectados:

• .NET
• Azure Active Directory
• Azure Connected Machine Agent
• Azure DevOps
• Azure File Sync
• Azure Site Recovery
• Azure Stack
• Internet Shortcut Files
• Microsoft ActiveX
• Microsoft Azure Kubernetes Service
• Microsoft Defender for Endpoint
• Microsoft Dynamics
• Microsoft Edge (Chromium-based)
• Microsoft Exchange Server
• Microsoft Office
• Microsoft Office OneNote
• Microsoft Office Outlook
• Microsoft Office Word
• Microsoft Teams for Android
• Microsoft WDAC ODBC Driver
• Microsoft WDAC OLE DB provider for SQL
• Microsoft Windows
• Microsoft Windows DNS
• Role: DNS Server
• Skype for Business
• SQL Server
• Trusted Compute Base
• Windows Hyper-V
• Windows Internet Connection Sharing (ICS)
• Windows Kernel
• Windows LDAP – Lightweight Directory Access Protocol
• Windows Message Queuing
• Windows OLE
• Windows SmartScreen
• Windows USB Serial Driver
• Windows Win32K – ICOMP

Solución:

Instalar la actualización de seguridad correspondiente.

Múltiples vulnerabilidades en CMS Made Simple

Se han publicado 3 vulnerabilidades de severidad crítica (CVE-2024-1527, CVE-2024-1528 y CVE-2024-1529) que afectan a CMS Made Simple. Estos fallos podrían provocar la ejecución remota de comandos, así como la toma parcial del control de sesiones de navegador de usuarios autenticados, lo que podría conducir a acciones maliciosas como robo de datos o manipulación de contenido.

Recursos afectados:

CMS Made Simple, versión 2.2.14.

Solución:

No hay solución reportada por el momento.

Múltiples vulnerabilidades en BIND 9

ICS BIND ha publicado 6 vulnerabilidades de severidad alta que afectan a BIND 9. Un atacante podría explotar estas vulnerabilidades para provocar una denegación de servicio.

Recursos afectados:

• Versiones de BIND:
  • desde 9.0.0 hasta 9.16.46
  • desde 9.16.0 hasta 9.16.45
  • desde 9.12.0 hasta 9.16.45
  • desde 9.18.0 hasta 9.18.22
  • desde 9.19.0 hasta 9.19.20
• Versiones de BIND Supported Preview Edition:
  • desde 9.9.3-S1 hasta 9.16.46-S1
  • desde 9.16.8-S1 hasta 9.16.45-S1
  • desde 9.18.11-S1 hasta 9.18.22-S1

Solución:

• Versiones de BIND:
  • 9.16.48
  • 9.18.24
  • 9.19.21
• Versiones de BIND Supported Preview Edition:
  • 9.16.48-S1
  • 9.18.24-S1

Actualización de seguridad de SAP

Se han detectado 13 vulnerabilidades en SAP. De ellas, 1 es de severidad crítica, 5 de severidad alta y 6 medias. La vulnerabilidad de severidad crítica podría permitir a un atacante autenticado como usuario con autorización de ejecución remota, utilizar una interfaz vulnerable, permitiéndole utilizar la interfaz para invocar una función de la aplicación para realizar acciones que normalmente no se le permitiría realizar.

Recursos afectados:

• SAP ABA (Application Basis), versiones: 700, 701, 702, 731, 740, 750, 751, 752, 75C, 75I.
• SAP NetWeaver AS Java (User Admin Application), versión 7.50.
• SAP CRM WebClient UI, versiones: S4FND 102, S4FND 103, S4FND 104, S4FND 105, S4FND 106, S4FND 107, S4FND 108, WEBCUIF 700, WEBCUIF 701, WEBCUIF 730, WEBCUIF 731, WEBCUIF 746, WEBCUIF 747, WEBCUIF 748, WEBCUIF 800, WEBCUIF 801.
• IDES Systems, todas las versiones.

Solución:

Instalar las actualizaciones o los parches necesarios, según indique el fabricante.

 Vulnerabilidades en Microsoft

Se han detectado 73 vulnerabilidades en Microsoft. De ellas, 6 son de severidad crítica, 52 de severidad importante y el resto medias y bajas. Los fallos críticos publicados podrían producir problemas de denegación de servicio, elevación de privilegios, divulgación de información, ejecución remota de código y suplantación de identidad (spoofing).

Recursos afectados:

• .NET
• Azure Active Directory
• Azure Connected Machine Agent
• Azure DevOps
• Azure File Sync
• Azure Site Recovery
• Azure Stack
• Internet Shortcut Files
• Microsoft ActiveX
• Microsoft Azure Kubernetes Service
• Microsoft Defender for Endpoint
• Microsoft Dynamics
• Microsoft Edge (Chromium-based)
• Microsoft Exchange Server
• Microsoft Office
• Microsoft Office OneNote
• Microsoft Office Outlook
• Microsoft Office Word
• Microsoft Teams for Android
• Microsoft WDAC ODBC Driver
• Microsoft WDAC OLE DB provider for SQL
• Microsoft Windows
• Microsoft Windows DNS
• Role: DNS Server
• Skype for Business
• SQL Server
• Trusted Compute Base
• Windows Hyper-V
• Windows Internet Connection Sharing (ICS)
• Windows Kernel
• Windows LDAP – Lightweight Directory Access Protocol
• Windows Message Queuing
• Windows OLE
• Windows SmartScreen
• Windows USB Serial Driver
• Windows Win32K – ICOMP

Solución:

Instalar la actualización de seguridad correspondiente.

Múltiples vulnerabilidades en Adobe

Adobe ha publicado actualizaciones de seguridad que corrigen vulnerabilidades críticas, altas y medias. Su explotación podría provocar la ejecución de código arbitrario, la omisión de características de seguridad, la denegación de servicio de aplicaciones y la fuga de memoria.

Recursos afectados:

• Adobe Commerce, versiones 2.4.6-p3, 2.4.5-p5, 2.4.4-p6, 2.4.3-ext-5, 2.4.2-ext-5, 2.4.1-ext-5, 2.4.0-ext-5, 2.3.7-p4-ext-5 y anteriores.
• Magento Open Source, versiones 2.4.6-p3, 2.4.5-p5, 2.4.4-p6 y anteriores.
• Acrobat DC y Acrobat Reader DC, versiones 23.008.20470 y anteriores.
• Acrobat 2020 y Acrobat Reader 2020, versiones 20.005.30539 y anteriores.

Solución:

Se recomienda a los usuarios que actualicen sus instalaciones de software a las versiones más recientes.

Vulnerabilidades en Siemens

Siemens ha publicado 15 nuevos avisos de seguridad, recopilando un total de 278 vulnerabilidades de distintas severidades. Las vulnerabilidades de severidad crítica identificadas podrían producir problemas de exceso de lectura de búfer, inyección de código, desbordamiento de búfer de memoria heap, desbordamiento de búfer, error de validación de origen, escritura fuera de límites, inyección de código en una aplicación que analiza datos XML y control de acceso inadecuado. 

Recursos afectados:

• Simcenter Femap
• SIMATIC
• SIPLUS NET CP
• Unicam FX
• Location Intelligence Perpetual
• RUGGEDCOM APE
• SIMATIC RTLS Gateway
• SCALANCE
• OpenPCS
• Parasolid
• SINEC NMS
• Polarion ALM
• SIDIS Prime
• Tecnomatix Plant Simulation

Solución:

Las actualizaciones que corrigen las vulnerabilidades identificadas se pueden obtener desde el panel de descargas de Siemens.

Múltiples vulnerabilidades en productos Schneider Electric

Se han notificado 5 vulnerabilidades de severidad alta que afectan a varios productos de Schneider Electric, cuya explotación podría permitir acceso no autorizado al PLC, denegación de servicio, pérdida de confidencialidad e integridad del controlador, omisión de autenticación, modificación de la configuración del dispositivo o escalada de privilegios locales.

Recursos afectados:

• Modicon M340 CPU, versiones anteriores a 3.60.
• Modicon M580 CPU, versiones anteriores a 4.20.
• Modicon M580 CPU Safety, todas las versiones.
• EcoStruxure™ Control Expert, versiones anteriores a 16.0.
• EcoStruxure™ Process Expert, versiones anteriores a 2023.
• Harmony Control Relay RMNF22TB30 y Harmony Timer Relay RENF22R2MMW, todas las versiones.
• EcoStruxure IT Gateway, versiones 1.20.x y anteriores.

Solución:

Aplicar las medidas de mitigación y/o actualizar a las versiones correctoras.

Múltiples vulnerabilidades en productos HIMA

Se han publicado dos vulnerabilidades, una de severidad alta y otra media, en múltiples productos HIMA. Los fallos podrían permitir que un atacante remoto, no autenticado, utilice una vulnerabilidad de consumo de recursos incontrolado para DoS en los dispositivos afectados, a través de un tráfico excesivo en un único puerto Ethernet.

Recursos afectados:

• F30 03X YY (COM), todas las variantes de la versión 24.14 y anteriores.
• F30 03X YY (CPU), todas las variantes de la versión 18.6 y anteriores.
• F35 03X YY (COM), todas las variantes de la versión 24.14 y anteriores.
• F35 03X YY (CPU), todas las variantes de la versión 18.6 y anteriores.
• F60 CPU 03X YY (COM), todas las variantes de la versión 24.14 y anteriores.
• F60 CPU 03X YY (CPU) todas las variantes de la versión 18.6 y anteriores.
• F-COM 01,  versión 14.12 y anteriores.
• F-COM 01, versión 14.12 y anteriores.
• CPU F 01, versión 14.6 y anteriores.
• F-CPU 01, versión 14.6 y anteriores.
• X-COM 01 E YY, todas las variantes de la versión 15.14 y anteriores.
• X-COM 01 YY, todas las variantes de la versión 14.12 y anteriores.
• CPU X 01, versión 14.6 y anteriores.
• CPU X 31, versión 14.6 y anteriores.
• X-SB 01, versión 7.54 y anteriores.

Solución:

Se recomienda aplicar medidas de mitigación, como comprobar si la velocidad reducida sigue siendo suficiente para la aplicación deseada.

Actualización – Vulnerabilidades críticas en Fortinet

Fortinet advirtió sobre dos vulnerabilidades críticas (CVE-2024-21762 y CVE-2024-23113) que afectan a su sistema operativo FortiOS, cuya explotación podría permitir a un atacante ejecutar código o comandos no autorizados. En la última actualización, Fortinet ha ampliado la lista de productos afectados por estas dos vulnerabilidades en sus avisos.

Recursos afectados:

Las siguientes versiones de FortiOS:

• desde 7.4.0 hasta 7.4.2
• desde 7.2.0 hasta 7.2.6
• desde 7.0.0 hasta 7.0.13
• desde 6.4.0 hasta 6.4.14
• desde 6.2.0 hasta 6.2.15
• todas las versiones 6.0

Se han añadido los siguientes productos a la lista de afectados:

• FortiProxy:
  • desde 7.4.0 hasta 7.4.2
  • desde 7.2.0 hasta 7.2.8
  • desde 7.0.0 hasta 7.0.14
  • desde 2.0.0 hasta 2.0.13
  • todas las versiones 1.2
  • todas las versiones 1.1
  • todas las versiones 1.0
• FortiPAM:
  • 2.0
  • desde 1.1.0 hasta 1.1.2
  • todas las versiones 1.0
• FortiSwitchManager:
  • desde 7.2.0 hasta 7.2.3
  • desde 7.0.0 hasta 7.0.3

Solución:

• Si se está utilizando SSL VPN en FortiOS, Fortinet recomienda desactivar SSL VPN como workaround.
• Actualizar FortiOS a las siguientes versiones (o superiores):
  • 7.4.3
  • 7.2.7
  • 7.0.14
  • 6.4.15

Se han añadido las siguientes versiones correctoras a la lista de nuevos productos afectados:

• Actualizar FortiProxy a las siguientes versiones (o superiores):
  • 7.4.3
  • 7.2.9
  • 7.0.15
  • 2.0.14
• Actualizar FortiPAM a las siguientes versiones (o superiores):
  • 1.2.1
  • 1.1.3
• Actualizar FortiSwitchManager a las siguientes versiones (o superiores):
  • 7.2.4
  • 7.0.4

URGENTE – Vulnerabilidad crítica en FortiOS SSL VPN

Fortinet ha advertido sobre dos vulnerabilidades críticas (CVE-2024-21762 y CVE-2024-23113) que afectan a su sistema operativo FortiOS, cuya explotación podría permitir a un atacante ejecutar código o comandos no autorizados.

Recursos afectados:

Las siguientes versiones de FortiOS están afectadas:

• desde 7.4.0 hasta 7.4.2
• desde 7.2.0 hasta 7.2.6
• desde 7.0.0 hasta 7.0.13
• desde 6.4.0 hasta 6.4.14
• desde 6.2.0 hasta 6.2.15
• todas las versiones 6.0

Solución:

• En caso de no poder aplicar parches, se puede mitigar el riesgo desactivando SSL VPN en los dispositivos FortiOS.
• Actualizar FortiOS a las siguientes versiones (o superiores):
  • 7.4.3
  • 7.2.7
  • 7.0.14
  • 6.4.15
  • 6.2.16

Actualización – Múltiples vulnerabilidades en productos Ivanti

Se ha descubierto una nueva vulnerabilidad de severidad alta en productos Ivanti. Su explotación podría permitir a un atacante acceder a determinados recursos restringidos sin autenticación. Este fallo se suma a las dos vulnerabilidades identificadas anteriormente, una de severidad crítica y otra alta, que están siendo explotadas desde diciembre de 2023.

Recursos afectados:

•  Ivanti Connect Secure (versiones 9.1R14.4, 9.1R17.2, 9.1R18.3, 22.4R2.2 y 22.5R1.1).
• Ivanti Policy Secure versión 22.5R1.1.
• ZTA versión 22.6R1.3.

Solución:

Se recomienda actualizar a las siguientes versiones:

• Ivanti Connect Secure: versiones 9.1R14.5, 9.1R17.3, 9.1R18.4, 22.4R2.3, 22.5R1.2, 22.5R2.3 y 22. 6R2.2.
• Ivanti Policy Secure: versiones 9.1R17.3, 9.1R18.4 y 22.5R1.2.
• Pasarelas ZTA: versiones 22.5R1.6, 22.6R1.5 y 22.6R1.7.

Vulnerabilidad crítica en productos Liferay

Liferay ha publicado un aviso para informar de una vulnerabilidad crítica de tipo Cross-Site Scripting (XSS) que afecta a varios productos, cuya explotación podría permitir a usuarios remotos autenticados inyectar secuencias de comandos web o HTML arbitrarios en el resultado de búsqueda de la aplicación Search Result, si el resaltado está desactivado al añadir cualquier contenido que permita búsquedas a la aplicación.

Recursos afectados:

• Liferay Portal, versiones desde 7.4.0 hasta 7.4.3.11
• Liferay Portal, versiones desde 7.3.0 hasta 7.3.7
• Liferay Portal, versiones 7.2.0 y 7.2.1
• Liferay Portal, versiones antiguas sin soporte
• Liferay DXP, versiones 7.4 anteriores a la actualización 8
• Liferay DXP, versiones 7.3 anteriores a la actualización 4
• Liferay DXP, versiones 7.2 anteriores al fix pack 17;
• Liferay DXP, versiones antiguas sin soporte

Solución:

Actualizar los productos afectados a las siguientes versiones:

• Liferay Portal 7.4.3.12
• Liferay DXP 7.4 actualización 8
• Liferay DXP 7.3 actualización 4
• Liferay DXP 7.2 fix pack 17

Múltiples vulnerabilidades en Cisco Expressway

Cisco ha publicado 3 vulnerabilidades, 2 de severidad crítica y 1 alta, que podrían permitir a un atacante remoto, no autenticado, realice ataques de falsificación de solicitudes entre sitios (CSRF) y acciones arbitrarias en un dispositivo afectado.

Recursos afectados:

Dispositivos de la serie Cisco Expressway.

Solución:

Cisco ha publicado actualizaciones que abordan las vulnerabilidades

Múltiples vulnerabilidades en Monitool de Badger Meter

Se han notificado 4 vulnerabilidades, 1 de severidad crítica, 1 de severidad media y las otras 2 medias, en Monitool de Badger Meter. Estos fallos podrían causar problemas de inyección de SQL para acceder a la información de la base de datos, la exposición de información sensible, la recuperación de archivos del dispositivo y el robo parcial de sesiones de navegador a través de ataques de cross-site scripting.

Recursos afectados:

Monitool, versión 4.6.3

Solución:

Las vulnerabilidades han sido resueltas en la versión 4.7 y posteriores.

Vulnerabilidades en productos Veeam Recovery Orchestrator

Se han detectado dos vulnerabilidades, una de severidad alta y la otra media, en productos Veeam Recovery Orchestrator. Estos fallos podrían permitir a un ciberdelincuente obtener privilegios que podrían poner en riesgo la seguridad de la empresa.

Recursos afectados:

• Veeam Recovery Orchestrator 6
• Veeam Disaster Recovery Orchestrator 5
• Veeam Availability Orchestrator 4

Solución:

Se recomienda a los clientes actualizar a la versión más reciente del software.

Múltiples vulnerabilidades en FortiSIEM de Fortinet

Se han identificado 3 vulnerabilidades de severidad crítica que afectan al FortiSIEM de Fortinet. Su explotación podría permitir a un atacante remoto, no autenticado, ejecutar comandos no autorizados a través de solicitudes de API falsificadas.

Recursos afectados:

Las siguientes versiones de FortiSIEM:

• Desde 7.1.0 hasta 7.1.1
• Desde 7.0.0 hasta 7.0.2
• Desde 6.7.0 hasta 6.7.8
• Desde 6.6.0 hasta 6.6.3
• Desde 6.5.0 hasta 6.5.2
• Desde 6.4.0 hasta 6.4.2

Solución:

Actualizar FortiSIEM a las siguientes versiones (o superiores):

• 7.1.2
• 7.2.0
• 7.0.3
• 6.7.9
• 6.6.5
• 6.5.3
• 6.4.4

Vulnerabilidad crítica en TeamCity de JetBrains

JetBrains ha publicado una vulnerabilidad de severidad crítica que podría permitir a un atacante, no autenticado, con acceso HTTP(S) a un servidor TeamCity, eludir las comprobaciones de autenticación y obtener control administrativo.

Recursos afectados:

Todas las versiones locales de TeamCity, desde 2017.1 hasta 2023.11.2.

Solución:

La vulnerabilidad se ha solucionado en la versión 2023.11.3.

Vulnerabilidad crítica en B&R Automation

Se ha reportado una vulnerabilidad de severidad crítica en B&R Automation. Su explotación podría permitir a un atacante, no autenticado, ejecutar ataques de Man-in the-Middle (MITM), o descifrar las comunicaciones entre los productos afectados y otras partes.

Recursos afectados:

B&R Automation Runtime, versiones anteriores a I4.93.

Solución:

B&R recomienda actualizar los productos afectados a la última versión disponible de software.

Múltiples vulnerabilidades en productos de Pilz GmbH & Co. KG

Se han identificado 6 vulnerabilidades de severidad crítica que afectan a productos de Pilz GmbH & Co. KG, cuya explotación podría permitir a un atacante obtener el control total del sistema.

Recursos afectados:

• PIT gb RLLE y down ETH, versiones anteriores a 02.02.00.
• PIT gb RLLE y up ETH, versiones anteriores a 02.02.00.
• PITreader base unit (HR 01), versiones anteriores a 01.05.04.
• PITreader base unit (HR 02), versiones anteriores a 02.02.00.
• PITreader card unit, versiones anteriores a 02.02.00.
• PITreader S base unit, versiones anteriores a 02.02.00.
• PITreader S card unit, versiones anteriores a 02.02.00.

Solución:

Pilz recomienda instalar la última versión de firmware disponible.

Múltiples vulnerabilidades en HPE UOCAM

Se han identificado 17 vulnerabilidades, 7 de severidad crítica, y altas y el resto medias y bajas, en el producto Unified OSS Console Assurance Monitoring (UOCAM). En caso de que estos fallos sean explotados con éxito, podrían permitir la ejecución remota de código arbitrario, la denegación de servicio, la ejecución local de código arbitrario y la modificación arbitraria de archivos.

Recursos afectados:

HPE Unified OSS Console Assurance Monitoring (UOCAM), versiones anteriores a 3.1.1.

Solución:

Actualizar HPE UOCAM a la versión 3.1.1.

Vulnerabilidades en Android

En el boletín de seguridad lanzado por Android se solucionan varias vulnerabilidades, de severidad crítica y alta, que afectan a su sistema operativo, así como múltiples componentes, cuya explotación podría provocar una escalada de privilegios, una divulgación de información o una ejecución remota de código.

Recursos afectados:

• Android Open Source Project (AOSP): versiones 11, 12, 12L, 13 y 14.
• Componentes de Arm, MediaTek, Unisoc y Qualcomm.

Solución:

Actualizar los parches de seguridad publicados por el fabricante.

Múltiples vulnerabilidades en Canon

Se han detectado múltiples vulnerabilidades, de desbordamiento de búfer, en impresoras multifunción e impresoras láser para oficina Canon. Estos fallos podrían permitir a un ciberdelincuente ejecutar código arbitrario o provocar una condición de denegación de servicio (DoS).

Recursos afectados:

• imageCLASS MF Series: MF753CDW/MF751CDW, MF1333C
• imageCLASS LBP Series: LBP674CDW, LBP1333C

Solución:

Se recomienda actualizar el firmware a la última versión.

Múltiples vulnerabilidades en componentes de contenedores

Se han reportado 4 vulnerabilidades, dos de severidad crítica y las otras dos altas, que han recibido el apodo de Leaky Vessels. Las vulnerabilidades, que se han detectado en componentes centrales de la infraestructura de contenedores y que podrían permitir escapes de contenedores, podrían permitir a un ciberatacante utilizar estos escapes de contenedores para obtener acceso no autorizado al sistema operativo host subyacente desde el interior del contenedor.

Recursos afectados:

• runc, versiones 1.1.11 y anteriores
• BuildKit, versiones 0.12.4 y anteriores
• Moby (Docker Engine), versiones
  • 25.0.1 y anteriores
  • 24.0.8 y anteriores
• Docker Desktop, versiones 4.27.0 y anteriores

Solución:

Actualizar a las siguientes versiones:

• runc 1.1.12 y superiores.
• BuildKit 0.12.5 y superiores.
• Moby (Docker Engine):
  • 25.0.2 y superiores;
  • 24.0.9 y superiores.
• Docker Desktop 4.27.1 y superiores.

Múltiples vulnerabilidades en Http File Server de Rejetto

Se han identificado dos vulnerabilidades, de severidad alta y otra de severidad media, que afectan a Http File Server de Rejetto. Estas vulnerabilidades podrían permitir a un atacante controlar la respuesta y elaborar ataques como secuencias de comandos entre sitios y ataques de envenenamiento de caché, y crear una dirección URL personalizada y redirigir una página legítima a un sitio malicioso.

Recursos afectados:

Http File Server versión 2.2a, build #124.

Solución:

La vulnerabilidad ha sido solucionada en las versiones posteriores.

Múltiples vulnerabilidades en productos QNAP

Se han detectado múltiples vulnerabilidades que afectan a varios productos QNAP. En caso de que estos fallos sean explotados con éxito, podrían permitir a un atacante ejecutar comandos, leer o modificar recursos críticos o inyectar código malicioso a través de una red.

Recursos afectados:

• QTS: versión 5.1.4.2596 compilación 20231128, versión 5.1.5.2645 compilación 20240116 y versión 4.5.4.2627 compilación 20231225 y posteriores.
• QuTS hero: versión h5.1.4.2596 compilación 20231128, versión h5.1.5.2647 compilación 20240118 y versión h4.5.4.2626 compilación 20231225 y posteriores.
• QuTScloud: versión c5.1.5.2651 y posteriores.
• Qsync Central: versión 4.4.0.15 (04/01/2024), 4.3.0.11 (11/01/2024) y posteriores.

Solución:

QNAP recomienda actualizar a la última versión disponible.

URGENTE – AnyDesk comprometido tras un ciberataque

El fabricante de software de escritorio remoto AnyDesk ha comunicado que sufrió un ciberataque que ha comprometido sus sistemas de producción. En este sentido, ha confirmado el compromiso del código fuente y las certificaciones de firma de código.

Según la empresa alemana, este incidente fue descubierto tras una auditoría de seguridad y las autoridades pertinentes ya han sido notificadas. Además, aseguran haber tomado medidas drásticas para contener la brecha de seguridad

Solución:

Se recomienda encarecidamente a los usuarios de AnyDesk que instalen la última versión del software y que cambien sus contraseñas. Además, si su uso no es estrictamente necesario, es recomendable eliminarlo de forma preventiva, hasta conocer el alcance del ataque. 

Múltiples vulnerabilidades en LANTIME-Firmware de Meinberg

Meinberg ha notificado 16 vulnerabilidades, 3 de severidad alta, 6 medias y 7 bajas, que podrían provocar problemas de desbordamiento de búfer, divulgación de memoria y ataques con martillo de fila (row hammer).

Recursos afectados:

Todas las versiones de firmware LANTIME anteriores a la 7.08.007

Solución:

Actualizar a la versión más reciente de firmware LANTIME.

Vulnerabilidad en Aveva Edge

Aveva ha informado sobre una vulnerabilidad de severidad alta, cuya explotación podría permitir a un atacante ejecutar código arbitrario y escalar privilegios.

Recursos afectados:

Aveva Edge 2020 R2 SP2 y versiones anteriores.

Solución:

Aveva recomienda actualizar a AvevaEdge 2023 o AvevaEdge 2020 R2 SP2 P01 lo antes posible.

Múltiples vulnerabilidades en Linux

Se han descubierto 4 vulnerabilidades que afectan a la librería GNU C de Linux. Un atacante sin privilegios podría obtener acceso root en varias de las principales distribuciones de Linux, en configuraciones predeterminadas, mediante una escalada de privilegios local.

Recursos afectados:

Las versiones 2.36 y 2.37 de la librería glibc son vulnerables y se han confirmado las siguientes distribuciones de Linux afectadas:

• Debian, versiones 12 y 13
• Ubuntu, versiones 23.04 y 23.10
• Fedora, versiones desde 37 hasta 39

Solución:

Actualizar glibc a versiones posteriores a las afectadas.

Múltiples vulnerabilidades en JSA de Juniper

Juniper ha publicado su informe que contiene 20 vulnerabilidades, dos de ellas de severidad crítica. Los fallos críticos (CVE-2023-37920 y CVE-2021-4048) podrían comprometer la seguridad de los certificados raíz de ‘e-Tugra’, afectando la integridad de las comunicaciones, y causar bloqueos en aplicaciones o exponer partes de memoria, facilitando acceso no autorizado a información sensible.

Recursos afectados:

Juniper Networks Juniper Secure Analytics (JSA):

• Log Collector, versión v1.8.4 y anteriores
• SOAR Plugin App versión 5.3.1 y anteriores
• Deployment Intelligence App, versión 3.0.12 y anteriores
• User Behavior Analytics Application add-on, versión 4.1.14 y anteriores

Solución:

Las siguientes versiones del software se han actualizado para resolver estos problemas específicos:

• Disconnected Log Collector v1.8.4
• SOAR Plugin App v5.3.1
• Intelligence App v3.0.12
• Behavior Analytics v4.1.14

Múltiples vulnerabilidades en productos Rockwell Automation

Rockwell Automation ha informado de 17 vulnerabilidades, 1 de severidad crítica, 13 de severidad alta y 3 de severidad media, que afectan a varios de sus productos. La explotación de estos fallos podría permitir a un atacante realizar una denegación de servicio (DoS) que bloquease el dispositivo, obtener información del usuario, modificar la configuración sin autenticación, sobrescribir la memoria o ejecutar código remoto.

Recursos afectados:

• ControlLogix 5570 y GuardLogix 5570, versión de firmware 20.011
• ControlLogix 5570 redundant, versión de firmware 20.054_kit1
• FactoryTalk Service Platform, versiones anteriores a 6.4
• LP30 Operator Panel, LP40 Operator Pane, LP50 Operator Panel y BM40 Operator Panel, versiones anteriores a 3.5.19.0

Solución:

Actualizar los productos afectados a las versiones correctoras.

Múltiples vulnerabilidades en DVR de Hitron Systems

Se ha informado de 6 vulnerabilidades de severidad alta que afectan a DVR de Hitron Systems, cuya explotación podría permitir que un atacante afecte la disponibilidad del producto mediante la explotación de una vulnerabilidad de validación de entrada incorrecta y credenciales predeterminadas.

Recursos afectados:  

• DVR HVR-4781: versiones 1.03 a 4.02
• DVR HVR-8781: versiones 1.03 a 4.02
• DVR HVR-16781: versiones 1.03 a 4.02
• DVR LGUVR-4H: versiones 1.02 a 4.02
• DVR LGUVR-8H: versiones 1.02 a 4.02
• DVR LGUVR-16H: versiones 1.02 a 4.02

Solución:

• DVR HVR-4781: versión 4.03
• DVR HVR-8781: versión 4.03
• DVR HVR-16781: versión 4.03
• DVR LGUVR-4H: versión 4.03
• DVR LGUVR-8H: versión 4.03
• DVR LGUVR-16H: versión 4.03

Múltiples vulnerabilidades en productos de Emerson

Se han reportado cuatro vulnerabilidades, una de severidad crítica, otra de severidad alta y dos medias, en productos de Emerson. Su explotación podría permitir a un atacante, no autenticado con acceso a la red ejecutar comandos arbitrarios, acceder a información sensible, causar una condición de denegación de servicio y saltarse la autenticación para adquirir capacidades de administrador.

Recursos afectados:

• GC370XA, versión 4.1.5
• GC700XA, versión 4.1.5
• GC1500XA, versión 4.1.5

Solución:

Emerson recomienda a los usuarios finales que actualicen el firmware de los productos afectados.

by