Vulnerabilidades

HCL BigFix Mobile 3.3 y versiones anteriores son vulnerables a ciertas directivas inseguras dentro de la Política de Seguridad de Contenido (CSP). Un atacante podría engañar a los usuarios para que realicen acciones al no restringir adecuadamente las fuentes de scripts y otro contenido.

HCL BigFix Modern Client Management (MCM) 3.3 y versiones anteriores son vulnerables a ciertas directivas inseguras dentro de la Política de Seguridad de Contenido (CSP). Un atacante podría engañar a los usuarios para que realicen acciones al no restringir adecuadamente las fuentes de scripts y otro contenido.

HCL BigFix Mobile 3.3 y versiones anteriores está afectado por un control de acceso inadecuado. Usuarios no autorizados pueden acceder a un pequeño subconjunto de acciones de punto final, lo que podría permitir el acceso a funciones internas seleccionadas.

HCL BigFix Gestión Moderna de Clientes (MCM) 3.3 y versiones anteriores se ve afectado por un control de acceso inadecuado. Usuarios no autorizados pueden acceder a un pequeño subconjunto de acciones de endpoint, lo que podría permitir el acceso a funciones internas seleccionadas.

Al utilizar una plataforma multi-blade con más de un blade, un tráfico no revelado puede provocar la terminación del Traffic Management Microkernel (TMM). Nota: las versiones de software que han alcanzado el final del soporte técnico (EoTS) no se evalúan.

Cuando se configura IPsec en el sistema BIG-IP, un tráfico no divulgado puede provocar que el microkernel de gestión de tráfico (TMM) finalice. Nota: no se evalúan las versiones de software que han alcanzado el fin del soporte técnico (EoTS).

Cuando se configura una caché DNS en un servidor virtual de BIG-IP o de BIG-IP Next CNF, las consultas DNS no divulgadas pueden provocar un aumento en la utilización de los recursos de memoria. Nota: las versiones de software que han alcanzado el final del soporte técnico (EoTS) no se evalúan.

Cuando BIG-IP Advanced WAF está configurado en un servidor virtual con protección contra falsificación de peticiones en el lado del servidor (SSRF), o cuando un servidor NGINX está configurado con App Protect Bot Defense, las peticiones no divulgadas pueden interrumpir nuevas peticiones de clientes. Nota: no se…

Cuando se configura un perfil de clasificación en un servidor virtual sin un perfil HTTP o HTTP/2, las solicitudes no divulgadas pueden provocar la terminación del Traffic Management Microkernel (TMM). Nota: no se evalúan las versiones de software que han alcanzado el final del soporte técnico (EoTS).

Cuando se configura en un servidor virtual un perfil TCP con Multipath TCP (MPTCP) habilitado, el tráfico no revelado junto con condiciones fuera del control del atacante puede provocar la terminación del Microkernel de Gestión de Tráfico (TMM). Nota: No se evalúan las versiones de software que han alcanzado el final…

Cuando se configura en un servidor virtual un iRule que contiene el comando HTTP::respond, determinadas solicitudes no divulgadas pueden provocar un aumento en la utilización de recursos de memoria. Nota: las versiones de software que han alcanzado el final del soporte técnico (EoTS) no son evaluadas.

Cuando una política de seguridad BIG IP Advanced WAF o ASM está configurada en un servidor virtual, las solicitudes no reveladas pueden causar que el proceso bd termine. Nota: Las versiones de software que han alcanzado el Fin del Soporte Técnico (EoTS) no se evalúan.

Una vulnerabilidad de cross-site scripting (XSS) reflejada existe en una página no revelada de BIG-IP APM que permite a un atacante ejecutar JavaScript en el contexto del usuario objetivo que ha cerrado sesión. Nota: Las versiones de software que han alcanzado el Fin del Soporte Técnico (EoTS) no se evalúan.

Una potencial vulnerabilidad de desreferencia de puntero nulo fue reportada en el Controlador de administración de energía de Lenovo que podría permitir a un usuario local autenticado causar un error de pantalla azul de Windows.

Una posible vulnerabilidad fue reportada en PC Manager que podría permitir a un usuario local autenticado ejecutar código con privilegios elevados.

Una potencial vulnerabilidad de secuestro de DLL fue descubierta en el Lenovo PC Manager durante una evaluación de seguridad interna que podría permitir a un usuario local autenticado ejecutar código con privilegios elevados.

Cuando se configura una política por solicitud en un servidor virtual de acceso a portal BIG-IP APM, el tráfico no revelado puede causar que el Microkernel de Gestión de Tráfico (TMM) termine. Nota: Las versiones de software que han alcanzado el Fin de Soporte Técnico (EoTS) no se evalúan.

Una vulnerabilidad existe en el comando iHealth que puede permitir a un atacante autenticado con al menos un rol de administrador de recursos eludir las restricciones de tmsh y obtener acceso a un shell bash. Para los sistemas BIG-IP que se ejecutan en modo Appliance, un exploit exitoso puede permitir al atacante…

El tráfico no revelado puede causar que el Microkernel de Gestión de Tráfico (TMM) termine. Este problema puede ocurrir cuando un servidor virtual de Datagram Transport Layer Security (DTLS) 1.2 está habilitado con un perfil SSL de servidor que está configurado con un certificado, clave y el SSL Sign Hash establecido…

Cuando una política de seguridad de BIG-IP Advanced WAF o ASM está configurada con una URL de más de 1024 caracteres de longitud para la configuración de Aplicación de Protección de Data Guard, ya sea manualmente o a través del Policy Builder automático, el proceso bd puede terminar repetidamente. Nota: Las versiones…

Una vulnerabilidad de validación existe en una URL no revelada en la utilidad de Configuración. Nota: Las versiones de software que han alcanzado el Fin de Soporte Técnico (EoTS) no se evalúan.

Una vulnerabilidad existe en un comando no revelado de iControl REST y BIG-IP TMOS Shell (tmsh) que puede permitir a un atacante autenticado con al menos el rol de administrador de recursos ejecutar comandos de sistema arbitrarios con privilegios más altos. Un exploit exitoso puede permitir al atacante cruzar un…

Cuando un perfil de protección de denegación de servicio (DoS) de BIG-IP AFM está configurado en un servidor virtual, las solicitudes no divulgadas pueden causar la terminación del proceso Traffic Management Microkernel (TMM). Nota: Las versiones de software que han alcanzado el Fin de Soporte Técnico (EoTS) no se…

Una vulnerabilidad de cross-site scripting (XSS) almacenado existe en una página no revelada de la utilidad de configuración de BIG-IP que permite a un atacante ejecutar JavaScript en el contexto del usuario actualmente conectado. Nota: Las versiones de software que han alcanzado el fin del soporte técnico (EoTS) no…

En el sistema BIG-IP, puntos finales no revelados que contienen información estática no sensible son accesibles para un atacante remoto no autenticado a través de la utilidad de Configuración. Nota: Las versiones de software que han alcanzado el Fin del Soporte Técnico (EoTS) no son evaluadas.