Vulnerabilidades

Vulnerabilidad no especificada en Citrix CloudPortal Services Manager (aka Cortex) 10.0 anterior a Cumulative Update 3 tiene un impacto y vectores de ataque desconocidos, una vulnerabilidad diferente a CVEs enumeradas en CTX137162.

Red Hat CloudForms Management Engine v5.1 permite a administradores remotos ejecutar código Ruby arbitrario a través de vectores no especificados.

Múltiples vulnerabilidades XSS en Apache CloudStack 4.1.1, permite a atacantes remotos inyectar secuencias de comandos web o HTML arbitrarias a través de (1) un nombre físico de red mediante el asistente de zona, (2) un nombre nuevo de red, (3) un nombre de instancia o (4) grupo en el asistente de instancias; (5)…

Múltiples vulnerabilidades de XSS en actionscript/Jplayer.as en el componente Flash SWF (jplayer.swf) en jPlayer en versiones anteriores a 2.2.20, como se utiliza en ownCloud Server en versiones anteriores a 5.0.4 y otros productos, permiten a atacantes remotos inyectar secuencias de comandos web o HTML arbitrarios a…

La función extract_from_ocr en lib/docsplit/text_extractor.rb en el Karteek Docsplit (karteek-docsplit) v0.5.4 para Ruby permite a atacantes dependientes de contexto para ejecutar comandos arbitrarios vía metacaracteres de shell en un nombre de archivo PDF.

Aeolus Configuration Server, como se usaba en Hat CloudForms Cloud Engine anterior a v1.1.2, usa permisos de lectura para todos en /var/log/aeolus-configserver/configserver.log, lo que permite que usuario locales lean contraseñas en texto plano mediante la lectura de un fichero de log.

aeolus-configserver-setup en el Aeolas Configuration Server, como se usaba en Red Hat CloudForms Cloud Engine anterior a v1.1.2, usa permisos de lectura para todos en un fichero temporal en /tmp, lo que permite que usuarios locales lean credenciales mediante la lectura de dicho fichero.

La gema ldap_fluff para Ruby, tal y como se emplea en Red Hat CloudForms 1.1, cuando se emplea Active Directory para la autenticación, permite que atacantes remotos omitan la autenticación mediante vectores sin especificar.

La interfaz nsAPI de Cisco Cloud Portal v9.1 SP1 y SP2, y v9.3 hasta v9.3.2, no comprueba de forma correcta los privilegios, lo que permite a usuarios autenticados de forma remota conseguir información por URL manuales, alias Bug ID CSCud81134.

Vulnerabilidad no especificada en Jenkins en versiones anteriores a 1.498, Jenkins LTS en versiones anteriores a 1.480.2 y Jenkins Enterprise 1.447.x en versiones anteriores a 1.447.6.1 y 1.466.x en versiones anteriores a 1.466.12.1, cuando se conecta un esclavo y el acceso de lectura anónima está habilitado, permite…

Vulnerabilidad de XSS en Jenkins en versiones anteriores a 1.491, Jenkins LTS en versiones anteriores a 1.480.1 y Jenkins Enterprise 1.424.x en versiones anteriores a 1.424.6.13, 1.447.x en versiones anteriores a 1.447.4.1 y 1.466.x en versiones anteriores a 1.466.10.1 permite a usuarios remotos autenticados con…

Vulnerabilidad de redirección abierta en Jenkins en versiones anteriores a 1.491, Jenkins LTS en versiones anteriores a 1.480.1 y Jenkins Enterprise 1.424.x en versiones anteriores a 1.424.6.13, 1.447.x en versiones anteriores a 1.447.4.1 y 1.466.x en versiones anteriores a 1.466.10.1 permite a atacantes remotos…

Vulnerabilidad de inyección CRLF en Jenkins en versiones anteriores a 1.491, Jenkins LTS en versiones anteriores a 1.480.1 y Jenkins Enterprise 1.424.x en versiones anteriores a 1.424.6.13, 1.447.x en versiones anteriores a 1.447.4.1 y 1.466.x en versiones anteriores a 1.466.10.1 permite a atacantes remotos inyectar…

Vulnerabilidad no especificada en el applicance físico y virtual IBM WebSphere Cast Iron v6.0 y v6.1 anterior a v6.1.0.15 y v6.3 anterior a v6.3.0.1, cuando la autenticación LDAP está habilitada, permitiendo a atacantes remotos obtener información sensible, modoficar datos o causar una denegación de servicio mediante…

Vulnerabilidad de ejecución de comandos en sitios cruzados (XSS) en IBM Maximo Asset Management v7.5, Maximo Asset Management Essentials v7.5, y SmartCloud Control Desk v7.5 que permite a usuarios remotos autenticados inyectar secuencias de comandos web o HTML a través de vectores relacionados con un identificador de…

IBM Maximo Asset Management v7.5, Maximo Asset Management Essentials v7.5, y v7.5 SmartCloud Control Desk permite a usuarios remotos autenticados obtener privilegios y eludir las restricciones destinadas a las operaciones de búsqueda de activos a través de vectores no especificados.

IBM Maximo Asset Management 7.5, Maximo Asset Management Essentials 7.5, y SmartCloud Control Desk 7.5 permite a usuarios remotos autenticados para obtener privilegios a través de vectores relacionados con una operación de importación.

IBM Maximo Asset Management 6.2 a 7.5, Maximo Asset Management Essentials 6.2 a 7.5, Tivoli Asset Management for IT 6.2 a 7.2, Tivoli Service Request 7,1 y 7,2, Maximo Service Desk 6.2, Change and Configuration Management Database (CCMDB) 7.1 and 7.2, y SmartCloud Control Desk 7.5, permiten a usuarios remotos…

Vulnerabilidad de ejecución de secuencias de comandos en sitios cruzados (XSS) en IBM Maximo Asset Management v6.2 hasta v7.5, Maximo Asset Management Essentials v6.2 hasta v7.5, Tivoli Asset Management for IT v6.2 hasta v7.2, Tivoli Service Request Manager v7.1 y v7.2, Maximo Service Desk v6.2, Change and…

Vulnerabilidad XSS en IBM Maximo Asset Management v6.2 a la v7.5, Maximo Asset Management Essentials v6.2 a la v7.5, Tivoli Asset Management para IT v6.2 a la v7.2, Tivoli Service Request Manager v7.1 y v7.2, Maximo Service Desk v6.2, Change y Configuration Management Database (CCMDB) v7.1 y v7.2, y SmartCloud Control…

IBM SmartCloud Control Desk v7.5, permite a usuarios autenticados remotamente evitar las restricciones de acceso implementadas a través de vectores que involucran a la caducidad de la contraseña.

Vulnerabilidad XSS en Tivoli Process Automation Engine (TPAE) en IBM Maximo Asset Management v6.2 a la v7.5, Maximo Asset Management Essentials v6.2 a la v7.5, Tivoli Asset Management para IT v6.2 a la v7.2, Tivoli Service Request Manager v7.1 a la v7.2, Maximo Service Desk v6.2, Change y Configuration Management…

CloudStack Apache v4.0.0-incubación y Citrix CloudPlatform (anteriormente Citrix CloudStack ) anterior a v3.0.6 almacena información sensible en el archivo de registro log4j.conf, lo que permite a usuarios locales obtener (1) la clave privada SSH registradas por la API createSSHKeyPair, (2) la contraseña de un host…

Dispositivos Cisco Adaptive Security Appliances (ASA) con firmware v8.4 no valida correctamente entradas no especificadas relacionados con los nombres de ruta UNC, permitiendo a usuarios remotos autenticados provocar una denegación de servicio (caída de dispositivo) a través de vectores desconocidos, ID de error alias…

Dispositivos Cisco Adaptive Security Appliances (ASA) con firmware v8.x hasta v8.4(1) no gestiona correctamente sesiones SSH, permitiendo a usuarios remotos autenticados provocar una denegación de servicio (caída de dispositivo) establecinedo múltiples sesiones, tambien conocido como Bug ID CSCtc59462.