Vulnerabilidades

Se ha identificado una vulnerabilidad en SIMATIC HMI Comfort Outdoor Panels V15 7\" & 15\" (incluyendo las variantes SIPLUS) (Todas las versiones anteriores a V15.1 Update 6), SIMATIC HMI Comfort Outdoor Panels V16 7\" & 15\" (incluyendo las variantes SIPLUS) (Todas las versiones anteriores a V16 Update 4),…

Se ha identificado una vulnerabilidad en SIMATIC HMI Comfort Outdoor Panels V15 7\" & 15\" (incluyendo las variantes SIPLUS) (Todas las versiones anteriores a V15.1 Update 6), SIMATIC HMI Comfort Outdoor Panels V16 7\" & 15\" (incluyendo las variantes SIPLUS) (Todas las versiones anteriores a V16 Update 4),…

Se ha identificado una vulnerabilidad en SIMATIC HMI Comfort Outdoor Panels V15 7\" y 15\" (incluyendo las variantes SIPLUS) (Todas las versiones anteriores a V15.1 Update 6), SIMATIC HMI Comfort Outdoor Panels V16 7\" & 15\" (incluyendo las variantes SIPLUS) (Todas las versiones anteriores a V16 Update 4),…

Se ha identificado una vulnerabilidad en SIMATIC HMI Comfort Panels 1st Generation (incluyendo variantes SIPLUS) (Todas las versiones anteriores a V16 Update 4), SIMATIC HMI KTP Mobile Panels (Todas las versiones anteriores a V16 Update 4). Los paquetes especialmente diseñados enviados al puerto 161/udp pueden hacer…

La interfaz aapi/ZRIGMP/set_MLD_PROXY en China Mobile Lianbao WF-versión1 1.0.1 router, permite a atacantes remotos ejecutar comandos arbitrarios por medio de metacaracteres de shell en el parámetro MLD_PROXY_WAN_CONNECT

La interfaz api/ZRIptv/setIptvInfo en el router China Mobile Lianbao WF-1 versión 1.0.1, permite a atacantes remotos ejecutar comandos arbitrarios por medio de metacaracteres de shell en el parámetro iptv_vlan

La interfaz api/ZRIGMP/set_IGMP_PROXY en el router China Mobile Lianbao WF-1 versión 1.0.1, permite a atacantes remotos ejecutar comandos arbitrarios por medio de metacaracteres de shell en el parámetro IGMP_PROXY_WAN_CONNECT

La interfaz api/zrDm/set_ZRElink en el router China Mobile Lianbao WF-1 versión 1.0.1, permite a atacantes remotos ejecutar comandos arbitrarios por medio de metacaracteres de shell en los parámetros bssaddr, abiaddr, devtoken, devid, elinksync o elink_proc_enable

La interfaz api/ZRFirmware/set_time_zone en el router China Mobile Lianbao WF-1 versión 1.0.1, permite a atacantes remotos ejecutar comandos arbitrarios por medio de metacaracteres de shell en el parámetro zonename

La interfaz api/zrDm/set_zrDm en el router China Mobile Lianbao WF-1 versión 1.0.1, permite a atacantes remotos ejecutar comandos arbitrarios por medio de metacaracteres de shell en el parámetro dm_enable, AppKey o Pwd

La interfaz api/ZRAndlink/set_ZRAndlink en el router China Mobile Lianbao WF-1 versión 1.0.1, permite a atacantes remotos ejecutar comandos arbitrarios por medio de metacaracteres de shell en el parámetro iandlink_proc_enable

Una vulnerabilidad de inyección de comandos en China Mobile An Lianbao versión WF-1 1.01, por medio del parámetro "ip" con una petición POST para /api/ZRQos/set_online_client

MobileIron Mobile@Work hasta el 22 de marzo de 2021, permite a atacantes distinguir entre cuentas de usuario válidas, desactivadas e inexistentes al observar el número de intentos fallidos de inicio de sesión necesarios para producir un mensaje de error de bloqueo

** EN DISPUTA ** Los agentes de MobileIron hasta el 2021-03-22 para Android e iOS contienen una clave de cifrado codificada, utilizada para cifrar el envío de los detalles de nombre de usuario/contraseña durante el proceso de autenticación, tal y como demuestra Mobile@Work (también conocido como com.mobileiron). La…

The MobileIron agents through 2021-03-22 for Android and iOS contain a hardcoded API key, used to communicate with the MobileIron SaaS discovery API, as demonstrated by Mobile@Work (aka com.mobileiron). The key is in com/mobileiron/registration/RegisterActivity.java and can be used for api/v1/gateway/customers/servers…

Un servidor OpenSSL TLS puede cometer un fallo si un cliente envía un mensaje ClientHello de renegociación diseñado maliciosamente. Si una renegociación de TLSv1.2 ClientHello omite la extensión signature_algorithms (donde estaba presente en el ClientHello inicial), pero incluye una extensión…

La aplicación de Android Mifos-Mobile para MifosX es una aplicación de Android construida sobre la plataforma de autoservicio MifosX. Mifos-Mobile versiones anteriores al commit e505f62 deshabilita la comprobación del nombre de host HTTPS de su cliente HTTP. Además, aceptó como válido cualquier certificado…

** EN DISPUTA ** Genymotion Desktop versiones hasta 3.2.0, filtra los datos del portapapeles del host a la aplicación de Android por defecto. NOTA: la posición del proveedor es que este es un comportamiento previsto que se puede cambiar por medio de la pantalla Settings > Device

Se ha identificado una vulnerabilidad en SIMATIC HMI Comfort Panels (incl. Variantes SIPLUS) (Todas las versiones anteriores a V16 Update 3a), SIMATIC HMI KTP Mobile Panels (Todas las versiones anteriores a V16 Update 3a), SINAMICS GH150 (Todas las versiones), SINAMICS GL150 (con la opción X30) (Todas las versiones),…

Se ha encontrado un fallo en Keycloak Gatekeeper (Louketo). El punto final de cierre de sesión puede ser abusado para redireccionar a los usuarios conectados a páginas web arbitrarias. Versiones afectadas de Keycloak Gatekeeper (Louketo): 6.0.1, 7.0.0

Una vulnerabilidad en Cisco Connected Mobile Experiences (CMX), podría permitir a un atacante autenticado remoto sin privilegios administrativos alterar la contraseña de cualquier usuario en un sistema afectado. La vulnerabilidad es debido al manejo incorrecto de las comprobaciones de autorización para cambiar…

Una vulnerabilidad en autorizaciones de Cisco Connected Mobile Experiences (CMX) API, podría permitir a un atacante autenticado remoto enumerar qué usuarios existen en el sistema. La vulnerabilidad es debido a una falta de controles de autorización para determinadas peticiones GET de la API. Un atacante…

Al intentar conectar un sitio web usando un puerto que no responde, un atacante podría haber controlado el contenido de una pestaña mientras la barra de URL mostraba el dominio original. *Nota: este problema solo afecta a Firefox para Android. Otros sistemas operativos no están afectados.*. Esta…

Cuando una aplicación maliciosa instalada en el dispositivo del usuario transmitió un Intent a Firefox para Android, se podrían haber especificado encabezados arbitrarios, conllevando a ataques como abuso de autoridad ambiental o fijación de sesiones. Esto se resolvió permitiendo solo determinados encabezados en…

Se presenta una vulnerabilidad de elevación de privilegios local explotable en los permisos del sistema de archivos del directorio de instalación de Mobile-911 Server versión V2.5. Dependiendo del vector elegido, un atacante puede sobrescribir el ejecutable del servicio y ejecutar código arbitrario con…