Vulnerabilidades

Una vulnerabilidad de Cross-Site Scripting (XSS) Reflejado en el componente Web Reports de HCL BigFix Platform posiblemente pueda permitir que un atacante ejecute código javascript malicioso en la sesión de la aplicación o en la base de datos, mediante inyección remota, mientras representa contenido en una página web.

HCL BigFix ServiceNow es vulnerable a la inyección de código arbitrario. Un atacante malicioso autorizado podría inyectar código arbitrario y ejecutarlo dentro del contexto del usuario que lo ejecuta.

Las etiquetas faltantes o inseguras en HCL BigFix Bare OSD Metal Server WebUI versión 311.19 o anterior podrían permitir a un atacante ejecutar un script malicioso en el navegador del usuario.

HCL BigFix Bare OSD Metal Server WebUI versión 311.19 o anterior tiene etiquetas faltantes o inseguras que podrían permitir a un atacante ejecutar un script malicioso en el navegador del usuario.

HCL BigFix Bare OSD Metal Server WebUI versión 311.19 o inferior a veces puede incluir información confidencial en una cadena de consulta que podría permitir a un atacante ejecutar un ataque malicioso.

Vulnerabilidad de Cross-Site Scripting (XSS) almacenado no autenticada identificada en BigFix Server versión 9.5.12.68, lo que permite una posible filtración de datos. Esta vulnerabilidad XSS se encuentra en el Gather Status Report, que proporciona BigFix Relay.

Vulnerabilidad de Cross-Site Scripting (XSS) almacenado no autenticada. Esta vulnerabilidad XSS se encuentra en Download Status Report, que proporciona BigFix Server.

Debido a esta vulnerabilidad, el operador maestro podría potencialmente incorporar una etiqueta SVG en HTML, lo que generaría una ventana emergente de alerta que muestra una cookie. Para mitigar las vulnerabilidades XSS almacenadas, una medida preventiva implica sanitizar y validar minuciosamente todas las entradas…

Un desbordamiento de enteros de xerces-c++ 3.2.3 en BigFix Platform permite a atacantes remotos provocar acceso fuera de límites a través de una solicitud HTTP.

El fixlet de BigFix Insights/IVR utiliza un manejo de credenciales inadecuado dentro de determinado contenido del fixlet. Un atacante puede obtener acceso a información que no está explícitamente autorizada.

BigFix Insights for Vulnerability Remediation (IVR) utiliza criptografía débil que puede provocar la exposición de las credenciales. Un atacante podría obtener acceso a información confidencial, modificar datos de formas inesperadas, etc.

Ciertas credenciales dentro de los complementos de BigFix Patch Management Download se almacenan de forma no segura y podrían quedar expuestas a un usuario local privilegiado.

HCL BigFix Mobile es vulnerable a ataques de tipo Cross-Site Scripting. Un atacante autenticado podría inyectar scripts maliciosos en la aplicación.

HCL BigFix Mobile es vulnerable a ataques de inyección de comandos. Un atacante autenticado podría ejecutar comandos shell arbitrarios en el servidor WebUI.

Una vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en la interfaz de distribución de software de la WebUI de BigFix, en la versión 44 y anteriores, permite a un atacante NMO acceder a archivos de los sistemas del lado del servidor (la máquina servidor y todas las que están en su red).

La interfaz web de BigFix utiliza conjuntos de cifrado débiles.

Redirección de URL en la página de inicio de sesión de HCL BigFix WebUI que permite a un usuario malintencionado redirigir el navegador del cliente a un sitio externo mediante la cabecera de respuesta de redirección (redirect URL).

Validación insuficiente en la aplicación de API de la interfaz web (WebUI) de Bigfix, en sitios con versión anterior a 14, permite a un usuario autenticado de la interfaz web emitir consultas SQL mediante una consulta SQL sin parametrizar.

Un problema de permisos en el sitio de BigFix WebUI Insights versión 14 permite a un operador autenticado y sin privilegios acceder a una página de administrador.

Vulnerabilidad de inyección de cabecera Host en HCL BigFix OSD Bare Metal Server en versiones 311.12 o inferiores que permite a un atacante proporcionar entradas no válidas para provocar que OSD Bare Metal Server realice una redirección a un dominio controlado por el atacante.

El servidor Bare Metal de OSD utiliza un algoritmo criptográfico que ya no se considera suficientemente seguro.

Una vulnerabilidad de clickjacking en HCL BigFix OSD Bare Metal Server versión 311.12 o inferior permite a un atacante utilizar capas transparentes u opacas para engañar a un usuario y hacer que haga clic en un botón o enlace de otra página, con el fin de realizar una redirección a un dominio controlado por el…

Las contraseñas de interfaz de usuario de configuración y administrador de HCL BigFix Mobile/Modern Client Management se pueden forzar por fuerza bruta. El usuario debe ser bloqueado por múltiples intentos no válidos.

Los despliegues de BigFix que han instalado el servicio de notificación en Windows son susceptibles de revelar datos confidenciales del operador SMTP de BigFix en texto plano. Los operadores que utilizan contenido relacionado con el Servicio de notificaciones de BES Support corren el riesgo de dejar expuestos sus…

Insights for Vulnerability Remediation (IVR) es vulnerable a una validación de entrada incorrecta. Esto puede dar lugar a la divulgación de información. Esto requiere acceso privilegiado.