Vulnerabilidades

Se detectó un problema de diseño en GetInternetRequestHandle, InternetSendRequestEx e InternetSendRequestByBitrate en el lado del cliente de Zoho ManageEngine Desktop Central 10.0.552.W y Remote Access Plus antes de 10.1.2119.1. Aprovechando este problema, un servidor controlado por un atacante puede forzar al cliente…

Se detectó un problema en Zoho Application Control Plus versiones anteriores a 10.0.511. La funcionalidad Element Configuration (para configurar elementos incluidos en el alcance de los elementos gestionados por el producto) permite a un atacante recuperar la lista completa de los rangos de IP y subredes…

Se detectó un problema de tipo SSRF en Zoho Application Control Plus versiones anteriores a 10.0.511. La funcionalidad mail gateway configuration permite a un atacante llevar a cabo un escaneo para detectar puertos abiertos en una máquina, así como máquinas disponibles en el segmento de red en el que se…

El módulo GINA/CP personalizado en Zoho ManageEngine ADSelfService Plus versiones anteriores a 5.5 build 5517, permite a atacantes remotos ejecutar código y escalar privilegios mediante una suplantación de identidad. No autentica el servidor deseado antes de abrir una ventana del navegador. Un atacante no…

IBM Maximo Asset Management versiones 7.6.0 y 7.6.1, podrían permitir a un atacante remoto conducir ataques de phishing usando un ataque de tabnabbing. Al persuadir a una víctima de visitar un sitio web especialmente diseñado, un atacante remoto podría explotar esta vulnerabilidad para redireccionar a un usuario…

IBM Spectrum Protect Plus versiones 10.1.0 hasta 10.1.6, podría permitir a un atacante remoto saltar directorios en el sistema. Un atacante podría enviar una petición de URL especialmente diseñada que contenga secuencias de "dot dot" (/../) para visualizar archivos arbitrarios en el sistema. IBM X-Force ID: 187501

IBM Spectrum Protect Plus versiones 10.1.0 hasta 10.1.6, la Consola Administrativa podría permitir a un atacante autenticado cargar archivos arbitrarios que podrían ejecutar código arbitrario en el servidor vulnerable. Esta vulnerabilidad es debido a una corrección incompleta para CVE-2020-4470. IBM X-Force…

Se detectó un problema en Zoho ManageEngine Exchange Reporter Plus antes del número de compilación 5510, AD360 antes del número de compilación 4228, ADSelfService Plus antes del número de compilación 5817, DataSecurity Plus antes del número de compilación 6033, RecoverManager Plus antes del número de compilación 6017,…

Se presenta una vulnerabilidad de elevación de privilegios en ManageEngine ADSelfService Plus antes del build 6003, porque no aplica apropiadamente los privilegios de usuario asociados con un cuadro de diálogo del Certificado. Esta vulnerabilidad podría permitir a un atacante no autenticado escalar privilegios sobre…

Se detectó un problema en Swisscom Internet Box 2, Internet Box Standard, Internet Box Plus versiones anteriores a 10.04.38, Internet Box 3 versiones anteriores a 11.01.20 e Internet Box light versiones anteriores a 08.06.06. Dadas las credenciales (configurables por el usuario) para la interfaz Web local o el acceso…

Los archivos del agente de IBM Spectrum Protect Plus versiones 10.1.0 hasta 10.1.6, en configuraciones no predeterminadas, en Windows se presenta un acceso asignado a todos con permisos de control total, lo que podría permitir a un usuario local causar una interrupción de las operaciones del servicio. IBM X-Force ID:…

Una vulnerabilidad de denegación de servicio Fanuc i Series CNC (0i-MD y 0i Mate-MD) podría permitir a un atacante remoto no autenticado causar que un CNC afectado sea inaccesible para otros dispositivos.

ChangXiang 8 Plus con versiones anteriores a 9.1.0.136(C00E121R1P6T8), presenta una vulnerabilidad de denegación de servicio. El dispositivo no maneja apropiadamente determinados mensajes de una estación base, un atacante podría diseñar una estación base falsa para iniciar el ataque. Una explotación con éxito podría…

Reportexpress ProPlus, contiene una vulnerabilidad que podría permitir una ejecución de un código arbitraria mediante un VBscript insertando en el archivo de configuración (rxp)

IBM Spectrum Protect Plus versiones 10.1.0 hasta 10.1.5, podría permitir a un atacante obtener información confidencial debido a comunicaciones no seguras que son usadas entre la aplicación y el servidor. IBM X-Force ID: 183935

IBM Spectrum Protect Plus versiones 10.1.0 hasta 10.1.5, divulga información altamente confidencial en texto plano en el archivo de registro virgo que podría ser usado en futuros ataques contra el sistema. IBM X-Force ID: 181779

IBM Spectrum Protect Plus versiones 10.1.0 hasta 10.1.5, podría permitir a un atacante no autenticado causar una denegación de servicio o secuestrar sesiones DNS mediante el envío de un comando HTTP especialmente diseñado hacia el servidor remoto. IBM X-Force ID: 181726

La Consola Administrativa de IBM Spectrum Protect Plus versiones 10.1.0 hasta 10.1.5, podría permitir a un atacante autenticado cargar archivos arbitrarios que podrían estar ejecutando código arbitrario en el servidor vulnerable. IBM X-Force ID: 181724

IBM Spectrum Protect Plus versiones 10.1.0 hasta 10.1.5, podría permitir a un atacante remoto ejecutar código arbitrario en el sistema. Al usar un comando HTTP especialmente diseñado, un atacante podría explotar esta vulnerabilidad para ejecutar comandos arbitrarios en el sistema. Esta vulnerabilidad es debido a una…

IBM Spectrum Protect Plus versiones 10.1.0 hasta 10.1.5, contiene credenciales embebidas, tales como una contraseña o clave criptográfica, que es usada para su propia autenticación entrante, comunicación saliente hacia componentes externos o cifrado de datos internos. IBM X-Force ID: 175066

Zoho ManageEngine ServiceDesk Plus versiones anteriores a 11.1, build 11115, permite a atacantes remotos no autenticados cambiar el estado de instalación de los agentes desplegados

En el archivo support.c en pam_tacplus versiones 1.3.8 hasta 1.5.1, el secreto compartido TACACS+ es registrado por medio de syslog si el nivel de registro DEBUG y journald son usados

Zoho ManageEngine Service Plus versiones anteriores a 11.1 build 11112, permite a usuarios autenticados con pocos privilegios detectar la contraseña de File Protection mediante una llamada de getFileProtectionSettings a AjaxServlet.

Se detectó un problema en e6y prboom-plus versión 2.5.1.5. Se presenta desbordamiento del búfer en el código del cliente y del servidor responsable del manejo de los paquetes UDP recibidos, como es demostrado por las funciones I_SendPacket o I_SendPacketTo en el archivo i_network.c.

Las instalaciones predeterminadas de Zoho ManageEngine ServiceDesk Plus versiones 10.0 anteriores a 10500, son vulnerables un ataque de tipo XSS inyectado por un administrador local de la estación de trabajo. Usando los nombres de los programas instalados de la computadora como un vector, el administrador local puede…