Vulnerabilidades

Vulnerabilidad en los componentes Java SE y Java SE Embedded de Oracle Java SE (subcomponente: Hotspot). Las versiones compatibles que se han visto afectadas son Java SE: 6u161, 7u151, 8u144 y 9; Java SE Embedded: 8u144. Una vulnerabilidad fácilmente explotable permite que un atacante sin autenticar que tenga acceso a…

Vulnerabilidad en los componentes Java SE, Java SE Embedded y JRockit de Oracle Java SE (subcomponente: Serialization). Las versiones compatibles que se han visto afectadas son Java SE: 6u161, 7u151, 8u144 y 9; Java SE Embedded: 8u144; JRockit: R28.3.15. Una vulnerabilidad difícilmente explotable permite que un…

Vulnerabilidad en el componente MySQL Server en Oracle MySQL (subcomponente: Server: InnoDB). Las versiones compatibles que se han visto afectadas son la 5.7.19 y anteriores. Una vulnerabilidad fácilmente explotable permite que un atacante con un alto nivel de privilegios que tenga acceso a red por medio de múltiples…

Vulnerabilidad en el componente Java SE de Oracle Java SE (subcomponente: Deployment). Las versiones compatibles que se han visto afectadas son Java SE: 8u144 y 9. Una vulnerabilidad fácilmente explotable permite que un atacante sin autenticar que tenga acceso a red por medio de múltiples protocolos comprometa la…

Vulnerabilidad en los componentes Java SE, Java SE Embedded y JRockit de Oracle Java SE (subcomponente: Networking). Las versiones compatibles que se han visto afectadas son Java SE: 6u161, 7u151, 8u144 y 9; Java SE Embedded: 8u144; JRockit: R28.3.15. Una vulnerabilidad difícilmente explotable permite que un atacante…

Vulnerabilidad en el componente Java SE de Oracle Java SE (subcomponente: Javadoc). Las versiones compatibles que se han visto afectadas son Java SE: 6u161, 7u151, 8u144 y 9. Una vulnerabilidad fácilmente explotable permite que un atacante sin autenticar que tenga acceso a red por HTTP comprometa la seguridad de Java…

Vulnerabilidad en el componente MySQL Server en Oracle MySQL (subcomponente: Server: InnoDB). Las versiones compatibles que se han visto afectadas son la 5.6.37 y anteriores, y la 5.7.19 y anteriores. Una vulnerabilidad difícilmente explotable permite que un atacante con un alto nivel de privilegios que tenga acceso a…

Vulnerabilidad en los componentes Java SE y Java SE Embedded de Oracle Java SE (subcomponente: RMI). Las versiones compatibles que se han visto afectadas son Java SE: 6u161, 7u151, 8u144 y 9; Java SE Embedded: 8u144. Una vulnerabilidad fácilmente explotable permite que un atacante sin autenticar que tenga acceso a red…

Vulnerabilidad en los componentes Java SE, Java SE Embedded y JRockit de Oracle Java SE (subcomponente: Serialization). Las versiones compatibles que se han visto afectadas son Java SE: 6u161, 7u151, 8u144 y 9; Java SE Embedded: 8u144; JRockit: R28.3.15. Una vulnerabilidad fácilmente explotable permite que un atacante…

Vulnerabilidad en el componente Java SE de Oracle Java SE (subcomponente: Smart Card IO). Las versiones compatibles que se han visto afectadas son Java SE: 6u161, 7u151, 8u144 y 9. Una vulnerabilidad difícilmente explotable permite que un atacante sin autenticar que tenga acceso a red por múltiples protocolos…

Vulnerabilidad en el componente MySQL Server en Oracle MySQL (subcomponente: Server: Replication). Las versiones compatibles que se han visto afectadas son la 5.5.57 y anteriores, 5.6.37 y anteriores, y la 5.7.19 y anteriores. Una vulnerabilidad difícilmente explotable permite que un atacante con un alto nivel de…

Despliegues de TIBCO Managed File Transfer Command Center en versiones 8.0.0 y 8.0.1 y TIBCO Managed File Transfer Internet Server en versiones 8.0.0 y 8.0.1 que habilitan el servicio administrador se pueden ver afectados por una vulnerabilidad que puede permitir a cualquier usuario autenticado obtener control…

Apache Struts en versiones 2.x anteriores a la 2.3.29 permite que atacantes remotos ejecuten código arbitrario mediante una secuencia "%{}" en un atributo de etiqueta. Esto también se conoce como evaluación OGNL doble forzada. NOTA: Esta vulnerabilidad existe debido a una solución incompleta para CVE-2016-0785.

Al ejecutar Apache Tomcat desde la versión 9.0.0.M1 hasta la 9.0.0, desde la 8.5.0 hasta la 8.5.22, desde la 8.0.0.RC1 hasta la 8.0.46 y desde la 7.0.0 hasta la 7.0.81 con los HTTP PUT habilitados (por ejemplo, configurando el parámetro de inicialización de solo lectura del servlet Default a "false"), es posible subir…

Cuando se ejecuta Apache Tomcat en sus versiones 7.0.0 a 7.0.79 en Windows con HTTP PUT habilitado (por ejemplo, estableciendo el parámetro de inicialización de solo lectura del Default en "false") fue posible subir un archivo JSP al servidor mediante una petición especialmente manipulada. Este archivo JSP podría ser…

El Plugin REST en Apache Struts versiones 2.1.1 hasta 2.3.x anteriores a 2.3.34 y versiones 2.5.x anteriores a 2.5.13, usa una XStreamHandler con una instancia de XStream para deserialización sin ningún filtrado de tipos, lo que puede conllevar a una ejecución de código remota cuando se deserializan cargas XML.

NetApp OnCommand Unified Manager para Clustered Data ONTAP en versiones anteriores a la 7.2P1 no establece la marca segura para una cookie sin especificar en una sesión HTTPS, lo que facilita que atacantes remotos capturen esta cookie interceptando su transmisión en una sesión HTTP.

Una aplicación web maliciosa en Apache Tomcat 9.0.0.M1 a 9.0.0.M9, 8.5.0 a 8.5.4, 8.0.0.RC1 a 8.0.36, 7.0.0 a 7.0.70, y 6.0.0 a 6.0.45 era capaz de eludir un SecurityManager configurado mediante la manipulación de los parámetros de configuración para el Servlet JSP.

La implementación ResourceLinkFactory en Apache Tomcat 9.0.0.M1 a 9.0.0.M9, 8.5.0 a 8.5.4, 8.0.0.RC1 a 8.0.36, 7.0.0 a 7.0.70 a 6.0.0 a 6.0.45 no limitaba el acceso de las aplicaciones web a recursos globales JNDI a aquellos relacionados explícitamente con la aplicación web. Por lo tanto, era posible que una…

Cuando se configura un SecurityManager, la capacidad de una aplicación web de leer las propiedades del sistema debería estar controlada por SecurityManager. En Apache Tomcat 9.0.0.M1 a 9.0.0.M9, 8.5.0 a 8.5.4, 8.0.0.RC1 a 8.0.36, 7.0.0 a 7.0.70, 6.0.0 a 6.0.45 la funcionalidad de reemplazo de propiedades del sistema…

En Apache Tomcat 9.0.0.M1 a 9.0.0.M9, 8.5.0 a 8.5.4, 8.0.0.RC1 a 8.0.36, 7.0.0 a 7.0.70, y 6.0.0 a 6.0.45 una aplicación web maliciosa era capaz de omitir un SecurityManager configurado mediante un método utility Tomcat accesible para las aplicaciones web.

Las implementaciones Realm en Apache Tomcat versiones 9.0.0.M1 a 9.0.0.M9, 8.5.0 a 8.5.4, 8.0.0.RC1 a 8.0.36, 7.0.0 a 7.0.70, y 6.0.0 a 6.0.45 no procesaban la contraseña proporcionada si el nombre de usuario proporcionado no existía. Esto hizo posible la realización de un ataque basado en tiempo para determinar…

Vulnerabilidad en los componentes Java SE, Java SE Embedded y JRockit de Oracle Java SE (subcomponente: JAX-WS). Las versiones compatibles que se han visto afectadas son JavaSE: 6u151, 7u141 y 8u131; Java SE Embedded: 8u131; JRockit: R28.3.14. Una vulnerabilidad fácilmente explotable permite que un atacante sin…

Vulnerabilidad en los componentes Java SE, Java SE Embedded y JRockit de Oracle Java SE (subcomponente: Security). Las versiones compatibles que se han visto afectadas son JavaSE: 6u151, 7u141 y 8u131; Java SE Embedded: 8u131; JRockit: R28.3.14. Una vulnerabilidad difícilmente explotable permite que un atacante sin…

Vulnerabilidad en los componentes Java SE y Java SE Embedded de Oracle Java SE (subcomponente: Security). Las versiones compatibles que se han visto afectadas son Java SE: 6u151, 7u141 y 8u131; Java SE Embedded: 8u131. Una vulnerabilidad difícilmente explotable permite que un atacante sin autenticar que tenga acceso a…