Vulnerabilidades

La aplicación financial-plus-mobile-banking/id731070564 versión 3.0.3 para iOS, no comprueba los certificados X.509 de los servidores SSL, lo que permite a los atacantes en el medio falsificar los servidores y obtener información confidencial por medio de un certificado especialmente diseñado.

Se ha descubierto un problema de falta de autorización en Rockwell Automation PanelView Plus 6 700-1500 6.00.04, 6.00.05, 6.00.42, 6.00-20140306, 6.10.20121012, 6.10-20140122, 7.00-20121012, 7.00-20130108, 7.00-20130325, 7.00-20130619, 7.00-20140128, 7.00-20140310, 7.00-20140429, 7.00-20140621, 7.00-20140729,…

Se descubrió un problema en los dispositivos OnePlus One y X. Debido a un script de actualización en las imágenes OTA de OnePlus One y X. El hecho de que ambos productos usen las mismas claves de verificación OTA y el hecho de que ambos productos comparten la misma propiedad del sistema 'ro.build.product', los…

Se descubrió un problema en los dispositivos OnePlus One, X, 2, 3 y 3T. Debido a un script de actualización en las imágenes OTA de OnePlus, y el hecho de que ambas ROM utilicen las mismas claves de verificación OTA. Los atacantes pueden instalar HydrogenOS sobre OxygenOS y viceversa, incluso en cargadores de arranque…

Se detectó un problema en los dispositivos OnePlus versiones One, X, 2, 3 y 3T. OxygenOS e HydrogenOS son vulnerables a ataques de degradación. Esto se debe a un "updater-script" indulgente en OTAs que no comprueba que la versión actual sea inferior o igual a la de la imagen en cuestión. Las degradaciones pueden…

Un problema fue descubierto en dispositivos OnePlus como el 3T. El actualizador OTA OnePlus pasa la imagen OTA firmada a través de HTTP sin TLS. Aunque no se permite las instalaciones OTA arbitrarias (debido a la firma digital), aumenta innecesariamente la superficie de ataque y permite la explotación remota de otras…

ProSAFE Plus Configuration Utility anterior a 2.3.29 permite a los atacantes remotos evitar la restricción de acceso y cambiar las configuraciones del conmutador a través de peticiones SOAP.

Vulnerabilidad en OxygenOS en versiones anteriores a la 4.0.3, en OnePlus 3 y 3T, a través de la cual un atacante podría bloquear el gestor de arranque para descargar parcialmente el contenido de cifrado de una partición arbitraria (a excepción de ‘keystore’) a través del comando fastboot 'fastboot oem dump '.

Vulnerabilidad en el componente SQL*Plus de Oracle Database Server. Versiones compatibles que son afectadas son 11.2.0.4 y 12.1.0.2. Vulnerabilidad dificil de explotar permite que atacante con privilegios altos tenga privilegios de inicio de sesión local con el inicio de sesión en la infraestructura donde SQL*Plus se…

Coordinate Plus App para Android 1.0.2 y versiones anteriores y Coordinate Plus App para iOS 1.0.2 y versiones anteriores no verifican certificados SSL.

ZOHO ManageEngine ServiceDesk Plus en versiones anteriores a 9.2 utiliza un método inseguro para generar cookies, lo que facilita a los atacantes la obtención de información confidencial de contraseñas aprovechando el acceso a una cookie.

ZOHO ManageEngine ServiceDesk Plus en versiones anteriores a 9.0 permite que los usuarios invitados autenticados remotos tengan un impacto no especificado al aprovechar el fallo para restringir el acceso a funciones desconocidas.

Vulnerabilidad XSS en ZOHO ManageEngine ServiceDesk Plus en versiones anteriores a 9.2 permite a atacantes remotos inyectar secuencias de comandos web o HTML a través de vectores no especificados.

aacplusenc.c en HE-AAC+ Codec (también conocido como libaacplus) 2.0.2 tiene un fallo de aserción, lo que podrían permitir a atacantes remotos provocar una denegación de servicio (caída de la aplicación) o posiblemente tener otro impacto no especificado a través de un archivo de audio manipulado.

au_channel.h en HE-AAC+ Codec (también conocido como libaacplus) 2.0.2 tiene un problema de comportamiento de desplazamiento a la izquierda no definido, lo que podrían permitir a atacantes remotos provocar una denegación de servicio (caída de la aplicación) o posiblemente tener otro impacto no especificado a través de…

au_channel.h en HE-AAC+ Codec (también conocido como libaacplus) 2.0.2 tiene un desbordamiento de entero con signo, lo que podrían permitir a atacantes remotos provocar una denegación de servicio (caída de la aplicación) o posiblemente tener otro impacto no especificado a través de un archivo de audio manipulado.

Los teléfonos Huawei Honor 6, Honor 6 Plus, Honor 7 con versiones de software anteriores a 6.9.16 podrían permitir a atacantes deshabilitar el mecanismo de defensa PXN invocando el código de unidad relacionada para bloquear el sistema o escalar privilegio.

El controlador de vídeo en teléfonos Huawei P9 con versiones de software anteriores a EVA-AL10C00B192 y teléfonos Huawei Honor 6 con versiones de software anteriores a H60-L02_6.10.1 tiene una vulnerabilidad de desbordamiento de pila, lo que permite a atacantes bloquear el sistema o escalar el privilegio del usuario.

El controlador de pantalla táctil en teléfonos Huawei P9 con versiones de software anteriores a EVA-AL10C00B192 y teléfonos Huawei Honor 6 con versiones de software anteriores a H60-L02_6.10.1 tiene una vulnerabilidad de desbordamiento de memoria dinámica, lo que permite a atacantes bloquear el sistema o escalar el…

El controlador de video en teléfonos Huawei P9 con versiones de software anteriores a EVA-AL10C00B192 y teléfonos Huawei Honor 6 con versiones de software anteriores a H60-L02_6.10.1 tiene una vulnerabilidad de desbordamiento de pila, lo que permite a atacantes bloquear el sistema o escalar el privilegio del usuario.

Dispositivos Trango Apex <= 2.1.1, ApexLynx < 2.0, ApexOrion < 2.0, ApexPlus <= 3.2.0, Giga <= 2.6.1, GigaLynx < 2.0, GigaOrion < 2.0, GigaPlus <= 3.2.3, GigaPro <= 1.4.1, StrataLink < 3.0 y StrataPro tienen incorporada, una cuenta root oculta, con una contraseña predeterminada que se almacenó una vez en texto plano…

Con OxygenOS en versiones anteriores a 4.0.3, cuando un cargador está conectado a un dispositivo OnePlus 3 o 3T apagado, la plataforma comienza con adbd habilitado. Por tanto, un cargador malicioso o un atacante físico puede abrir, sin autorización, una sesión ADB con el dispositivo, con el fin de seguir explotando…

Vulnerabilidad de inyección de código en Bitdefender Total Security 12.0 (y versiones anteriores), Internet Security 12.0 (y versiones anteriores) y Antivirus Plus 12.0 (y versiones anteriores) permite a un atacante local evitar un mecanismo de autoprotección, inyectar código arbitrario, y tomar el control total de…

Se descubrió un problema en OxygenOS en versiones anteriores a 4.1.0 en dispositivos OnePlus 3 y 3T. El atacante puede cambiar el modo de arranque del dispositivo emitiendo el comando 'bootboom oem boot_mode {rf/wlan/ftm/normal}' en contradicción con el modelo de amenaza de Android donde el gestor de arranque NO DEBE…

Vulnerabilidad de ejecución de comandos arbitrarios en Intel Security McAfee Security Scan Plus (SSP) 3.11.469 y versiones anteriores permite a usuarios autenticados obtener privilegios elevados a través de vectores no especificados.