CVE-2024-45588

CVE-2024-45588

Título es
CVE-2024-45588

Mar, 03/09/2024 – 11:15

Tipo
CWE-863

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-45588

Descripción en
This vulnerability exists in Symphony XTS Web Trading platform version 2.0.0.1_P160 due to improper access controls on APIs in the Preference module of the application. An authenticated remote attacker could exploit this vulnerability by manipulating parameters through HTTP request which could lead to unauthorized access and modification of sensitive information belonging to other users.

03/09/2024
03/09/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

CVE-2024-41718

CVE-2024-41718

Título es
CVE-2024-41718

Mar, 03/09/2024 – 11:15

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-41718

Descripción en
Rejected reason: ** REJECT ** DO NOT USE THIS CVE ID. ConsultIDs: CVE-2024-39771. Reason: This CVE ID is a reservation duplicate of CVE-2024-39771. Notes: All CVE users should reference CVE-2024-39771 instead of this CVE ID. All references and descriptions in this CVE ID have been removed to prevent accidental usage.

03/09/2024
03/09/2024
Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
Pendiente de análisis

Enviar en el boletín
Off

El servicio de transporte de Londres sufre un ciberataque

Transport for London (TFL), el organismo rector del transporte de superficie, metro y tranvía londinense, ha sido víctima de un ciberataque, que por el momento no parece haber tenido ningún impacto negativo en su actividad. “Actualmente estamos lidiando con un incidente de seguridad cibernética en curso, en este momento, no hay evidencia de que los datos de los clientes se hayan visto comprometidos y no ha habido ningún impacto en los servicios de TFL”, se lee en un comunicado publicado en la web oficial de TFL.

Al parecer, el ataque afectaría sobre todo a los sistemas de trastienda del proveedor de transporte en su sede central. Motivo por el cual, según BBC, se ha pedido a los empleados que trabajen desde casa temporalmente. Para evitar que el transporte se paralice y que los autores del ataque roben los datos sensibles de los usuarios, la compañía alertó a las autoridades pertinentes, incluida la Agencia Nacional contra el Crimen (NCA, por sus siglas en inglés) y el Centro Nacional de Ciberseguridad (NCSC), con las que está investigando el asunto. «La seguridad de nuestros sistemas y de la información de nuestros clientes es muy importante para nosotros y hemos tomado medidas inmediatas para evitar cualquier otro acceso a nuestros sistemas», indica el proveedor de transporte británico.

Sangre de donantes en bolsas
Un ciberataque en Londres amenaza la seguridad de las transfusiones de sangre

Un ransomware ha bloqueado los sistemas de transfusión de las instalaciones de la capital inglesa.

Preparación ante otro ataque

La repentina acción para preservar la seguridad del servicio también fue confirmada por el director de tecnología de TFL, Shashi Verma: «Hemos introducido una serie de medidas en nuestros sistemas internos para hacer frente a un incidente de ciberseguridad en curso». En resumen, todo parece estar bajo control, al menos de momento. La empresa está preparada para hacer frente a cualquier secuela de este ataque, y promete avisar a los londinenses en cuanto se resuelva.

Aunque la comunicación del TFL con lo usuarios fue rápida, especialmente en una ciudad como Londres, surgieron las dudas sobre qué sucedería si los sistemas informáticos del servicio de trasporte se volvieran locos. De suceder, el problema acecharía a los más de 8 millones de residentes de la capital británica.

Artículo originalmente publicado en WIRED Italia. Adaptado por Alondra Flores.

CVE-2024-37136

CVE-2024-37136

Título es
CVE-2024-37136

Mar, 03/09/2024 – 06:15

Tipo
CWE-359

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-37136

Descripción es
Dell Path to PowerProtect, versiones 1.1 y 1.2, contiene una vulnerabilidad de exposición de información personal privada a un agente no autorizado. Un atacante remoto con privilegios elevados podría aprovechar esta vulnerabilidad, lo que provocaría la exposición de información.

Descripción en
Dell Path to PowerProtect, versions 1.1, 1.2, contains an Exposure of Private Personal Information to an Unauthorized Actor vulnerability. A remote high privileged attacker could potentially exploit this vulnerability, leading to information exposure.

03/09/2024
03/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N

Gravedad 3.1 (CVSS 3.1 Base Score)
6.80

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off

CVE-2024-42060

CVE-2024-42060

Título es
CVE-2024-42060

Mar, 03/09/2024 – 02:15

Tipo
CWE-78

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-42060

Descripción en
A post-authentication command injection vulnerability in Zyxel ATP series firmware versions from V4.32 through V5.38, USG FLEX series firmware versions from V4.50 through V5.38, USG FLEX 50(W) series firmware versions from V4.16 through V5.38, and USG20(W)-VPN series firmware versions from V4.16 through V5.38 could allow an authenticated attacker with administrator privileges to execute some OS commands on an affected device by uploading a crafted internal user agreement file to the vulnerable device.

03/09/2024
03/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
7.20

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-42059

CVE-2024-42059

Título es
CVE-2024-42059

Mar, 03/09/2024 – 02:15

Tipo
CWE-78

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-42059

Descripción en
A post-authentication command injection vulnerability in Zyxel ATP series firmware versions from V5.00 through V5.38, USG FLEX series firmware versions from V5.00 through V5.38, USG FLEX 50(W) series firmware versions from V5.00 through V5.38, and USG20(W)-VPN series firmware versions from V5.00 through V5.38 could allow an authenticated attacker with administrator privileges to execute some OS commands on an affected device by uploading a crafted compressed language file via FTP.

03/09/2024
03/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
7.20

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-42058

CVE-2024-42058

Título es
CVE-2024-42058

Mar, 03/09/2024 – 02:15

Tipo
CWE-476

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-42058

Descripción en
A null pointer dereference vulnerability in Zyxel ATP series firmware versions from V4.32 through V5.38, USG FLEX series firmware versions from V4.50 through V5.38, USG FLEX 50(W) series firmware versions from V5.20 through V5.38, and USG20(W)-VPN series firmware versions from V5.20 through V5.38 could allow an unauthenticated attacker to cause DoS conditions by sending crafted packets to a vulnerable device.

03/09/2024
03/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
7.50

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-42057

CVE-2024-42057

Título es
CVE-2024-42057

Mar, 03/09/2024 – 02:15

Tipo
CWE-78

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-42057

Descripción en
A command injection vulnerability in the IPSec VPN feature of Zyxel ATP series firmware versions from V4.32 through V5.38, USG FLEX series firmware versions from V4.50 through V5.38, USG FLEX 50(W) series firmware versions from V4.16 through V5.38, and USG20(W)-VPN series firmware versions from V4.16 through V5.38 could allow an unauthenticated attacker to execute some OS commands on an affected device by sending a crafted username to the vulnerable device. Note that this attack could be successful only if the device was configured in User-Based-PSK authentication mode and a valid user with a long username exceeding 28 characters exists.

03/09/2024
03/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
8.10

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-7203

CVE-2024-7203

Título es
CVE-2024-7203

Mar, 03/09/2024 – 02:15

Tipo
CWE-78

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-7203

Descripción en
A post-authentication command injection vulnerability in Zyxel ATP series firmware versions from V4.60 through V5.38 and USG FLEX series firmware versions from V4.60 through V5.38 could allow an authenticated attacker with administrator privileges to execute some operating system (OS) commands on an affected device by executing a crafted CLI command.

03/09/2024
03/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
7.20

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
HIGH

Enviar en el boletín
Off

CVE-2024-6343

CVE-2024-6343

Título es
CVE-2024-6343

Mar, 03/09/2024 – 02:15

Tipo
CWE-120

Gravedad 2.0 Txt
Pendiente de análisis

Título en

CVE-2024-6343

Descripción en
A buffer overflow vulnerability in the CGI program of Zyxel ATP series firmware versions from V4.32 through V5.38, USG FLEX series firmware versions from V4.50 through V5.38, USG FLEX 50(W) series firmware versions from V4.16 through V5.38, and USG20(W)-VPN series firmware versions from V4.16 through V5.38 could allow an authenticated attacker with administrator privileges to cause denial of service (DoS) conditions by sending a crafted HTTP request to a vulnerable device.

03/09/2024
03/09/2024
Vector CVSS:3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H

Gravedad 3.1 (CVSS 3.1 Base Score)
4.90

Gravedad 3.1 Txt Gravedad 3.1 (CVSS 3.1 Base Score)
MEDIUM

Enviar en el boletín
Off