Dos nuevos avisos de seguridad
Cross-Frame Scripting (XFS) en Plone CMS
Plone CMS 6.0.5
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad media, que afecta a Plone CMS 6.0.5, un gestor de contenido, la cual ha sido descubierta por Miguel Segovia Gil.
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v3.1, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2024-0669:6.3 | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L | CWE-1021.
El fabricante ha solucionado la vulnerabilidad en la versión 6.0.7.
CVE-2024-0669: Cross-Frame Scripting (XFS) en Plone CMS que afecta a la versión 6.0.5 y anteriores. Un atacante podría almacenar una URL maliciosa para que la abra un administrador y ejecutar un elemento iframe malicioso.
Múltiples vulnerabilidades en cajeros Bitcoin ATM Douro de Lamassu
- Cajeros Bitcoin ATM Douru de Lamassu, versión 7.1
INCIBE ha coordinado la publicación de 3 vulnerabilidades de severidad media que afectan a los cajeros bitcoin ATM Douro del fabricante Lamassu en su versión 7.1, las cuales han sido descubiertas por Gabriel González.
A estas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v3.1, vector del CVSS y el tipo de vulnerabilidad CWE de cada vulnerabilidad:
- CVE-2024-0674: 6.3 | CVSS:3.1/AV:P/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H | CWE-269.
- CVE-2024-0675: 6.3 | CVSS:3.1/AV:P/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H | CWE-754.
- CVE-2024-0676: 5.6 | CVSS:3.1/AV:P/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N | CWE-521.
Las vulnerabilidades han sido resueltas en la versión 8.1.5-1 y 8.1.6. Para más información, consultar la sección "Referencias".
- CVE-2024-0674: vulnerabilidad de escalada de privilegios, la cual podría permitir a un usuario local adquirir permisos de root modificando el updatescript.js, insertando un código especial dentro del script y creando el archivo done.txt. Esto provocaría que el proceso watchdog se ejecute como root y ejecute el payload almacenado en el updatescript.js.
- CVE-2024-0675: vulnerabilidad de comprobación inadecuada de condiciones inusuales o excepcionales, cuya explotación podría permitir a un atacante con acceso físico al cajero escapar del modo quiosco, acceder a la interfaz Xwindow subyacente y ejecutar comandos arbitrarios como un usuario sin privilegios.
- CVE-2024-0676: vulnerabilidad de requisitos de contraseña débiles, la cual permite a un usuario local interactuar con la máquina donde está instalada la aplicación, recuperar los hashes almacenados de la máquina y descifrar las contraseñas largas de 4 caracteres mediante un ataque de diccionario.