Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en los archivos Mach-O en Rizin (CVE-2022-36041)

Fecha de publicación:

06/09/2022

Idioma:

Español

Rizin es un marco de trabajo de ingeniería inversa tipo UNIX y un conjunto de herramientas de línea de comandos. Las versiones 0.4.0 y anteriores son vulnerables a una escritura fuera de límites cuando analizan archivos Mach-O. Un usuario que abra un archivo Mach-O malicioso podría verse afectado por esta vulnerabilidad, permitiendo a un atacante ejecutar código en la máquina del usuario. El commit número 7323e64d68ecccfb0ed3ee480f704384c38676b2 contiene un parche.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en el archivo bobj.c:rz_bin_reloc_storage_free() en Rizin (CVE-2022-36043)

Fecha de publicación:

06/09/2022

Idioma:

Español

Rizin es un marco de trabajo de ingeniería inversa tipo UNIX y un conjunto de herramientas de línea de comandos. Las versiones 0.4.0 y anteriores son vulnerables a una doble liberación en el archivo bobj.c:rz_bin_reloc_storage_free() cuando son liberadas reubicaciones generadas desde el plugin binario qnx. Un usuario que abra un binario qnx malicioso podría verse afectado por esta vulnerabilidad, permitiendo a un atacante ejecutar código en la máquina del usuario. El commit número a3d50c1ea185f3f642f2d8180715f82d98840784 contiene un parche para este problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en los archivos Luac en Rizin (CVE-2022-36044)

Fecha de publicación:

06/09/2022

Idioma:

Español

Rizin es un framework de ingeniería inversa de tipo UNIX y un conjunto de herramientas de línea de comandos. Las versiones 0.4.0 y anteriores son vulnerables a una escritura fuera de límites cuando obtienen datos de archivos Luac. Un usuario que abra un archivo Luac malicioso podría verse afectado por esta vulnerabilidad, permitiendo a un atacante ejecutar código en la máquina del usuario. Los commits 07b43bc8aa1ffebd9b68d60624c9610cf7e460c7 y 05bbd147caccc60162d6fba9baaaf24befa281cd contienen correcciones para este problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en PCProtect Endpoint para Microsoft Windows (CVE-2022-36670)

Fecha de publicación:

06/09/2022

Idioma:

Español

PCProtect Endpoint versiones anteriores a 5.17.470 para Microsoft Windows carece de protección contra manipulaciones, permitiendo a atacantes autenticados con privilegios de administrador modificar los procesos dentro de la aplicación y escalar los privilegios a SYSTEM por medio de un ejecutable diseñado.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/09/2022

Vulnerabilidad en IObit Malware Fighter para Microsoft Windows (CVE-2022-37771)

Fecha de publicación:

06/09/2022

Idioma:

Español

IObit Malware Fighter versión v9.2 para Microsoft Windows carece de protección contra manipulaciones, permitiendo a atacantes autenticados con privilegios de administrador modificar los procesos dentro de la aplicación y escalar los privilegios a SYSTEM por medio de un ejecutable diseñado.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/09/2022

Vulnerabilidad en CircuitVerse (CVE-2022-36038)

Fecha de publicación:

06/09/2022

Idioma:

Español

CircuitVerse es una plataforma de código abierto que permite a usuarios construir circuitos lógicos digitales en línea. Una vulnerabilidad de ejecución de código remota (RCE) en CircuitVerse permite a atacantes autenticados ejecutar código arbitrario por medio de cargas útiles JSON especialmente diseñadas. Este problema puede conllevar a una ejecución de código remota (RCE). Se presenta un parche disponible en el commit número 7b3023a99499a7675f10f2c1d9effdf10c35fb6e. Actualmente no se presentan mitigaciones conocidas.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/09/2022

Vulnerabilidad en la interfaz web de administración de los dispositivos WatchGuard Firebox y XTM (CVE-2022-31792)

Fecha de publicación:

06/09/2022

Idioma:

Español

Se presenta una vulnerabilidad de tipo cross-site scripting (XSS) almacenado en la interfaz web de administración de los dispositivos WatchGuard Firebox y XTM. Un atacante remoto puede potencialmente ejecutar código JavaScript arbitrario en la interfaz web de administración mediante el envío de peticiones diseñadas a los puertos de administración expuestos. Esto ha sido corregido en Fireware OS versiones 12.8.1, 12.5.10 y 12.1.4.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/09/2022

Vulnerabilidad en ReactPHP HTTP (CVE-2022-36032)

Fecha de publicación:

06/09/2022

Idioma:

Español

ReactPHP HTTP es una implementación de cliente y servidor HTTP para ReactPHP. En las versiones del componente de servidor HTTP de ReactPHP a partir de la 0.7.0 y anteriores a 1.7.0, cuando ReactPHP procesa los valores de las cookies HTTP entrantes, los nombres de las cookies son decodificados por url. Esto puede conllevar a que las cookies con prefijos como "__Host-" y "__Secure-" sean confundidas con las cookies que decodifican dicho prefijo, conllevando así a que un atacante pueda falsificar la cookie que es supuesto es segura. Este problema ha sido corregido en ReactPHP HTTP versión 1.7.0. Como mitigación, Infraestructura o DevOps pueden colocar un proxy inverso delante del servidor HTTP de ReactPHP para filtrar cualquier encabezado de petición "Cookie" inesperada.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/09/2022

Vulnerabilidad en los dispositivos WatchGuard Firebox y XTM (CVE-2022-31791)

Fecha de publicación:

06/09/2022

Idioma:

Español

Los dispositivos WatchGuard Firebox y XTM permiten a un atacante local (que ya ha obtenido acceso al shell) elevar sus privilegios y ejecutar código con permisos de root. Esto ha sido corregido en Fireware OS versiones 12.8.1, 12.5.10 y 12.1.4.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/09/2022

Vulnerabilidad en los dispositivos WatchGuard Firebox y XTM (CVE-2022-31789)

Fecha de publicación:

06/09/2022

Idioma:

Español

Un desbordamiento de enteros en los dispositivos WatchGuard Firebox y XTM permite a un atacante remoto no autenticado desencadenar un desbordamiento de búfer y potencialmente ejecutar código arbitrario enviando una petición maliciosa a los puertos de administración expuestos. Esto ha sido corregido en Fireware OS versiones 12.8.1, 12.5.10 y 12.1.4.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

10/09/2022

Vulnerabilidad en los archivos DEX en Rizin (CVE-2022-36039)

Fecha de publicación:

06/09/2022

Idioma:

Español

Rizin es un marco de trabajo de ingeniería inversa tipo UNIX y un conjunto de herramientas de línea de comandos. Las versiones 0.4.0 y anteriores son vulnerables a una escritura fuera de límites cuando analizan archivos DEX. Un usuario que abra un archivo DEX malicioso podría verse afectado por esta vulnerabilidad, permitiendo a un atacante ejecutar código en la máquina del usuario. Se presenta un parche disponible en la rama "dev" del repositorio.

Gravedad CVSS v3.1: ALTA

Última modificación:

27/09/2022

Vulnerabilidad en la carga de imágenes del encabezado en FeehiCMS (CVE-2020-21516)

Fecha de publicación:

06/09/2022

Idioma:

Español

Se presenta una vulnerabilidad de carga de archivos arbitraria en FeehiCMS versión 2.0.8, en la carga de imágenes del encabezado, que permite a atacantes ejecutar código PHP relevante.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

09/09/2022

Suscribirse a Vulnerabilidades