Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Netis WF2411Netis WF2411 (CVE-2019-8985)

Fecha de publicación:
21/02/2019
Idioma:
Español
En Netis WF211, con la versión de firmware 2.1.36123, y otros dispositivos de Netis (posiblemente desde WF2411 hasta WF2800), hay un desbordamiento de búfer basado en pila que no precisa de autenticación. Esto puede conducir a una denegación de servicio (reinicio del dispositivo) o a la ejecución remota de código. Esta vulnerabilidad puede ser desencadenada por una petición GET con una cabecera HTTP larga "Authorization: Basic" que se gestiona de manera adecuada en user_auth->user_ok en /bin/boa.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
24/08/2020

Vulnerabilidad en software de Cisco (CVE-2019-1664)

Fecha de publicación:
21/02/2019
Idioma:
Español
Una vulnerabilidad en el servicio hxterm del software HyperFlex de Cisco podría permitir a un atacante local no autenticado obtener acceso root a todos los nodos en el clúster. Esta vulnerabilidad se debe a controles de autenticación insuficientes. Un atacante podría explotar esta vulnerabilidad conectándose al servicio hxterm con usuario local sin privilegios. Una explotación exitosa podría permitir que un atacante obtenga acceso root a todos los nodos miembro del clúster HyperFlex. Esta vulnerabilidad afecta a las distribuciones del software HyperFlex de Cisco anteriores a la 3.5(2a).
Gravedad CVSS v3.1: ALTA
Última modificación:
05/10/2020

Vulnerabilidad en software de Cisco (CVE-2019-1666)

Fecha de publicación:
21/02/2019
Idioma:
Español
Una vulnerabilidad en el servicio Graphite del software HyperFlex de Cisco podría permitir a un atacante remoto no autenticado recuperar datos desde el servicio Graphite. Esta vulnerabilidad se debe a controles de autenticación insuficientes. Un atacante podría explotar esta vulnerabilidad enviando comandos manipulados al servicio Graphite. Un exploit con éxito podría permitir que el atacante recupere estadísticas desde el servicio Graphite. Todas las versiones anteriores a la 3.5(2a) se ven afectadas.
Gravedad CVSS v3.1: MEDIA
Última modificación:
05/10/2020

Vulnerabilidad en IBM Security Identity Governance and Intelligence (CVE-2018-1944)

Fecha de publicación:
21/02/2019
Idioma:
Español
IBM Security Identity Governance and Intelligence, en versiones 5.2 hasta la 5.2.4.1 Virtual Appliance, contiene credenciales embebidas, como una contraseña o una clave criptográfica, que emplea para su propia autenticación entrante, comunicación saliente hacia componentes externos o para cifrar datos internos. IBM X-Force ID: 153386.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
09/10/2019

Vulnerabilidad en IBM Security Identity Governance and Intelligence (CVE-2018-1945)

Fecha de publicación:
21/02/2019
Idioma:
Español
IBM Security Identity and Governance and Intelligence, desde la versión 5.2 hasta la 5.2.4.1 Virtual Appliance, podría permitir que un atacante remoto secuestre la acción de clicado de la víctima. Al persuadir a una víctima para que visite un sitio web malicioso, un atacante remoto podría explotar esta vulnerabilidad para secuestrar las acciones de clicado de la víctima y, probablemente, lanzar más ataques contra la víctima. IBM X-Force ID: 153387.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/10/2019

Vulnerabilidad en IBM Security Identity Governance and Intelligence (CVE-2018-1946)

Fecha de publicación:
21/02/2019
Idioma:
Español
IBM Security Identity Governance and Intelligence, desde la versión 5.2 hasta la 5.2.4.1 Virtual Appliance, soporta que múltiples actores interactúen entre ellos y les permite negociar qué algoritmo se debería utilizar como mecanismo de protección (por ejemplo, el cifrado o la autenticación), pero no selecciona el algoritmo más robusto que esté disponible para ambas partes. IBM X-Force ID: 153388.
Gravedad CVSS v3.1: ALTA
Última modificación:
09/10/2019

Vulnerabilidad en IBM Security Identity Governance and Intelligence (CVE-2018-1947)

Fecha de publicación:
21/02/2019
Idioma:
Español
IBM Security Identity Governance and Intelligence, desde la versión 5.2 hasta la 5.2.4.1 Virtual Appliance, es vulnerable a Cross-Site Scripting (XSS). Esta vulnerabilidad permite que los usuarios embeban código JavaScript arbitrario en la interfaz de usuario web, lo que altera las funcionalidades previstas. Esto podría dar lugar a una revelación de credenciales en una sesión de confianza. IBM X-Force ID: 153427.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/10/2019

Vulnerabilidad en IBM Security Identity Governance and Intelligence (CVE-2018-1948)

Fecha de publicación:
21/02/2019
Idioma:
Español
IBM Security Identity Governance and Intelligence, desde la versión 5.2 hasta la 5.2.4.1 Virtual Appliance, no establece el atributo seguro en tokens de autorización o en cookies de sesión. Los atacantes podrían obtener los valores de dichas cookies, enviando un enlace http:// a un usuario o embebiendo el mismo en un sitio web visitado por el usuario. Se enviará la cookie al enlace inseguro y el atacante podrá obtener el valor de la misma escuchando el tráfico. IBM X-Force ID: 153428.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/10/2019

Vulnerabilidad en IBM Security Identity Governance (CVE-2018-1949)

Fecha de publicación:
21/02/2019
Idioma:
Español
IBM Security Identity Governance and Intelligence, desde la versión 5.2 hasta la 5.2.4.1 Virtual Appliance, divulga información sensible a usuarios no autorizados. Esta información puede emplearse para ejecutar más ataques en el sistema. IBM X-Force ID: 153429.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/10/2019

Vulnerabilidad en IBM Security Identity Governance and Intelligence (CVE-2018-1950)

Fecha de publicación:
21/02/2019
Idioma:
Español
IBM Security Identity Governance and Intelligence, desde la versión 5.2 hasta la 5.2.4.1 Virtual Appliance, genera un mensaje de error que incluye información sensible sobre su entorno, usuarios o datos asociados, todo lo cual se podría usar en futuros ataques contra el sistema, IBM X-Force ID: 153430.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/10/2019

Vulnerabilidad en IBM Robotic Process Automation (CVE-2018-2006)

Fecha de publicación:
21/02/2019
Idioma:
Español
IBM Robotic Process Automation, en su versión "Automation Anywhere 11", podría permitir que un atacante remoto salte directorios en el sistema. Un atacante podría enviar una petición URL especialmente manipulada que contenga secuencias "punto punto" (/../) para subir archivos arbitrarios al sistema. IBM X-Force ID: 155008.
Gravedad CVSS v3.1: MEDIA
Última modificación:
09/10/2019

Vulnerabilidad en software de Cisco (CVE-2019-1662)

Fecha de publicación:
21/02/2019
Idioma:
Español
Una vulnerabilidad en el servicio "Quality of Voice Reporting (QOVR)" del software de Cisco Prime Collaboration Assurance (PCA) podría permitir a un atacante remoto no autenticado acceder al sistema como si fuera un usuario válido. Esta vulnerabilidad se debe a controles de autenticación insuficientes. Un atacante podría explotar esta vulnerabilidad conectándose al servicio QOVR con un nombre de usuario válido. Un exploit exitoso podría permitir al atacante realizar acciones con los privilegios del usuario empleado para acceder. Esta vulnerabilidad afecta a las distribuciones del software de PCA de Cisco anteriores a la 12.1 SP2.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
09/10/2019