Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en los parámetros en la Cookie en el sistema de administración de propiedades de CGE (CVE-2021-22856)

Fecha de publicación:
17/02/2021
Idioma:
Español
El sistema de administración de propiedades de CGE contiene vulnerabilidades de inyección SQL. Unos atacantes remotos pueden inyectar comandos SQL hacia los parámetros en la Cookie y obtener datos en la base de datos sin privilegios
Gravedad CVSS v3.1: ALTA
Última modificación:
25/02/2021

Vulnerabilidad en la función de administración de cuentas de CGE (CVE-2021-22858)

Fecha de publicación:
17/02/2021
Idioma:
Español
Unos atacante pueden acceder a la función de administración de cuentas de CGE sin privilegios para la elevación de permisos y ejecutar comandos o archivos arbitrarios después de obtener unos permisos de usuario
Gravedad CVSS v3.1: ALTA
Última modificación:
24/10/2022

Vulnerabilidad en la interfaz de usuario en la página de solución de problemas en McAfee Web Gateway (MWG) (CVE-2021-23885)

Fecha de publicación:
17/02/2021
Idioma:
Español
Una vulnerabilidad de escalada de privilegios en McAfee Web Gateway (MWG) versiones anteriores a 9.2.8, permite a un usuario autenticado alcanzar privilegios elevados por medio de la interfaz de usuario y ejecutar comandos en el dispositivo por medio de la neutralización inapropiada e incorrecta de la entrada del usuario en la página de solución de problemas
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en encabezados Transfer-Encoding en el paquete com.typesafe.akka:akka-http-core (CVE-2021-23339)

Fecha de publicación:
17/02/2021
Idioma:
Español
Esto afecta a todas las versiones anteriores a 10.1.14 y desde la versión 10.2.0 a la versión 10.2.4 del paquete com.typesafe.akka:akka-http-core. Este permite múltiples encabezados Transfer-Encoding
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/03/2021

Vulnerabilidad en Photo Station de QNAP (CVE-2020-2502)

Fecha de publicación:
17/02/2021
Idioma:
Español
Esta vulnerabilidad de tipo cross-site scripting en Photo Station, permite a atacantes remotos inyectar código malicioso. QNAP ya ha corregido esta vulnerabilidad en las siguientes versiones de Photo Station. Photo Station versiones 6.0.11 y posterior
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/02/2021

Vulnerabilidad en Surveillance Station en los dispositivos NAS de QNAP (CVE-2020-2501)

Fecha de publicación:
17/02/2021
Idioma:
Español
Se ha reportado una vulnerabilidad de desbordamiento del búfer en la región stack de la memoria que afecta a los dispositivos NAS de QNAP que ejecutan Surveillance Station. Si es explotada, esta vulnerabilidad permite a atacantes ejecutar código arbitrario. QNAP ya ha corregido esta vulnerabilidad en las siguientes versiones: Surveillance Station versiones 5.1.5.4.3 (y posterior) para ARM CPU NAS (SO de 64 bits) y x86 CPU NAS (SO de 64 bits) Surveillance Station versiones 5.1.5.3.3 (y posterior) para ARM CPU NAS (sistema operativo de 32 bits) y CPU NAS x86 (sistema operativo de 32 bits)
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
22/02/2021

Vulnerabilidad en vectores no especificados en FileZen (CVE-2021-20655)

Fecha de publicación:
17/02/2021
Idioma:
Español
FileZen (versiones V3.0.0 hasta V4.2.7 y versiones V5.0.0 hasta V5.0.2) permite a un atacante remoto con derechos de administrador ejecutar comandos arbitrarios del Sistema Operativo por medio de vectores no especificados
Gravedad CVSS v3.1: ALTA
Última modificación:
22/02/2021

Vulnerabilidad en vectores no especificados en Calsos CSDJ (CVE-2021-20653)

Fecha de publicación:
17/02/2021
Idioma:
Español
Calsos CSDJ (CSDJ-B versiones 01.08.00 y anteriores, CSDJ-H versiones 01.08.00 y anteriores, CSDJ-D versiones 01.08.00 y anteriores, y CSDJ-A versiones 03.08.00 y anteriores), permite a atacantes remotos omitir la restricción de acceso y obtener datos históricos no autorizados sin privilegios de acceso por medio de vectores no especificados
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/02/2021

Vulnerabilidad en los controladores drm_xen_front en el kernel de Linux usado por Xen (CVE-2021-26934)

Fecha de publicación:
17/02/2021
Idioma:
Español
Se detectó un problema en el kernel de Linux versiones 4.18 hasta 5.10.16, como es usado por Xen. El modo de asignación del backend de los controladores drm_xen_front no estaba destinado a ser una configuración soportada, pero esto no fue declarado por consiguiente en su entrada de estado de soporte
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en un invitado en Arm en Xen (CVE-2021-26933)

Fecha de publicación:
17/02/2021
Idioma:
Español
Se detectó un problema en Xen versiones 4.9 hasta 4.14.x. En Arm, un invitado puede controlar si los accesos a la memoria pasan por encima de la caché. Esto significa que Xen necesita asegurarse de que todas las escrituras (como las que se producen durante el scrubbing) han llegado a la memoria antes de entregar la página a un invitado. Desgraciadamente, la operación de limpieza de la caché se realiza antes de comprobar si la página ha sido limpiada. Por lo tanto, no existe garantía de que todas las escrituras lleguen a la memoria
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

Vulnerabilidad en los archivos arch/*/xen/p2m.c y drivers/xen/gntdev.c en el controlador del backend en modo PV en el kernel de Linux usado Xen (CVE-2021-26932)

Fecha de publicación:
17/02/2021
Idioma:
Español
Se detectó un problema en el kernel de Linux versiones 3.2 hasta 5.10.16, tal como es usado Xen. Las operaciones de mapeo de concesiones a menudo ocurren hiperllamadas por lotes, donde se realizan varias operaciones en una sola hiperllamada, el éxito o el fallo de cada una es reportada al controlador del backend, y el controlador del backend luego recorre los resultados, llevando a cabo acciones de seguimiento en función del éxito o fallo de cada operación. Desafortunadamente, cuando se ejecuta en modo PV, los controladores del backend de Linux manejan inapropiadamente esto: algunos errores son ignorados, lo que implica efectivamente su éxito por el éxito de los elementos de lote relacionados. En otros casos, los errores que resultan de un elemento del lote conllevan a que no se inspeccionen más elementos del lote y, por lo tanto, no es posible desasignar apropiadamente los correctos tras la recuperación del error. Solo los sistemas con backends de Linux que se ejecutan en modo PV son vulnerables. Los backends de Linux que se ejecutan en modos HVM / PVH no son vulnerables. Esto afecta a los archivos arch/*/xen/p2m.c y drivers/xen/gntdev.c
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/03/2024

Vulnerabilidad en los archivos drivers/block/xen-blkback/blkback.c y drivers/xen/xen-scsiback.c en modo PV en el kernel de Linux usado en Xen (CVE-2021-26931)

Fecha de publicación:
17/02/2021
Idioma:
Español
Se detectó un problema en el kernel de Linux versiones 2.6.39 hasta 5.10.16, como es usado en Xen. Los backends de bloque, red y SCSI consideran determinados errores como un bug simple, causando deliberadamente un bloqueo del kernel. Para los errores que pueden estar al menos bajo la influencia de los invitados (como las condiciones de falta de memoria), no es correcto suponer un bug simple. Sin embargo, las asignaciones de memoria que pueden causar tales bloqueos ocurren solo cuando Linux se ejecuta en modo PV. Esto afecta a los archivos drivers/block/xen-blkback/blkback.c y drivers/xen/xen-scsiback.c
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/03/2024