Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en el instalador de WPS Office (CVE-2022-25943)

Fecha de publicación:

09/03/2022

Idioma:

Español

El instalador de WPS Office para versiones de Windows anteriores a v11.2.0.10258, no configura correctamente la ACL para el directorio donde es instalado el programa de servicio

Gravedad CVSS v3.1: ALTA

Última modificación:

14/03/2022

Vulnerabilidad en alltube (CVE-2022-24739)

Fecha de publicación:

08/03/2022

Idioma:

Español

alltube es un front end html para youtube-dl. En versiones anteriores a 3.0.3, un atacante podría diseñar una página HTML especial para desencadenar un ataque de redireccionamiento abierto o un ataque de tipo Server-Side Request Forgery (dependiendo de cómo esté configurado AllTube). El impacto es mitigado por el hecho de que el ataque de tipo SSRF sólo es posible cuando la opción "stream" está habilitada en la configuración. (Esta opción está deshabilitada por defecto.) La versión 3.0.3 contiene una corrección para esta vulnerabilidad

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/03/2022

Vulnerabilidad en el instalador de Trend Micro Password Manager (Consumer) (CVE-2022-26337)

Fecha de publicación:

08/03/2022

Idioma:

Español

El instalador de Trend Micro Password Manager (Consumer) versión 5.0.0.1262 y anteriores, es susceptible a una vulnerabilidad de Elemento de Ruta de Búsqueda no Controlada que podría permitir a un atacante usar un archivo especialmente diseñado para explotar la vulnerabilidad y elevar privilegios locales en el equipo afectado

Gravedad CVSS v3.1: ALTA

Última modificación:

18/03/2022

Vulnerabilidad en el elemento de ruta de búsqueda del instalador en Trend Micro Portable Security (CVE-2022-26319)

Fecha de publicación:

08/03/2022

Idioma:

Español

Una vulnerabilidad del elemento de parche de búsqueda del instalador en Trend Micro Portable Security versiones 3.0 Pro, 3.0 y 2.0 podría permitir a un atacante local colocar un archivo DLL generado arbitrariamente en una carpeta del instalador para elevar los privilegios locales. Nota: un atacante debe obtener primero la capacidad de ejecutar código con privilegios elevados en el sistema de destino para poder explotar esta vulnerabilidad

Gravedad CVSS v3.1: MEDIA

Última modificación:

19/03/2022

Vulnerabilidad en Icinga Web 2 (CVE-2022-24714)

Fecha de publicación:

08/03/2022

Idioma:

Español

Icinga Web 2 es una interfaz web de monitorización de código abierto, un framework y una interfaz de línea de comandos. Las instalaciones de Icinga 2 con el escritor IDO activado están afectadas. Si se utilizan variables personalizadas de servicio en las restricciones de rol, y se desmantelan regularmente los objetos de servicio, los usuarios con dichos roles pueden seguir teniendo acceso a una colección de contenido. Tenga en cuenta que esto sólo se aplica si un rol tiene permitido implícitamente el acceso a los hosts, debido al acceso permitido a al menos uno de sus servicios. Si se permite el acceso a un host por otros medios, no se ha revelado información sensible a usuarios no autorizados. Este problema ha sido resuelto en las versiones 2.8.6, 2.9.6 y 2.10 de Icinga Web 2

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/11/2022

Vulnerabilidad en Icinga Web 2 (CVE-2022-24715)

Fecha de publicación:

08/03/2022

Idioma:

Español

Icinga Web 2 es una interfaz web de monitorización de código abierto, un framework y una interfaz de línea de comandos. Los usuarios autenticados, con acceso a la configuración, pueden crear archivos de recursos SSH en directorios no deseados, conllevando a una ejecución de código arbitrario. Este problema ha sido resuelto en las versiones 2.8.6, 2.9.6 y 2.10 de Icinga Web 2. Los usuarios que no puedan actualizarse deberán limitar el acceso a la configuración de Icinga Web 2

Gravedad CVSS v3.1: ALTA

Última modificación:

17/07/2023

Vulnerabilidad en Icinga Web 2 (CVE-2022-24716)

Fecha de publicación:

08/03/2022

Idioma:

Español

Icinga Web 2 es una interfaz web de monitorización de código abierto, un framework y una interfaz de línea de comandos. Los usuarios no autenticados pueden filtrar el contenido de los archivos del sistema local accesibles al usuario del servidor web, incluidos los archivos de configuración de `icingaweb2` con credenciales de la base de datos. Este problema se ha resuelto en las versiones 2.9.6 y 2.10 de Icinga Web 2. Las credenciales de la base de datos deben rotarse

Gravedad CVSS v3.1: ALTA

Última modificación:

10/04/2023

Vulnerabilidad en regex (CVE-2022-24713)

Fecha de publicación:

08/03/2022

Idioma:

Español

regex es una implementación de expresiones regulares para el lenguaje Rust. La caja de regex presenta mitigaciones incorporadas para prevenir ataques de denegación de servicio causados por regexes no confiables, o por entradas no confiables coincidentes con regexes confiables. Estas mitigaciones (sintonizables) ya proporcionan valores predeterminados sanos para prevenir ataques. Esta garantía está documentada y se considera parte de la API de la caja. Desafortunadamente, se descubrió un error en las mitigaciones diseñadas para evitar que las expresiones regulares no confiables tomen una cantidad arbitraria de tiempo durante el análisis, y es posible crear expresiones regulares que eludan dichas mitigaciones. Esto hace posible realizar ataques de denegación de servicio enviando regexes especialmente diseñados a servicios que aceptan regexes no confiables controlados por el usuario. Todas las versiones de regex crate anteriores o iguales a la 1.5.4 están afectadas por este problema. La corrección se incluye a partir de regex 1.5.5. Se recomienda a todos los usuarios que acepten regexes controlados por el usuario que actualicen inmediatamente a la última versión del regex crate. Lamentablemente, no existe un conjunto fijo de regexes problemáticos, ya que hay prácticamente infinitas regexes que podrían ser creadas para explotar esta vulnerabilidad. Por ello, no recomendamos negar las regex problemáticas conocidas

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en el servidor de Nextcloud (CVE-2021-41241)

Fecha de publicación:

08/03/2022

Idioma:

Español

El servidor de Nextcloud es un sistema autoalojado diseñado para proporcionar servicios de estilo en la nube. La aplicación groupfolders para Nextcloud permite compartir una carpeta con un grupo de personas. Además, permite establecer "permisos avanzados" en las subcarpetas, por ejemplo, un usuario podría tener acceso a la carpeta de grupo pero no a subcarpetas específicas. Debido a la falta de comprobación de permisos en las versiones afectadas, un usuario podría seguir accediendo a estas subcarpetas copiando la carpeta de grupo a otra ubicación. Se recomienda actualizar el servidor Nextcloud a la versión 20.0.14, 21.0.6 o 22.2.1. Los usuarios que no puedan actualizarse deberán desactivar la aplicación "groupfolders" en la configuración del administrador

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/10/2022

Vulnerabilidad en Nextcloud talk (CVE-2021-41180)

Fecha de publicación:

08/03/2022

Idioma:

Español

Nextcloud talk es un servicio de mensajería de autoalojamiento. En versiones anteriores a la 12.1.2 un atacante es capaz de controlar el enlace de una vista previa de geolocalización en la aplicación Nextcloud Talk debido a una falta de validación en el enlace. Esto podía dar lugar a una redirección abierta, pero requería la interacción del usuario. Esto sólo afectaba a los usuarios del cliente Android Talk. Se recomienda actualizar la aplicación Nextcloud Talk a la versión 12.1.2. No se presentan medidas de mitigación conocidas

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/03/2022

Vulnerabilidad en Nextcloud talk (CVE-2021-41181)

Fecha de publicación:

08/03/2022

Idioma:

Español

Nextcloud talk es un servicio de mensajería autogestionado. En versiones anteriores a la 12.3.0 la aplicación Nextcloud Android Talk no detectaba correctamente el estado de la pantalla de bloqueo cuando se recibía una llamada. Si un atacante conseguía acceder físicamente al teléfono bloqueado, y la víctima recibía una llamada, el atacante podía acceder a los mensajes y archivos del chat del usuario. Se recomienda actualizar la aplicación Nextcloud Android Talk a la versión 12.3.0. No se presentan medidas de mitigación conocidas

Gravedad CVSS v3.1: BAJA

Última modificación:

24/10/2022

Vulnerabilidad en Nextcloud server (CVE-2021-41239)

Fecha de publicación:

08/03/2022

Idioma:

Español

Nextcloud server es un sistema auto-alojado diseñado para proporcionar servicios de estilo en la nube. En las versiones afectadas, la API de estado de usuario no tenía en cuenta la configuración de enumeración de usuarios por parte del administrador. Esto permitía a un usuario enumerar a otros usuarios en la instancia, incluso cuando los listados de usuarios estaban deshabilitados. Es recomendado actualizar el servidor Nextcloud a versiones 20.0.14, 21.0.6 o 22.2.1. No se presentan medidas de mitigación conocidas

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/10/2022

Suscribirse a Vulnerabilidades