Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en el filtro de privacidad en Nextcloud (CVE-2021-39220)

Fecha de publicación:

25/10/2021

Idioma:

Español

Nextcloud es una plataforma de productividad de código abierto y auto-alojada La aplicación Nextcloud Mail versiones anteriores a 1.10.4 y 1.11.0, no renderiza por defecto las imágenes en los correos electrónicos para no filtrar el estado de lectura o la IP del usuario. El filtro de privacidad no filtraba las imágenes con un protocolo relativo. Es recomendado actualizar la aplicación Nextcloud Mail a la versión 1.10.4 o 1.11.0. No se presentan soluciones conocidas aparte de la actualización

Gravedad CVSS v3.1: BAJA

Última modificación:

05/08/2022

Vulnerabilidad en el endpoint de cierre de sesión del Panel en Pterodactyl (CVE-2021-41176)

Fecha de publicación:

25/10/2021

Idioma:

Español

Pterodactyl es un panel de administración de servidores de juegos de código abierto construido con PHP 7, React y Go. En las versiones afectadas de Pterodactyl, un usuario malicioso puede desencadenar un cierre de sesión si un usuario que ha iniciado sesión visita un sitio web malicioso que realiza una petición al endpoint de cierre de sesión del Panel. Esto requiere un ataque dirigido contra una instancia específica del Panel y sólo sirve para cerrar la sesión del usuario. **No son filtrados los detalles del usuario ni están afectados los datos del usuario; en el peor de los casos se trata simplemente de una molestia.** Esto es corregido en la versión 1.6.3

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/10/2021

Vulnerabilidad en el componente Toolgate en Parallels Desktop (CVE-2021-34857)

Fecha de publicación:

25/10/2021

Idioma:

Español

Esta vulnerabilidad permite a atacantes locales escalar privilegios en las instalaciones afectadas de Parallels Desktop versión 16.1.3 (49160). Un atacante debe obtener primero la habilidad de ejecutar código con privilegios elevados en el sistema huésped de destino para poder explotar esta vulnerabilidad. El fallo específico se presenta en el componente Toolgate. El problema resulta de una falta de comprobación apropiada de los datos suministrados por el usuario, que puede resultar en una escritura más allá del final de un búfer asignado. Un atacante puede aprovechar esta vulnerabilidad para escalar privilegios y ejecutar código arbitrario en el contexto del hypervisor. Fue ZDI-CAN-13601

Gravedad CVSS v3.1: ALTA

Última modificación:

27/10/2021

Vulnerabilidad en el componente Toolgate en Parallels Desktop (CVE-2021-34855)

Fecha de publicación:

25/10/2021

Idioma:

Español

Esta vulnerabilidad permite a atacantes locales revelar información confidencial en las instalaciones afectadas de Parallels Desktop versión 16.1.3 (49160). Un atacante debe obtener primero la habilidad de ejecutar código poco privilegiado en el sistema huésped de destino para poder explotar esta vulnerabilidad. El fallo específico se presenta en el componente Toolgate. El problema resulta de una falta de inicialización apropiada de la memoria antes de acceder a ella. Un atacante puede aprovechar esto junto con otras vulnerabilidades para escalar privilegios y ejecutar código arbitrario en el contexto del hypervisor. Fue ZDI-CAN-13592

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/10/2021

Vulnerabilidad en el componente Toolgate en Parallels Desktop (CVE-2021-34854)

Fecha de publicación:

25/10/2021

Idioma:

Español

Esta vulnerabilidad permite a atacantes locales escalar privilegios en las instalaciones afectadas de Parallels Desktop versión 16.1.3 (49160). Un atacante debe obtener primero la habilidad de ejecutar código poco privilegiado en el sistema huésped objetivo para poder explotar esta vulnerabilidad. El fallo específico se presenta en el componente Toolgate. El problema resulta de una falta de comprobación apropiada de los datos suministrados por el usuario, lo que puede resultar en una asignación de memoria no controlada. Un atacante puede aprovechar esta vulnerabilidad para escalar privilegios y ejecutar código arbitrario en el contexto del hypervisor. Fue ZDI-CAN-13544

Gravedad CVSS v3.1: ALTA

Última modificación:

28/10/2021

Vulnerabilidad en el manejo del parámetro getpage proporcionado al extremo webproc en los routers D-Link DAP-2020 (CVE-2021-34860)

Fecha de publicación:

25/10/2021

Idioma:

Español

Esta vulnerabilidad permite a atacantes adyacentes a la red revelar información confidencial en las instalaciones afectadas de los routers D-Link DAP-2020 versión 1.01rc001. No es requerida una autenticación para explotar esta vulnerabilidad. El fallo específico se presenta en el manejo del parámetro getpage proporcionado al extremo webproc. El problema resulta de una falta de comprobación apropiada de una ruta proporcionada por el usuario antes de usarla en operaciones de archivo. Un atacante puede aprovechar esta vulnerabilidad para revelar información en el contexto de root. Fue ZDI-CAN-12103

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/04/2023

Vulnerabilidad en el endpoint webproc en los routers D-Link DAP-2020 (CVE-2021-34861)

Fecha de publicación:

25/10/2021

Idioma:

Español

Esta vulnerabilidad permite a atacantes adyacentes a la red ejecutar código arbitrario en las instalaciones afectadas de los routers D-Link DAP-2020 versión 1.01rc001. No es requerida una autenticación para explotar esta vulnerabilidad. El fallo específico se presenta en el endpoint webproc, que escucha en el puerto TCP 80 por defecto. El problema resulta de una falta de comprobación apropiada de la longitud de los datos suministrados por el usuario antes de copiarlos en un búfer de longitud fija basado en la pila. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto de root. Fue ZDI-CAN-12104

Gravedad CVSS v3.1: ALTA

Última modificación:

26/04/2023

Vulnerabilidad en el parámetro var:menu proporcionado al endpoint webproc en los routers D-Link DAP-2020 (CVE-2021-34862)

Fecha de publicación:

25/10/2021

Idioma:

Español

Esta vulnerabilidad permite a atacantes adyacentes a la red ejecutar código arbitrario en las instalaciones afectadas de los routers D-Link DAP-2020 versión 1.01rc001. No es requerida una autenticación para explotar esta vulnerabilidad. El fallo específico se presenta en el manejo del parámetro var:menu proporcionado al endpoint webproc. El problema resulta de una falta de comprobación apropiada de la longitud de los datos suministrados por el usuario antes de copiarlos en un búfer de longitud fija basado en la pila. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto de root. Fue ZDI-CAN-13270

Gravedad CVSS v3.1: ALTA

Última modificación:

26/04/2023

Vulnerabilidad en el parámetro var:page proporcionado al endpoint webproc en los routers D-Link DAP-2020 (CVE-2021-34863)

Fecha de publicación:

25/10/2021

Idioma:

Español

Esta vulnerabilidad permite a atacantes adyacentes a la red ejecutar código arbitrario en las instalaciones afectadas de los routers D-Link DAP-2020 versión 1.01rc001. No es requerida una autenticación para explotar esta vulnerabilidad. El fallo específico se presenta en el manejo del parámetro var:page proporcionado al endpoint webproc. El problema resulta de una falta de comprobación apropiada de la longitud de los datos proporcionados por el usuario antes de copiarlos en un búfer de longitud fija basado en la pila. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto de root. Fue ZDI-CAN-13271

Gravedad CVSS v3.1: ALTA

Última modificación:

26/04/2023

Vulnerabilidad en el análisis de los archivos TVS en TeamViewer (CVE-2021-34859)

Fecha de publicación:

25/10/2021

Idioma:

Español

Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en las instalaciones afectadas de TeamViewer versión 15.16.8.0. Es requerida una interacción del usuario para explotar esta vulnerabilidad, ya que el objetivo debe visitar una página maliciosa o abrir un archivo malicioso. El fallo específico se presenta en el análisis de los archivos TVS. El problema resulta de una falta de comprobación apropiada de los datos suministrados por el usuario, que puede resultar en una condición de corrupción de memoria. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual. Fue ZDI-CAN-13697

Gravedad CVSS v3.1: ALTA

Última modificación:

24/10/2022

Vulnerabilidad en el dispositivo virtual virtio-gpu en Parallels Desktop (CVE-2021-34856)

Fecha de publicación:

25/10/2021

Idioma:

Español

Esta vulnerabilidad permite a atacantes locales escalar privilegios en las instalaciones afectadas de Parallels Desktop versión 16.1.3 (49160). Un atacante debe obtener primero la habilidad de ejecutar código con privilegios elevados en el sistema huésped de destino para poder explotar esta vulnerabilidad. El fallo específico se presenta en el dispositivo virtual virtio-gpu. El problema resulta de una falta de comprobación apropiada de los datos suministrados por el usuario, que puede resultar en una condición de corrupción de memoria. Un atacante puede aprovechar esta vulnerabilidad para escalar privilegios y ejecutar código arbitrario en el contexto del hypervisor. Fue ZDI-CAN-13581

Gravedad CVSS v3.1: ALTA

Última modificación:

24/10/2022

Vulnerabilidad en el componente WinAppHelper en Parallels Desktop (CVE-2021-34864)

Fecha de publicación:

25/10/2021

Idioma:

Español

Esta vulnerabilidad permite a atacantes locales escalar privilegios en las instalaciones afectadas de Parallels Desktop versión 16.1.3 (49160). Un atacante debe obtener primero la habilidad de ejecutar código poco privilegiado en el sistema huésped de destino para poder explotar esta vulnerabilidad. El fallo específico se presenta en el componente WinAppHelper. El problema resulta de una falta de comprobación de un control de acceso apropiado. Un atacante puede aprovechar esta vulnerabilidad para escalar privilegios y ejecutar código arbitrario en el contexto del hypervisor. Fue ZDI-CAN-13543

Gravedad CVSS v3.1: ALTA

Última modificación:

27/10/2022

Suscribirse a Vulnerabilidades