Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Icinga Web 2 (CVE-2022-24716)

Fecha de publicación:

08/03/2022

Idioma:

Español

Icinga Web 2 es una interfaz web de monitorización de código abierto, un framework y una interfaz de línea de comandos. Los usuarios no autenticados pueden filtrar el contenido de los archivos del sistema local accesibles al usuario del servidor web, incluidos los archivos de configuración de `icingaweb2` con credenciales de la base de datos. Este problema se ha resuelto en las versiones 2.9.6 y 2.10 de Icinga Web 2. Las credenciales de la base de datos deben rotarse

Gravedad CVSS v3.1: ALTA

Última modificación:

10/04/2023

Vulnerabilidad en regex (CVE-2022-24713)

Fecha de publicación:

08/03/2022

Idioma:

Español

regex es una implementación de expresiones regulares para el lenguaje Rust. La caja de regex presenta mitigaciones incorporadas para prevenir ataques de denegación de servicio causados por regexes no confiables, o por entradas no confiables coincidentes con regexes confiables. Estas mitigaciones (sintonizables) ya proporcionan valores predeterminados sanos para prevenir ataques. Esta garantía está documentada y se considera parte de la API de la caja. Desafortunadamente, se descubrió un error en las mitigaciones diseñadas para evitar que las expresiones regulares no confiables tomen una cantidad arbitraria de tiempo durante el análisis, y es posible crear expresiones regulares que eludan dichas mitigaciones. Esto hace posible realizar ataques de denegación de servicio enviando regexes especialmente diseñados a servicios que aceptan regexes no confiables controlados por el usuario. Todas las versiones de regex crate anteriores o iguales a la 1.5.4 están afectadas por este problema. La corrección se incluye a partir de regex 1.5.5. Se recomienda a todos los usuarios que acepten regexes controlados por el usuario que actualicen inmediatamente a la última versión del regex crate. Lamentablemente, no existe un conjunto fijo de regexes problemáticos, ya que hay prácticamente infinitas regexes que podrían ser creadas para explotar esta vulnerabilidad. Por ello, no recomendamos negar las regex problemáticas conocidas

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en el servidor de Nextcloud (CVE-2021-41241)

Fecha de publicación:

08/03/2022

Idioma:

Español

El servidor de Nextcloud es un sistema autoalojado diseñado para proporcionar servicios de estilo en la nube. La aplicación groupfolders para Nextcloud permite compartir una carpeta con un grupo de personas. Además, permite establecer "permisos avanzados" en las subcarpetas, por ejemplo, un usuario podría tener acceso a la carpeta de grupo pero no a subcarpetas específicas. Debido a la falta de comprobación de permisos en las versiones afectadas, un usuario podría seguir accediendo a estas subcarpetas copiando la carpeta de grupo a otra ubicación. Se recomienda actualizar el servidor Nextcloud a la versión 20.0.14, 21.0.6 o 22.2.1. Los usuarios que no puedan actualizarse deberán desactivar la aplicación "groupfolders" en la configuración del administrador

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/10/2022

Vulnerabilidad en Nextcloud talk (CVE-2021-41180)

Fecha de publicación:

08/03/2022

Idioma:

Español

Nextcloud talk es un servicio de mensajería de autoalojamiento. En versiones anteriores a la 12.1.2 un atacante es capaz de controlar el enlace de una vista previa de geolocalización en la aplicación Nextcloud Talk debido a una falta de validación en el enlace. Esto podía dar lugar a una redirección abierta, pero requería la interacción del usuario. Esto sólo afectaba a los usuarios del cliente Android Talk. Se recomienda actualizar la aplicación Nextcloud Talk a la versión 12.1.2. No se presentan medidas de mitigación conocidas

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/03/2022

Vulnerabilidad en Nextcloud talk (CVE-2021-41181)

Fecha de publicación:

08/03/2022

Idioma:

Español

Nextcloud talk es un servicio de mensajería autogestionado. En versiones anteriores a la 12.3.0 la aplicación Nextcloud Android Talk no detectaba correctamente el estado de la pantalla de bloqueo cuando se recibía una llamada. Si un atacante conseguía acceder físicamente al teléfono bloqueado, y la víctima recibía una llamada, el atacante podía acceder a los mensajes y archivos del chat del usuario. Se recomienda actualizar la aplicación Nextcloud Android Talk a la versión 12.3.0. No se presentan medidas de mitigación conocidas

Gravedad CVSS v3.1: BAJA

Última modificación:

24/10/2022

Vulnerabilidad en Nextcloud server (CVE-2021-41239)

Fecha de publicación:

08/03/2022

Idioma:

Español

Nextcloud server es un sistema auto-alojado diseñado para proporcionar servicios de estilo en la nube. En las versiones afectadas, la API de estado de usuario no tenía en cuenta la configuración de enumeración de usuarios por parte del administrador. Esto permitía a un usuario enumerar a otros usuarios en la instancia, incluso cuando los listados de usuarios estaban deshabilitados. Es recomendado actualizar el servidor Nextcloud a versiones 20.0.14, 21.0.6 o 22.2.1. No se presentan medidas de mitigación conocidas

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/10/2022

Vulnerabilidad en el repositorio GitHub bookstackapp/bookstack (CVE-2022-0877)

Fecha de publicación:

08/03/2022

Idioma:

Español

Una vulnerabilidad de tipo Cross-site Scripting (XSS) - Almacenado en el repositorio GitHub bookstackapp/bookstack versiones anteriores a v22.02.3

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/03/2022

Vulnerabilidad en el binario sc SUID en SINUMERIK MC, SINUMERIK ONE (CVE-2022-24408)

Fecha de publicación:

08/03/2022

Idioma:

Español

Se ha identificado una vulnerabilidad en SINUMERIK MC (Todas las versiones anteriores a la versión V1.15 SP1), SINUMERIK ONE (Todas las versiones anteriores a la versión V6.15 SP1). El binario sc SUID en los dispositivos afectados proporciona varios comandos que se utilizan para ejecutar comandos del sistema o modificar archivos del sistema. Un conjunto específico de operaciones utilizando sc podría permitir a los atacantes locales escalar sus privilegios a root

Gravedad CVSS v3.1: ALTA

Última modificación:

11/03/2022

Vulnerabilidad en el archivo starview+.exe en Simcenter STAR-CCM+ Viewer (CVE-2022-24661)

Fecha de publicación:

08/03/2022

Idioma:

Español

Se ha identificado una vulnerabilidad en Simcenter STAR-CCM+ Viewer (Todas las versiones anteriores a la versión V2022.1). El starview+.exe contiene una vulnerabilidad de corrupción de memoria al analizar archivos .SCE especialmente diseñados. Esto podría permitir a un atacante ejecutar código en el contexto del proceso actual

Gravedad CVSS v3.1: ALTA

Última modificación:

11/03/2022

Vulnerabilidad en el módulo Mendix Forgot Password Appstore (CVE-2022-26313)

Fecha de publicación:

08/03/2022

Idioma:

Español

Se ha identificado una vulnerabilidad en el módulo Mendix Forgot Password Appstore (Todas las versiones posteriores a V3.3.0 incluyéndola, anteriores a V3.5.1). En determinadas configuraciones del producto afectado, un actor de amenaza podría usar el flujo de registro para secuestrar cuentas de usuario arbitrarias

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

11/03/2022

Vulnerabilidad en el módulo Mendix Forgot Password Appstore (CVE-2022-26314)

Fecha de publicación:

08/03/2022

Idioma:

Español

Se ha identificado una vulnerabilidad en el módulo Mendix Forgot Password Appstore (Todas las versiones posteriores a V3.3.0 incluyéndola, anteriores a V3.5.1), módulo Mendix Forgot Password Appstore (compatible con Mendix 7) (Todas las versiones anteriores a V3.2.2). Las contraseñas iniciales son generadas de forma no segura. Esto podría permitir a un atacante remoto no autenticado forzar eficazmente las contraseñas en situaciones específicas

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

11/03/2022

Vulnerabilidad en las aplicaciones de Mendix usadas en Mendix 7 (CVE-2022-26317)

Fecha de publicación:

08/03/2022

Idioma:

Español

Se ha identificado una vulnerabilidad en las aplicaciones de Mendix usadas en Mendix 7 (Todas las versiones anteriores a V7.23.29). Cuando es devuelto el resultado de una llamada de ejecución de Microflow completada, el framework afectado no verifica correctamente, si la petición fue realizada inicialmente por el usuario que solicita el resultado. Junto con los identificadores predecibles para las llamadas de ejecución de Microflow, esto podría permitir a un atacante malicioso recuperar información sobre llamadas de ejecución de Microflow arbitrarias realizadas por usuarios dentro del sistema afectado

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/07/2023

Suscribirse a Vulnerabilidades