Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2025-52947

Fecha de publicación:

11/07/2025

Idioma:

Español

Una vulnerabilidad de Manejo Inadecuado de Condiciones Excepcionales en el procesamiento de rutas de Juniper Networks Junos OS en plataformas específicas de la serie ACX al final de su vida útil (EOL) permite a un atacante bloquear la placa del motor de reenvío (FEB) mediante la fluctuación de una interfaz, lo que provoca una denegación de servicio (DoS). En los dispositivos ACX1000, ACX1100, ACX2000, ACX2100, ACX2200, ACX4000, ACX5048 y ACX5096, FEB0 se bloquea cuando falla el puerto de ruta principal del protocolo de puerta de enlace interior (IGP) del circuito L2 del dispositivo local. Este problema solo se observa cuando se configura el modo de espera activa para el circuito L2. Este problema afecta a Junos OS en ACX1000, ACX1100, ACX2000, ACX2100, ACX2200, ACX4000, ACX5048 y ACX5096: * todas las versiones anteriores a 21.2R3-S9.

Gravedad CVSS v4.0: ALTA

Última modificación:

11/07/2025

CVE-2025-52948

Fecha de publicación:

11/07/2025

Idioma:

Español

Una vulnerabilidad de Manejo Inadecuado de Condiciones Excepcionales en el procesamiento del Filtro de Paquetes Berkeley (BPF) del sistema operativo Junos de Juniper Networks permite que un atacante, en casos excepcionales, envíe patrones de tráfico específicos y desconocidos para provocar el bloqueo y reinicio del FPC y del sistema. El BPF proporciona una interfaz sin procesar a las capas de enlace de datos de forma independiente del protocolo. Internamente, dentro del kernel de Junos, debido a un problema de sincronización poco frecuente (condición de ejecución), al clonar una instancia de BPF, la interfaz recién creada provoca una fuga de estructura interna, lo que provoca un bloqueo del sistema. El contenido y la sincronización precisos de los patrones de tráfico son indeterminados, pero se han observado en un entorno de laboratorio en múltiples ocasiones. Este problema es más probable cuando la captura de paquetes está habilitada. Consulte la configuración requerida a continuación. Este problema afecta a Junos OS: * todas las versiones anteriores a 21.2R3-S9, * desde 21.4 hasta 21.4R3-S10, * desde 22.2 hasta 22.2R3-S6, * desde 22.4 hasta 22.4R3-S7, * desde 23.2 hasta 23.2R2-S3, * desde 23.4 hasta 23.4R2-S3, * desde 24.2 hasta 24.2R1-S1, 24.2R2.

Gravedad CVSS v4.0: ALTA

Última modificación:

11/07/2025

CVE-2025-52949

Fecha de publicación:

11/07/2025

Idioma:

Español

Una vulnerabilidad de manejo inadecuado de la inconsistencia del parámetro de longitud en el daemon de protocolo de enrutamiento (rpd) de Juniper Networks Junos OS y Junos OS Evolved permite que un par BGP lógicamente adyacente envíe un paquete BGP específicamente malformado y provoque el bloqueo y reinicio del rpd, lo que resulta en una denegación de servicio (DoS). La recepción y el procesamiento continuos de este paquete generarán una denegación de servicio (DoS) sostenida. Solo los sistemas configurados para la señalización de redes privadas virtuales Ethernet (EVPN) son vulnerables a este problema. Este problema afecta a iBGP y eBGP, y tanto IPv4 como IPv6 se ven afectados por esta vulnerabilidad. Este problema afecta a: Junos OS: * todas las versiones anteriores a 21.4R3-S11, * desde 22.2 hasta 22.2R3-S7, * desde 22.4 hasta 22.4R3-S7, * desde 23.2 hasta 23.2R2-S4, * desde 23.4 hasta 23.4R2-S5, * desde 24.2 hasta 24.2R2-S1, * desde 24.4 hasta 24.4R1-S3, 24.4R2; Junos OS Evolved: * todas las versiones anteriores a 22.2R3-S7-EVO, * desde 22.4-EVO hasta 22.4R3-S7-EVO, * desde 23.2-EVO hasta 23.2R2-S4-EVO, * desde 23.4-EVO hasta 23.4R2-S5-EVO, * desde 24.2-EVO hasta 24.2R2-S1-EVO, * desde 24.4-EVO hasta 24.4R1-S3-EVO, 24.4R2-EVO.

Gravedad CVSS v4.0: ALTA

Última modificación:

11/07/2025

CVE-2025-52950

Fecha de publicación:

11/07/2025

Idioma:

Español

Una vulnerabilidad de falta de autorización en Juniper Networks Security Director permite a un atacante no autenticado acceder o manipular múltiples recursos confidenciales a través de la interfaz web. Numerosos endpoints del dispositivo Juniper Security Director no validan la autorización y entregan al usuario información que excede su nivel de autorización. Un atacante puede acceder a datos que exceden el nivel de autorización del usuario. La información obtenida puede utilizarse para obtener acceso a información adicional o perpetrar otros ataques, afectando a los dispositivos administrados en sentido descendente. Este problema afecta a la versión 24.4.1 de Security Director.

Gravedad CVSS v4.0: MEDIA

Última modificación:

11/07/2025

CVE-2025-52951

Fecha de publicación:

11/07/2025

Idioma:

Español

Una vulnerabilidad de fallo del mecanismo de protección en el procesamiento del filtro del kernel de Junos OS de Juniper Networks permite a un atacante que envía tráfico IPv6 a una interfaz eludir eficazmente cualquier filtrado del firewall configurado en ella. Debido a un problema con el procesamiento del filtro del kernel de Junos OS, no se admite la coincidencia "payload-protocol", lo que provoca que cualquier término que la contenga acepte todos los paquetes sin realizar ninguna otra acción. En esencia, estos términos del filtro del firewall se procesaban como una "aceptación" para todo el tráfico de la interfaz. Este problema afecta a Junos OS: * todas las versiones anteriores a 21.2R3-S9, * desde la versión 21.4 hasta la 21.4R3-S11, * desde la versión 22.2 hasta la 22.2R3-S7, * desde la versión 22.4 hasta la 22.4R3-S7, * desde la versión 23.2 hasta la 23.2R2-S4, * desde la versión 23.4 hasta la 23.4R2-S5, * desde la versión 24.2 hasta la 24.2R2-S1, * desde la versión 24.4 hasta la 24.4R1-S2, 24.4R2. Esta es una corrección más completa para la CVE-2024-21607 (JSA75748) publicada anteriormente.

Gravedad CVSS v4.0: MEDIA

Última modificación:

11/07/2025

CVE-2025-52952

Fecha de publicación:

11/07/2025

Idioma:

Español

Una vulnerabilidad de escritura fuera de los límites en el daemon de gestión de fallos de conectividad (CFM) de Juniper Networks Junos OS en la serie MX con tarjetas de línea MPC-BUILTIN, MPC1 a MPC9, permite que un atacante adyacente no autenticado envíe un paquete malformado al dispositivo, lo que provoca un bloqueo y reinicio de FPC, lo que resulta en una denegación de servicio (DoS). La recepción y el procesamiento continuos de este paquete crearán una condición de denegación de servicio (DoS) sostenida. Este problema afecta a Juniper Networks: Sistema operativo Junos: * Todas las versiones anteriores a 22.2R3-S1, * Desde la versión 22.4 hasta la 22.4R2. Esta función no está habilitada por defecto.

Gravedad CVSS v4.0: ALTA

Última modificación:

11/07/2025

CVE-2025-30661

Fecha de publicación:

11/07/2025

Idioma:

Español

Una vulnerabilidad de asignación incorrecta de permisos para recursos críticos en el procesamiento de scripts de tarjetas de línea de Juniper Networks Junos OS permite que un usuario local con pocos privilegios instale scripts para su ejecución como root, lo que provoca una escalada de privilegios. Un usuario local con acceso al sistema de archivos local puede copiar un script al router para que se ejecute como root al iniciar el sistema. La ejecución del script como root puede provocar una escalada de privilegios, lo que podría otorgar al atacante el control total del sistema. Este problema solo afecta a tarjetas de línea específicas, como MPC10, MPC11, LC4800, LC9600, MX304-LMIC16, SRX4700 y EX9200-15C. Este problema afecta a Junos OS: * de la versión 23.2 anterior a 23.2R2-S4, * de la versión 23.4 anterior a 23.4R2-S5, * de la versión 24.2 anterior a 24.2R2-S1, * de la versión 24.4 anterior a 24.4R1-S3, 24.4R2. Este problema no afecta a las versiones anteriores a 23.1R2.

Gravedad CVSS v4.0: ALTA

Última modificación:

11/07/2025

CVE-2025-52946

Fecha de publicación:

11/07/2025

Idioma:

Español

Una vulnerabilidad de Use After Free en el daemon del protocolo de enrutamiento (rpd) de Juniper Networks Junos OS y Juniper Networks Junos OS Evolved permite que un atacante que envíe una actualización de BGP con una ruta AS PATH malformada provoque el bloqueo de rpd, lo que resulta en una denegación de servicio (DoS). La recepción continua del atributo AS PATH malformado provocará una denegación de servicio (DoS) sostenida. En todas las plataformas Junos OS y Junos OS Evolved, el proceso rpd se bloquea y se reinicia cuando se recibe una ruta AS PATH malformada en una actualización de BGP y las opciones de seguimiento están habilitadas. Este problema solo afecta a sistemas con opciones de seguimiento de BGP habilitadas y requiere que una sesión de BGP ya esté establecida. Los sistemas sin opciones de seguimiento de BGP habilitadas no se ven afectados. Este problema afecta a: Junos OS: * Todas las versiones anteriores a 21.2R3-S9, * todas las versiones de 21.4, * desde 22.2 hasta 22.2R3-S6, * desde 22.4 hasta 22.4R3-S5, * desde 23.2 hasta 23.2R2-S3, * desde 23.4 hasta 23.4R2-S4, * desde 24.2 hasta 24.2R2; Junos OS Evolved: * Todas las versiones anteriores a 22.4R3-S5-EVO, * desde 23.2-EVO hasta 23.2R2-S3-EVO, * desde 23.4-EVO hasta 23.4R2-S4-EVO, * desde 24.2-EVO hasta 24.2R2-EVO. Esta es una solución más completa para CVE-2024-39549 (JSA83011) publicada anteriormente.

Gravedad CVSS v4.0: ALTA

Última modificación:

11/07/2025

CVE-2025-48924

Fecha de publicación:

11/07/2025

Idioma:

Español

Vulnerabilidad de recursión incontrolada en Apache Commons Lang. Este problema afecta a Apache Commons Lang: a partir de commons-lang:commons-lang 2.0 a 2.6, y desde org.apache.commons:commons-lang3 3.0 hasta 3.18.0. El método ClassUtils.getClass(...) puede generar un error de StackOverflowError en entradas muy largas. Dado que las aplicaciones y librerías no suelen gestionar un error, un error de StackOverflowError podría provocar la detención de una aplicación. Se recomienda actualizar a la versión 3.18.0, que soluciona el problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/07/2025

CVE-2025-52089

Fecha de publicación:

11/07/2025

Idioma:

Español

Una función de soporte remoto oculta protegida por un secreto estático en la versión 8.54 del firmware TOTOLINK N300RB permite que un atacante autenticado ejecute comandos arbitrarios del sistema operativo con privilegios de root.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/07/2025

CVE-2023-38327

Fecha de publicación:

11/07/2025

Idioma:

Español

Se detectó un problema en eGroupWare 17.1.20190111. Existe una vulnerabilidad de enumeración de usuarios en calendar/freebusy.php, que permite a atacantes remotos no autenticados enumerar a los usuarios de aplicaciones web según la respuesta del servidor.

Gravedad: Pendiente de análisis

Última modificación:

11/07/2025

CVE-2023-38329

Fecha de publicación:

11/07/2025

Idioma:

Español

Se descubrió un problema en eGroupWare 17.1.20190111. Existe una vulnerabilidad de cross-site scripting (XSS) reflejado en calendar/freebusy.php, que permite a atacantes remotos no autenticados inyectar código web o HTML arbitrario en el parámetro HTTP/GET "usuario", que refleja su entrada sin depurar.

Gravedad: Pendiente de análisis

Última modificación:

11/07/2025

Suscribirse a Vulnerabilidades