Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en ESTsoft ALZip (CVE-2018-10027)

Fecha de publicación:

17/05/2018

Idioma:

Español

ESTsoft ALZip en versiones anteriores a la 10.76 permite que usuarios locales ejecuten código arbitrario mediante la creación de un archivo .DLL malicioso e instalándolo en un directorio específico: %PROGRAMFILES%\ESTsoft\ALZip\Formats, %PROGRAMFILES%\ESTsoft\ALZip\Coders, %PROGRAMFILES(X86)%\ESTsoft\ALZip\Formats o %PROGRAMFILES(X86)%\ESTsoft\ALZip\Coders.

Gravedad CVSS v3.1: ALTA

Última modificación:

19/06/2018

Vulnerabilidad en la función in_table_init16 en Libav (CVE-2018-11224)

Fecha de publicación:

17/05/2018

Idioma:

Español

Se ha descubierto un problema en Libav 12.3. Violación de acceso de lectura en la función in_table_init16 en libavcodec/aacsbr.c permite que atacantes remotos provoquen una denegación de servicio (cierre inesperado de la aplicación), tal y como queda demostrado con avconv.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/06/2018

Vulnerabilidad en la función dcputs en libming (CVE-2018-11225)

Fecha de publicación:

17/05/2018

Idioma:

Español

La función dcputs en decompile.c en libming hasta la versión 0.4.8 gestiona de manera incorrecta los casos en los que la cabecera indica un tamaño de archivo mayor al real. Esto permite que atacantes remotos provoquen una denegación de servicio (fallo de segmentación y cierre inesperado de la aplicación) u otro posible impacto sin especificar.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/06/2018

Vulnerabilidad en la función getString en libming (CVE-2018-11226)

Fecha de publicación:

17/05/2018

Idioma:

Español

La función getString en decompile.c en libming hasta la versión 0.4.8 gestiona de manera incorrecta los casos en los que la cabecera indica un tamaño de archivo mayor al real. Esto permite que atacantes remotos provoquen una denegación de servicio (fallo de segmentación y cierre inesperado de la aplicación) u otro posible impacto sin especificar.

Gravedad CVSS v3.1: ALTA

Última modificación:

20/06/2018

Vulnerabilidad en Cisco Digital Network Architecture Center (CVE-2018-0222)

Fecha de publicación:

17/05/2018

Idioma:

Español

Una vulnerabilidad en Cisco Digital Network Architecture (DNA) Center podría permitir que un atacante remoto no autenticado inicie sesión en un sistema afectado mediante el uso de una cuenta administrativa que tiene credenciales de usuario estáticas por defecto. La vulnerabilidad se debe a la presencia de credenciales de usuario estáticas por defecto no documentadas para la cuenta administrativa del software afectado. Un atacante podría explotar esta vulnerabilidad empleando la cuenta para iniciar sesión en un sistema afectado. Su explotación con éxito podría permitir que el atacante consiga iniciar sesión en el sistema afectado y ejecute comandos arbitrarios con privilegios root. Esta vulnerabilidad afecta a todas las distribuciones de Cisco DNA Center Software anteriores a Release 1.1.3. Cisco Bug IDs: CSCvh98929.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

09/10/2019

Vulnerabilidad en Cisco Enterprise NFV Infrastructure Software (CVE-2018-0323)

Fecha de publicación:

17/05/2018

Idioma:

Español

Una vulnerabilidad en la interfaz de gestión web de Cisco Enterprise NFV Infrastructure Software (NFVIS) podría permitir que un atacante remoto autenticado lleve a cabo un ataque de salto de directorio contra un sistema afectado. Esta vulnerabilidad se debe a una validación insuficiente de los parámetros de petición web. Un atacante que tenga acceso a la interfaz de gestión web de la aplicación afectada podría explotar esta vulnerabilidad mediante el envío de una petición web maliciosa al dispositivo afectado. Su explotación con éxito podría permitir que el atacante acceda a información sensible del sistema afectado. Cisco Bug IDs: CSCvh99631.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en Cisco Enterprise NFV Infrastructure Software (CVE-2018-0324)

Fecha de publicación:

17/05/2018

Idioma:

Español

Una vulnerabilidad en la interfaz de línea de comandos de Cisco Enterprise NFV Infrastructure Software podría permitir que un atacante local autenticado con altos privilegios realice un ataque de inyección de comandos. La vulnerabilidad se debe a una validación de entrada insuficiente de algunos parámetros de comandos en el analizador sintáctico de la interfaz de línea de comandos. Un atacante podría explotar esta vulnerabilidad invocando un comando específico de la interfaz de línea de comandos con parámetros maliciosos manipulados. Su explotación con éxito podría permitir que el atacante ejecute comandos arbitrarios con una cuenta de usuario no root al sistema operativo Linux subyacente en el dispositivo afectado. Cisco Bug IDs: CSCvi09723.

Gravedad CVSS v3.1: MEDIA

Última modificación:

04/09/2020

Vulnerabilidad en productos Cisco IP Phone (CVE-2018-0325)

Fecha de publicación:

17/05/2018

Idioma:

Español

Una vulnerabilidad en la funcionalidad de gestión de llamadas SIP (Session Initiation Protocol) de los teléfonos Session Initiation Protocol de las series 7800 y 8800 podría permitir que un atacante remoto no autenticado provoque una denegación de servicio (DoS) en un teléfono afectado. La vulnerabilidad se debe a la validación de entradas incorrecta de los parámetros SIP Session Description Protocol (SDP) mediante el analizador SDP de un teléfono afectado. Un atacante podría explotar esta vulnerabilidad enviando una un paquete SIP mal formado al teléfono afectado. Su explotación con éxito podría permitir que el atacante provoque que todas las llamadas de teléfono activas en el teléfono afectado se cuelguen mientras el proceso SIP se reinicia inesperadamente, lo que resulta en una condición de denegación de servicio (DoS). Cisco Bug IDs: CSCvf40066.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/10/2019

Vulnerabilidad en Cisco TelePresence Server Software (CVE-2018-0326)

Fecha de publicación:

17/05/2018

Idioma:

Español

Una vulnerabilidad en la interfaz de usuario web de Cisco TelePresence Server Software podría permitir que un atacante remoto sin autenticar lleve a cabo un ataque de Cross-Frame Scripting (XFS) contra un usuario de la interfaz web del software afectado. Esta vulnerabilidad se debe a las protecciones insuficientes de inline frames HTML (iframes) de la interfaz web del software afectado. Un atacante podría explotar esta vulnerabilidad persuadiendo a un usuario de la interfaz afectada para que visite una página web controlada por el atacante que contenga un iframe de HTML malicioso. Su explotación con éxito podría permitir que el atacante lleve a cabo el secuestro de clics u otros ataques de navegador del lado del cliente en el sistema afectado. Cisco Bug IDs: CSCun79565.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en Cisco Identity Services Engine (CVE-2018-0327)

Fecha de publicación:

17/05/2018

Idioma:

Español

Una vulnerabilidad en el código framework de red de Cisco Identity Services Engine (ISE) podría permitir que un atacante remoto sin autenticar lleve a cabo un ataque de Cross-Site Scripting (XSS) contra un usuario de dicha interfaz en el sistema afectado. La vulnerabilidad se debe a una validación de entrada insuficiente de ciertos parámetros que se pasan al software afectado mediante los métodos HTTP GET y POST. Un atacante que pueda convencer a un usuario para que siga un enlace proporcionado por el atacante podría ejecutar código de script o HTML en el navegador del usuario en el contexto de un sitio afectado. Cisco Bug IDs: CSCvg86743.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en Cisco Digital Network Architecture Center (CVE-2018-0268)

Fecha de publicación:

17/05/2018

Idioma:

Español

Una vulnerabilidad en el subsistema de gestión de contenedores de Cisco Digital Network Architecture (DNA) Center podría permitir que un atacante remoto no autenticado omita la autenticación y obtenga privilegios elevados. La vulnerabilidad se debe a una configuración insegura por defecto de subsistema de gestión de contenedores en DNA Center. Un atacante que tenga la capacidad de acceder al puerto del servicio Kubernetes podría ejecutar comandos con privilegios elevados en los contenedores provisionados. Su explotación con éxito podría resultar en un compromiso total de los contenedores afectados. Esta vulnerabilidad afecta a Cisco DNA Center Software en su versión 1.1.3 y anteriores. Cisco Bug IDs: CSCvi47253.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

09/10/2019

Vulnerabilidad en Cisco IoT Field Network Director (CVE-2018-0270)

Fecha de publicación:

17/05/2018

Idioma:

Español

Una vulnerabilidad en la interfaz de gestión basada en web de Cisco IoT Field Network Director (IoT-FND) podría permitir que un atacante remoto sin autenticar lleve a cabo un ataque de Cross-Site Request Forgery (CSRF) y alterar los datos de grupos y usuarios existentes en un dispositivo afectado. La vulnerabilidad se debe a la medidas de protección contra CSRF insuficientes para la interfaz de administración web de un dispositivo afectado. Un atacante podría explotar esta vulnerabilidad haciendo que un usuario de la interfaz siga un enlace malicioso. Su explotación con éxito podría permitir que el atacante realice acciones arbitrarias con el nivel de privilegios del usuario afectado. Si el usuario tiene privilegios administrativos, el atacante podría crear una nueva cuenta privilegiada para obtener el control total de la interfaz del dispositivo. Esta vulnerabilidad afecta a Connected Grid Network Management System, si ejecuta una versión de software anterior a IoT-FND Release 3.0; IoT Field Network Director, si ejecuta una versión de software anterior a IoT-FND Release 4.1.1-6 o 4.2.0-123. Cisco Bug IDs: CSCvi02448.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/10/2019

Suscribirse a Vulnerabilidades