Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Zoho ManageEngine Desktop Central (CVE-2018-5342)

Fecha de publicación:

18/04/2018

Idioma:

Español

Se ha descubierto un problema en Zoho ManageEngine Desktop Central 10.0.124 y 10.0.184 de ejecución de servicios de red (Desktop Central y PostgreSQL) con una cuenta de superusuario.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/10/2019

Vulnerabilidad en Mautic (CVE-2018-8092)

Fecha de publicación:

18/04/2018

Idioma:

Español

Mautic en versiones anteriores a la 2.13.0 permite la inyección CSV.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

24/08/2020

Vulnerabilidad en undertow (CVE-2017-12196)

Fecha de publicación:

18/04/2018

Idioma:

Español

Se ha descubierto que undertow, en sus versiones 1.4.18.SP1, 2.0.2.Final y 1.4.24.Final, es vulnerable al usar la autenticación Digest, ya que el servidor no garantiza que el valor del URI en la cabecera Authorization coincida con el URIb en la línea de petición HTTP. Esto permite que el atacante provoque un ataque Man-in-the-Middle (MitM) y acceda al contenido que desee en el servidor.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en Nagios XI (CVE-2018-8735)

Fecha de publicación:

18/04/2018

Idioma:

Español

Vulnerabilidad de ejecución remota de comandos (RCE) en Nagios XI, en versiones 5.2.x hasta la 5.4.x anteriores a la 5.4.13, permite que un atacante ejecute comandos arbitrarios en el sistema objetivo. Esto también se conoce como inyección de comandos del sistema operativo.

Gravedad CVSS v3.1: ALTA

Última modificación:

04/03/2019

Vulnerabilidad en el gestor core config en Nagios XI (CVE-2018-8734)

Fecha de publicación:

18/04/2018

Idioma:

Español

Vulnerabilidad de inyección SQL en el gestor core config en Nagios XI, en versiones 5.2.x hasta la 5.4.x anteriores a la 5.4.13, permite que un atacante ejecute comandos SQL arbitrarios mediante el parámetro selInfoKey1.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

05/03/2019

Vulnerabilidad en LogMeIn LastPass (CVE-2018-10193)

Fecha de publicación:

18/04/2018

Idioma:

Español

LogMeIn LastPass hasta la versión 4.15.0 permite que atacantes remotos provoquen una denegación de servicio (bloqueo del navegador) mediante un documento HTML debido a que el consumo de recursos de onloadwff.js aumenta con el número de elementos INPUT.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/10/2019

Vulnerabilidad en el gestor core config en Nagios XI (CVE-2018-8733)

Fecha de publicación:

18/04/2018

Idioma:

Español

Vulnerabilidad de omisión de autenticación en el gestor core config en Nagios XI, en versiones 5.2.x hasta la 5.4.x anteriores a la 5.4.13, permite que un atacante no autenticado realice cambios en la configuración y aproveche una vulnerabilidad de inyección SQL autenticada.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

03/10/2019

Vulnerabilidad en Nagios XI (CVE-2018-8736)

Fecha de publicación:

18/04/2018

Idioma:

Español

Vulnerabilidad de escalado de privilegios en Nagios XI, en versiones 5.2.x hasta la 5.4.x anteriores a la 5.4.13, permite que un atacante aproveche una vulnerabilidad de RCE para escalar hasta root.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/10/2019

Vulnerabilidad en IPVanish (CVE-2018-10192)

Fecha de publicación:

17/04/2018

Idioma:

Español

IPVanish 3.0.11 para macOS sufre de una vulnerabilidad de escalado de privilegios root. El LaunchDaemon `com.ipvanish.osx.vpnhelper` implementa un servicio XPC inseguro que podría permitir que un atacante ejecute código arbitrario como usuario root. IPVanish usa una biblioteca de terceros para convertir los tipos `xpc_object_t` en tipos `NSObject` para el envío de mensajes XPC. cuando IPVanish establece una nueva conexión, el siguiente mensaje XPC se envía al LaunchDaemon `com.ipvanish.osx.vpnhelper`. Debido a que el propio servicio XPC no valida una conexión entrante, cualquier aplicación instalada en el sistema operativo puede enviar mensajes XPC. En el caso del mensaje "connect", un atacante podría manipular `OpenVPNPath` para que señale a un binario malicioso en el sistema. `com.ipvanish.osx.vpnhelper` recibiría el comando VPNHelperConnect y ejecutaría el binario malicioso como usuario root.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

03/10/2019

Vulnerabilidad en productos CENTUM (CVE-2018-8838)

Fecha de publicación:

17/04/2018

Idioma:

Español

Una debilidad en los controles de acceso en CENTUM CS 1000 en todas las versiones, CENTUM CS 3000 en versiones R3.09.50 y anteriores, CENTUM CS 3000 Small en versiones R3.09.50 y anteriores, CENTUM VP en versiones R6.03.10 y anteriores, CENTUM VP Small en versiones R6.03.10 y anteriores, CENTUM VP Basic en versiones R6.03.10 y anteriores, Exaopc en versiones R3.75.00 y anteriores, B/M9000 CS en todas las versiones y B/M9000 VP en versiones R8.01.01 y anteriores podría permitir que un atacante local explote la función de gestión de mensajes del sistema. Se ha calculado una puntuación base de CVSS v3 de 6.5; la cadena de vector CVSS es (AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:H/A:H).

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/10/2019

Vulnerabilidad en mruby (CVE-2018-10191)

Fecha de publicación:

17/04/2018

Idioma:

Español

En las versiones de mruby hasta, e incluyendo, la versión 1.4.0, existe un desbordamiento de enteros en src/vm.c::mrb_vm_exec() al gestionar OP_GETUPVAR en presencia de una anidación profunda del ámbito, lo que resulta en un uso de memoria previamente liberada. Un atacante que pueda hacer que se ejecute código Ruby puede aprovecharse de esto para ejecutar código arbitrario.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

12/05/2022

Vulnerabilidad en Mautic (CVE-2018-10189)

Fecha de publicación:

17/04/2018

Idioma:

Español

Se ha descubierto un problema en Mautic, en versiones 1.x y 2.x anteriores a la 2.13.0. Es posible emular de forma sistemática el rastreo de cookies por contacto debido al rastreo de contacto por su ID autoincrementada. Por lo tanto, un tercero puede manipular el valor de la cookie con un +1 para asumir sistemáticamente que se está rastreando como cada contacto en Mautic. Así, sería posible recuperar información sobre el contacto a través de formularios que tengan habilitada la generación de perfiles progresiva.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/05/2018

Suscribirse a Vulnerabilidades