Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Adaptive Security Appliance (ASA) (CVE-2019-1687)

Fecha de publicación:

03/05/2019

Idioma:

Español

Una vulnerabilidad en la funcionalidad de proxy TCP para el software Adaptive Security Appliance (ASA) de Cisco y el software Firepower Threat Defense (FTD) de Cisco, podría permitir que un atacante remoto no identificado cause que el dispositivo se reinicie inesperadamente, dando como resultado una condición de Denegación de Servicio (DoS) . La vulnerabilidad es debido a un error en la inspección de paquetes basados en TCP, lo que podría causar que el paquete TCP tenga un encabezado formateado de capa 2 (L2) no válido. Un atacante podría aprovechar esta vulnerabilidad enviando una secuencia de paquetes TCP creada hacia el dispositivo de destino. Una operación con éxito podría permitir al atacante causar una condición DoS.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/08/2023

Vulnerabilidad en el servicio WebVPN del software Cisco Adaptive Security Appliance (ASA) y del software Cisco Firepower Threat Defense (FTD) (CVE-2019-1693)

Fecha de publicación:

03/05/2019

Idioma:

Español

Una vulnerabilidad en el servicio WebVPN del software Cisco Adaptive Security Appliance (ASA) y del software Cisco Firepower Threat Defense (FTD) podía permitir a un atacante remoto, no autenticado, causar una condición de denegación de servicio (DoS) en un dispositivo afectado. La vulnerabilidad es debida una incorrecta gestión de las sesiones autenticadas en el portal WebVPN. Un atacante podría explotar esta vulnerabilidad autenticándose con unas credenciales válidas y accediendo a una URL específica en el portal WebVPN. Una explotación exitosa podría permitir a un atacante causar reinicios en el dispositivo, resultando una condición de DoS temporal.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/08/2023

Vulnerabilidad en el controlador de ingreso de TCP para Cisco Firepower Threat Defense (CVE-2018-15462)

Fecha de publicación:

03/05/2019

Idioma:

Español

Una vulnerabilidad en el controlador de ingreso de TCP para las interfaces de datos que están configuradas con acceso de administración al programa Cisco Firepower Threat Defense (FTD) podría permitir que un atacante remoto no autenticado provoque un aumento en el uso de la CPU y la memoria, dando como resultado una denegación de servicio( DoS) condición. La vulnerabilidad se debe a una limitación de la tasa de TCP de ingreso insuficiente para los puertos TCP 22 (SSH) y 443 (HTTPS). Un atacante podría atacar esta vulnerabilidad enviando un flujo de tráfico TCP continuo y creado al puerto 22 o 443 en las interfaces de datos que están configuradas con acceso de administración al dispositivo afectado.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/10/2019

Vulnerabilidad en la funcionalidad de validación de certificados de Transport Layer Security (TLS) del software Nexus 9000 Series Switch de Cisco (CVE-2019-1590)

Fecha de publicación:

03/05/2019

Idioma:

Español

Una vulnerabilidad en la funcionalidad de validación de certificados de Transport Layer Security (TLS) del software Nexus 9000 Series Switch de Cisco en modo Application Centric Infrastructure (ACI), podría permitir a un atacante remoto no autenticado realizar una autenticación no segura del cliente TLS en un dispositivo afectado. La vulnerabilidad es debido a que son insuficientes las validaciones de certificados del cliente TLS para los certificados enviados entre los distintos componentes de un ACI fabric. Un atacante que posea un certificado en el que confíe Cisco Manufacturing CA y la clave privada correspondiente podría explotar esta vulnerabilidad presentando un certificado válido mientras intenta conectarse al dispositivo de destino. Un exploit podría permitirle al atacante conseguir el control total de todos los demás componentes dentro del tejido ACI de un dispositivo afectado.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/10/2019

Vulnerabilidad en la funcionalidad background operations de Cisco Nexus 9000 (CVE-2019-1592)

Fecha de publicación:

03/05/2019

Idioma:

Español

Una vulnerabilidad en la funcionalidad background operations de Cisco Nexus 9000 Series Application Centric Infrastructure (ACI) podría permitir a un atacante local identificado conseguir privilegios elevados tipo root en un dispositivo afectado. La vulnerabilidad se debe a una comprobación insuficiente de los archivos provistos por el usuario en un dispositivo afectado. Un atacante podría operar esta vulnerabilidad si inicia sesión en la CLI del dispositivo afectado y crea un archivo diseñado en un directorio específico del sistema de archivos. Una función con éxito podría permitir al atacante ejecutar comandos de sistema operativo arbitrarios como tipo root en un dispositivo afectado.

Gravedad CVSS v3.1: ALTA

Última modificación:

16/10/2020

Vulnerabilidad en los Nexus 9000 Series Fabric de Cisco (CVE-2019-1587)

Fecha de publicación:

03/05/2019

Idioma:

Español

Una vulnerabilidad en los Nexus 9000 Series Fabric de Cisco en modo Application Centric Infrastructure (ACI), podría permitir que un atacante remoto identificado acceda a información confidencial. La vulnerabilidad se produce porque el software afectado no comprueba correctamente la entrada suministrada por el usuario. Un atacante podría aprovechar esta vulnerabilidad al emitir ciertos comandos con resultados de petición filtrados en el dispositivo. Esta acción puede causar que los mensajes devueltos muestren información confidencial del sistema. Una operación éxito podría permitirle al atacante leer información confidencial en el dispositivo.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/10/2020

Vulnerabilidad en la funcionalidad de Trusted Platform Module (TPM) del software para Nexus 9000 Series Fabric Switches de Cisco (CVE-2019-1589)

Fecha de publicación:

03/05/2019

Idioma:

Español

Una vulnerabilidad en la funcionalidad de Trusted Platform Module (TPM) del software para Nexus 9000 Series Fabric Switches de Cisco en modo Application Centric Infrastructure (ACI), podría permitir que un atacante local no autenticado con acceso físico pueda ver información confidencial en un dispositivo afectado. La vulnerabilidad se genera por la falta de mecanismos adecuados de protección de datos para las claves de cifrado de disco que se usan dentro de las particiones en el disco duro de un dispositivo afectado. Un atacante podría explotar esta vulnerabilidad al conseguir acceso físico al dispositivo afectado para visualizar ciertas claves de texto claro. Una explotación con éxito podría permitir al atacante ejecutar un proceso de arranque personalizado o realizar más ataques en un dispositivo afectado.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/10/2020

Vulnerabilidad en Session Initiation Protocol (SIP) (CVE-2019-1635)

Fecha de publicación:

03/05/2019

Idioma:

Español

Una vulnerabilidad en la funcionalidad de manejo de llamadas (call-handling) del Software Session Initiation Protocol (SIP) para teléfonos IP 7800 Series y 8800 Series de Cisco, podría permitir que un atacante remoto no identificado haga que un teléfono afectado se recargue inesperadamente, resultando en una condición de Denegación de Servicio (DoS ) temporal. La vulnerabilidad es debido a un manejo de errores incompleto cuando los datos XML dentro de un paquete SIP son analizados. Un atacante podría aprovechar esta vulnerabilidad enviando un paquete SIP que contiene una carga XML maliciosa a un teléfono afectado. Una operación éxito podría permitir al atacante hacer que el teléfono afectado se recargue inesperadamente, resultando en una condición DoS temporal.

Gravedad CVSS v3.1: ALTA

Última modificación:

16/10/2020

Vulnerabilidad en la función gen_rand_uuid en el archivo lib / uuid.c (CVE-2019-11690)

Fecha de publicación:

03/05/2019

Idioma:

Español

La función gen_rand_uuid en el archivo lib / uuid.c en Das U-Boot versión 2014.04 hasta 2019.04, carece de una llamada srand, que permite a los atacantes determinar valores UUID en escenarios donde CONFIG_RANDOM_UUID está habilitado, y Das U-Boot se basa en los valores UUID de una tabla de particiones GUID de un dispositivo de arranque.

Gravedad CVSS v3.1: MEDIA

Última modificación:

06/05/2019

Vulnerabilidad en el formato de archivo DICOM Part 10 en el estandar NEMA DICOM (CVE-2019-11687)

Fecha de publicación:

02/05/2019

Idioma:

Español

Se detectó un problema en el formato de archivo DICOM Part 10 en el estandar NEMA DICOM versión 1995 hasta 2019b. El preámbulo de un archivo DICOM que cumple con esta especificación puede contener el encabezado de un archivo ejecutable, como lo es el malware Portable Executable (PE). Este espacio no se especifica para que se puedan crear archivos de doble propósito. (Por ejemplo, los archivos TIFF/DICOM de doble propósito se usan en imágenes de diapositivas digitales completas para aplicaciones en medicina). Para aprovechar esta vulnerabilidad, alguien debe ejecutar un archivo creado con fines maliciosos que esté codificado en el formato de archivo DICOM Part 10. Los archivos PE/DICOM son ejecutables incluso con la extensión de archivo.dcm. Las configuraciones anti-malware en las instalaciones de salud a menudo ignoran las imágenes médicas. Además, las herramientas antimalware y los procesos comerciales podrían infringir los marcos regulatorios (como HIPAA) al procesar archivos DICOM sospechosos.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/07/2025

Vulnerabilidad en phpBB (CVE-2019-9826)

Fecha de publicación:

02/05/2019

Idioma:

Español

El componente de búsqueda de texto completo en PHP versión anterior a 3.2.6 permite una Denegación de Servicio,

Gravedad CVSS v3.1: ALTA

Última modificación:

04/05/2019

Vulnerabilidad en viewcgi.c de NCBI ToolBox (CVE-2018-16716)

Fecha de publicación:

02/05/2019

Idioma:

Español

En viewcgi.c existe una vulnerabilidad de paso de ruta en las versiones desde la 2.0.7 hasta la 2.2.26 de NCBI ToolBox, que puede dar lugar a la lectura de archivos arbitrarios (es decir, a la divulgación de información importante) o a la eliminación de archivos mediante la cadena de consulta nph-viewgif.cgi.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

03/05/2019

Suscribirse a Vulnerabilidades