Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Eclipse Jetty (CVE-2019-10247)

Fecha de publicación:

22/04/2019

Idioma:

Español

En Eclipse Jetty versión 7.x, versión 8.x,versión 9.2.27 y anteriores , versión 9.3.26 y anteriores , y versión 9.4.16 y anteriores, el servidor que se ejecuta en cualquier combinación de versión de sistema operativo y Jetty, revelará la ubicación del recurso base de directorio calificado y completamente configurado en la salida del error 404 para no encontrar un contexto que coincida con la path requerida. El comportamiento del servidor por defecto en jetty-distribution y jetty-home incluirá al final del árbol de Handlers un DefaultHandler, que es responsable de informar este error 404, presenta los diversos contextos configurados como HTML para que los usuarios hagan clic. Este HTML generado incluye una salida que contiene la ubicación de recursos base de directorio totalmente calificada y configurada para cada contexto.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/11/2023

Vulnerabilidad en Zyxel ATP200, ATP500, ATP800, USG20-VPN, USG20W-VPN, USG40, USG40W, USG60, USG60W, USG110, USG210, USG310, USG1100, USG1900, USG2200-VPN, ZyWALL 110, ZyWALL 310, ZyWALL 1100 (CVE-2019-9955)

Fecha de publicación:

22/04/2019

Idioma:

Español

En dispositivos Zyxel ATP200, ATP500, ATP800, USG20-VPN, USG20W-VPN, USG40, USG40W, USG60, USG60W, USG110, USG210, USG310, USG1100, USG1900, USG2200-VPN, ZyWALL 110, ZyWALL 310, ZyWALL 1100. La página de inicio de sesión del servidor de seguridad es vulnerable a Reflected XSS por medio del parámetro &#39;mp_idx&#39; no saneado.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/04/2019

Vulnerabilidad en firmware de Lenovo System x (CVE-2019-6157)

Fecha de publicación:

22/04/2019

Idioma:

Español

En varias versiones de firmware de Lenovo System x, First Failure Data Capture (FFDC) del módulo de administración integrada II (IMM2) incluye la clave privada del servidor web dentro del archivo de registro generado para soporte.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/10/2019

Vulnerabilidad en http/cervlet.c en Tildeslash Monit (CVE-2019-11454)

Fecha de publicación:

22/04/2019

Idioma:

Español

Un cross-site scripting (XSS) persistente en http/cervlet.c en Tildeslash Monit versiones anteriores a 5.25.3, permite a un atacante remoto no autenticado introducir un JavaScript arbitrario mediante la manipulación de un campo de usuario no validado del encabezado de Authorization para HTTP Basic Authentication, que se maneja incorrectamente durante una operación _viewlog.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/11/2023

Vulnerabilidad en Tildeslash Monit (CVE-2019-11455)

Fecha de publicación:

22/04/2019

Idioma:

Español

Una lectura excesiva de búfer en Util_urlDecode en util.c en Tildeslash Monit, versiones anteriores a 5.25.3, permite a un atacante remoto autenticado recuperar el contenido de la memoria adyacente mediante la manipulación de los parámetros GET o POST. El atacante también puede causar una denegación de servicio (interrupción de la aplicación).

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en heketi (CVE-2019-3899)

Fecha de publicación:

22/04/2019

Idioma:

Español

Se encontró que la configuración predeterminada de Heketi no requiere ninguna autenticación, y expone potencialmente la interfaz de gestión a un mal uso. Esta situación sólo afecta a heketi tal y como se envía con Openshift Container Platform versión 3.11.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

12/02/2023

Vulnerabilidad en la función perf_event_open() en los programas setuid en kernel (CVE-2019-3901)

Fecha de publicación:

22/04/2019

Idioma:

Español

Una condición de carrera en la función perf_event_open() permite a los atacantes locales filtrar datos confidenciales desde los programas setuid. Como no se mantienen bloqueos relevantes (en particular, la función cred_guard_mutex) durante la llamada ptrace_may_access(), es posible que la tarea de destino especificada realice un syscall execve() con la ejecución setuid anterior a que perf_event_alloc() realmente se conecte, permitiendo que un atacante omita la comprobación ptrace_may_access() y la llamada perf_event_exit_task(current) que se realiza en install_exec_creds() durante las llamadas privilegiadas execve(). Este problema afecta a las versiones del kernel versión anterior a 4.8.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/02/2023

Vulnerabilidad en Unity8 (CVE-2016-1584)

Fecha de publicación:

22/04/2019

Idioma:

Español

En todas las versiones de Unity8, una aplicación en ejecución pero no activa en un dispositivo de pantalla grande podía hablar con Maliit y consumir la entrada del teclado.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en plugin Oxide (CVE-2016-1586)

Fecha de publicación:

22/04/2019

Idioma:

Español

Una vista web maliciosa podría instalar manipuladores de descarga de larga duración que reutilizarían un BrowserContext de incógnito que está en cola para ser destruido en las versiones de Oxide anteriores a 1.18.3.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/10/2019

Vulnerabilidad en interfaz SNAP en Snapweb (CVE-2016-1587)

Fecha de publicación:

22/04/2019

Idioma:

Español

La interfaz Snapweb anterior a la versión 0.21.2 estaba exponiendo los controles para instalar o quitar paquetes de SNAP sin controlar la identidad del usuario, ni el origen de la conexión. Un atacante podría haber usado los controles para agregar remotamente un paquete de Snap válido, pero malicioso, desde la tienda, potencialmente utilizando recursos del sistema sin permiso del administrador legítimo del sistema.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/10/2019

Vulnerabilidad en la API en UDM (CVE-2016-1579)

Fecha de publicación:

22/04/2019

Idioma:

Español

UDM suministra soporte para ejecutar comandos después de que una descarga es completada, esto actualmente es usado para la instalación de paquetes de clics. Esta funcionalidad no estaba restringida a aplicaciones no limitadas. En UDM versión anterior a 1.2+16.04.20160408-0ubuntu1, cualquier aplicación confinada podría hacer uso de la API de UDM C++ para ejecutar comandos arbitrarios en un entorno no limitado como el usuario phablet.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

09/10/2019