Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en el inicio de secuencia de comandos de Tomcat en múltiples paquetes en Debian jessie y Ubuntu (CVE-2016-1240)

Fecha de publicación:
03/10/2016
Idioma:
Español
El inicio de secuencia de comandos de Tomcat en el paquete tomcat7 en versiones anteriores 7.0.56-3+deb8u4 y el paquete tomcat8 en versiones anteriores 8.0.14-1+deb8u3 en Debian jessie y los paquetes tomcat6 y libtomcat6-java en versiones anteriores 6.0.35-1ubuntu3.8 en Ubuntu 12.04 LTS, los paquetes tomcat7 y libtomcat7-java en versiones anteriores 7.0.52-1ubuntu0.7 en Ubuntu 14.04 LTS y los paquetes tomcat8 y libtomcat8-java en versiones anteriores 8.0.32-1ubuntu1.2 en Ubuntu 16.04 LTS permite a usuarios locales con acceso a la cuenta tomcat obtener privilegios de root a través de un ataque de enlace simbólico en archivo de registro Catalina, según lo demostrado por /var/log/tomcat7/catalina.out.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/04/2025

Vulnerabilidad en IBM DB2, GA en Linux, AIX y HP-UX (CVE-2016-5995)

Fecha de publicación:
01/10/2016
Idioma:
Español
Vulnerabilidad de ruta de búsqueda no confiable en IBM DB2 9.7 hasta la versión FP11, 10.1 hasta la versión FP5, 10.5 en versiones anteriores a FP8 y 11.1 GA en Linux, AIX y HP-UX permite a usuarios locales obtener privilegios a través de una librería troyanizada a la que se accede mediante un programa setuid o setgid.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/04/2025

Vulnerabilidad en IBM WebSphere Application Server y Liberty (CVE-2016-5986)

Fecha de publicación:
01/10/2016
Idioma:
Español
IBM WebSphere Application Server (WAS) 7.x en versiones anteriores a 7.0.0.43, 8.0.x en versiones anteriores a 8.0.0.13, 8.5.x en versiones anteriores a 8.5.5.11, 9.0.x en versiones anteriores a 9.0.0.2 y Liberty en versiones anteriores a 16.0.0.3 maneja respuestas de manera incorrecta, lo que permite a atacantes remotos obtener información sensible a través de vectores no especificados.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/04/2025

Vulnerabilidad en la Web UI en IBM WebSphere Application Server Liberty (CVE-2016-3042)

Fecha de publicación:
01/10/2016
Idioma:
Español
Vulnerabilidad de XSS en la Web UI en IBM WebSphere Application Server (WAS) Liberty en versiones anteriores a 16.0.0.3 permite a usuarios remotos autenticados inyectar secuencias de comandos web o HTML arbitrarios a través de vectores que implican clientes de OpenID Connect .
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/04/2025

Vulnerabilidad en el componente kernel-uek en Oracle Linux 6 (CVE-2016-0617)

Fecha de publicación:
30/09/2016
Idioma:
Español
Vulnerabilidad no especificada en el componente kernel-uek en Oracle Linux 6 permite a usuarios locales afectar la disponibilidad a través de vectores no especificados.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/04/2025

Vulnerabilidad en el dispositivo final UAA /oauth/token en Pivotal Cloud Foundry (CVE-2016-6651)

Fecha de publicación:
30/09/2016
Idioma:
Español
El dispositivo final UAA /oauth/token en Pivotal Cloud Foundry (PCF) en versiones anteriores a 243; UAA 2.x en versiones anteriores a 2.7.4.8, 3.x en versiones anteriores a 3.3.0.6 y 3.4.x en versiones anteriores a 3.4.5; UAA BOSH en versiones anteriores a 11.7 y 12.x en versiones anteriores a 12.6; Elastic Runtime en versiones anteriores a 1.6.40, 1.7.x en versiones anteriores a 1.7.21 y 1.8.x en versiones anteriores a 1.8.2 y Ops Manager 1.7.x en versiones anteriores a 1.7.13 y 1.8.x en versiones anteriores a 1.8.1 permite a usuarios remotos autenticados obtener privilegios aprovechando la posesión de un token.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/04/2025

Vulnerabilidad en EMC ViPR SRM (CVE-2016-6647)

Fecha de publicación:
30/09/2016
Idioma:
Español
Vulnerabilidad de XSS en EMC ViPR SRM en versiones anteriores a 4.0.1 permite a usuarios remotos autenticados inyectar secuencias de comandos web o HTML arbitrarios a través de vectores no especificados.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/04/2025

Vulnerabilidad en Pivotal Cloud Foundry (CVE-2016-6637)

Fecha de publicación:
30/09/2016
Idioma:
Español
Múltiples vulnerabilidades de CSRF en Pivotal Cloud Foundry (PCF) en versiones anteriores a 242; UAA 2.x en versiones anteriores a 2.7.4.7, 3.x en versiones anteriores a 3.3.0.5 y 3.4.x en versiones anteriores a 3.4.4; UAA BOSH en versiones anteriores a 11.5 y 12.x en versiones anteriores a 12.5; Elastic Runtime en versiones anteriores a 1.6.40, 1.7.x en versiones anteriores a 1.7.21 y 1.8.x en versiones anteriores a 1.8.2 y Ops Manager 1.7.x en versiones anteriores a 1.7.13 y 1.8.x en versiones anteriores a 1.8.1 permiten a atacantes remotos secuestrar la autenticación de víctimas no especificadas para peticiones que aprueban o deniegan una extensión a través de un perfil o autoriza una página de aprobación.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
12/04/2025

Vulnerabilidad en la implementación de autorización OAuth en Pivotal Cloud Foundry (CVE-2016-6636)

Fecha de publicación:
30/09/2016
Idioma:
Español
La implementación de autorización OAuth en Pivotal Cloud Foundry (PCF) en versiones anteriores a 242; UAA 2.x en versiones anteriores a 2.7.4.7, 3.x en versiones anteriores a 3.3.0.5 y 3.4.x en versiones anteriores a 3.4.4; UAA BOSH en versiones anteriores a 11.5 y 12.x en versiones anteriores a 12.5; Elastic Runtime en versiones anteriores a 1.6.40, 1.7.x en versiones anteriores a 1.7.21 y 1.8.x en versiones anteriores a 1.8.1 y Ops Manager 1.7.x en versiones anteriores a 1.7.13 y 1.8.x en versiones anteriores a 1.8.1 no maneja adecuadamente subdominios redirect_uri, lo que permite a atacantes remotos obtener tokens de acceso implícito a través de un subdominio modificado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/04/2025

Vulnerabilidad en HPE Network Automation Software (CVE-2016-4386)

Fecha de publicación:
29/09/2016
Idioma:
Español
HPE Network Automation Software 10.10 permite a usuarios locales escribir a archivos arbitrarios a través de vectores no especificados.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/04/2025

Vulnerabilidad en el servicio RMI en HP Network Automation Software (CVE-2016-4385)

Fecha de publicación:
29/09/2016
Idioma:
Español
El servicio RMI en HP Network Automation Software 9.1x, 9.2x, 10.0x en versiones anteriores a 10.00.02.01 y 10.1x en versiones anteriores a 10.11.00.01 permite a atacantes remotos ejecutar comandos arbitrarios a través de un objeto Java serializado manipulado, relacionado con las bibliotecas Apache Commons Collections (ACC) y Commons BeanUtils.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/04/2025

Vulnerabilidad en el servidor web integrado en los módulos de Siemens SCALANCE M-800 y S615 (CVE-2016-7090)

Fecha de publicación:
29/09/2016
Idioma:
Español
El servidor web integrado en los módulos de Siemens SCALANCE M-800 y S615 con firmware en versión anterior a 4.02 no establece el indicador de seguridad para la cookie de la sesión en una sesión https, lo que facilita a atacantes remotos capturar esta cookie interceptando esta transmisión dentro de una sesión http.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/04/2025