Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Cisco Firepower System Software (CVE-2018-0370)
Fecha de publicación:
16/07/2018
Idioma:
Español
Una vulnerabilidad en el motor de detección de Cisco Firepower System Software podría permitir que un atacante remoto sin autenticar provoque que uno de los procesos del motor de detección se quede sin memoria y, así, ralentice el procesamiento de tráfico. La vulnerabilidad se debe a la gestión incorrecta de tráfico cuando la política de inspección SSL (Secure Sockets Layer) está habilitada. Un atacante podría explotar esta vulnerabilidad enviando tráfico malicioso a través del dispositivo afectado. Su explotación podría permitir que el atacante aumente el consumo de recursos de una sola instancia del motor de detección de Snort en un dispositivo afectado. Esto conducirá a una degradación del rendimiento y, finalmente, al reinicio del proceso Snort afectado. Cisco Bug IDs: CSCvi09219, CSCvi29845.
Gravedad CVSS v3.1: ALTA
Última modificación:
26/11/2024

Vulnerabilidad en Cisco FireSIGHT System Software (CVE-2018-0383)
Fecha de publicación:
16/07/2018
Idioma:
Español
Una vulnerabilidad en el motor de detección de Cisco Firepower System Software podría permitir que un atacante remoto sin autenticar omita una política de archivos que esté configurada para bloquear la transferencia de archivos a un sistema afectado mediante FTP. La vulnerabilidad existe debido a que el software afectado gestiona incorrectamente las conexiones de control FTP. Un atacante podría explotar esta vulnerabilidad enviando una conexión FTP maliciosamente manipulada para transferir un archivo a un dispositivo afectado. Un exploit exitoso podría permitir que el atacante omita una política de archivos configurada para aplicar la subida Block con acción reset al tráfico FTP. Cisco Bug IDs: CSCvh70130.
Gravedad CVSS v3.1: ALTA
Última modificación:
26/11/2024

Vulnerabilidad en Cisco FireSIGHT System Software (CVE-2018-0384)
Fecha de publicación:
16/07/2018
Idioma:
Español
Una vulnerabilidad en el motor de detección de Cisco Firepower System Software podría permitir que un atacante remoto sin autenticar omita una política de control de acceso basada en URL que está configurada para bloquear el tráfico para un sistema afectado. La vulnerabilidad existe debido a que el software afectado gestiona incorrectamente los paquetes TCP que se reciben fuera de orden cuando se lanza una retransmisión TCP SYN. Un atacante podría explotar esta vulnerabilidad enviando una conexión maliciosamente manipulada a través de un dispositivo afectado. Un exploit exitoso podría permitir que el atacante omita una política de control de acceso basada en URL que está configurada para bloquear el tráfico para un sistema afectado. Cisco Bug IDs: CSCvh84511.
Gravedad CVSS v3.1: MEDIA
Última modificación:
26/11/2024

Vulnerabilidad en Cisco Firepower System Software (CVE-2018-0385)
Fecha de publicación:
16/07/2018
Idioma:
Español
Una vulnerabilidad en el análisis del motor de detección del protocolo Secure Sockets Layer (SSL) de Cisco Firepower System Software podría permitir que un atacante remoto no autenticado provoque una condición de denegación de servicio (DoS) debido a que el proceso Snort se reinicia inesperadamente. La vulnerabilidad se debe a la gestión indebida del tráfico SSL. Un atacante podría explotar esta vulnerabilidad enviando tráfico SSL manipulado al motor de detección del dispositivo objetivo. Su explotación podría permitir que el atacante provoque una condición DoS si el proceso Snort se reinicia y se omite la inspección de tráfico o se deja el tráfico. Cisco Bug IDs: CSCvi36434.
Gravedad CVSS v3.1: ALTA
Última modificación:
26/11/2024

Vulnerabilidad en Cisco IP Phone (CVE-2018-0341)
Fecha de publicación:
16/07/2018
Idioma:
Español
Una vulnerabilidad en la interfaz de usuario web de Cisco IP Phone Series 6800, 7800 y 8800 con firmware multiplataforma en versiones anteriores a la 11.2(1) podría permitir que un atacante remoto autenticado realice una inyección de comandos y ejecute comandos con los privilegios del servidor web. Esta vulnerabilidad se debe a una validación de entradas insuficiente. Un atacante podría explotar esta vulnerabilidad incluyendo comandos shell arbitrarios en un campo de entrada de usuario específico. Cisco Bug IDs: CSCvi51426.
Gravedad CVSS v3.1: ALTA
Última modificación:
09/10/2019

Vulnerabilidad en Zeta Producer Desktop CMS (CVE-2018-13981)
Fecha de publicación:
16/07/2018
Idioma:
Español
Los sitios web que fueron construidos desde Zeta Producer Desktop CMS en versiones anteriores a la 14.2.1 son vulnerables a una ejecución remota de código no autenticada debido a un componente por defecto que permite la subida arbitraria de archivos PHP. Esto se debe a que el widget formmailer bloquea archivos .php, pero no los archivos .php5 o .phtml. Esto está relacionado con /assets/php/formmailer/SendEmail.php y /assets/php/formmailer/functions.php.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
12/09/2018

Vulnerabilidad en X File Explorer (CVE-2014-2079)
Fecha de publicación:
16/07/2018
Idioma:
Español
X File Explorer (también conocido como xfe) podría permitir que usuarios locales omitan las restricciones de acceso planeadas y obtengan acceso a archivos arbitrarios aprovechando el error a la hora de emplear máscaras de directorio al crear archivos en las comparticiones Samba y NFS.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/09/2018

Vulnerabilidad en Zoho ManageEngine Desktop Central (CVE-2018-11716)
Fecha de publicación:
16/07/2018
Idioma:
Español
Se ha descubierto un problema en Zoho ManageEngine Desktop Central 100230. Hay un acceso remoto no autenticado a todos los archivos de registro de una instancia Desktop Central que contienen información crítica (información privada como la localización de dispositivos inscritos, contraseñas en texto claro, nivel de parche, etc.) mediante una petición GET en los puertos 8022, 8443 o 8444.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/09/2018

Vulnerabilidad en la característica Notes Client Single Logon en IBM Notes (CVE-2013-0522)
Fecha de publicación:
16/07/2018
Idioma:
Español
La característica Notes Client Single Logon en IBM Notes 8.0, 8.0.1, 8.0.2, 8.5, 8.5.1, 8.5.2, 8.5.3 y 9.0 en Windows permite que usuarios locales descubran contraseñas mediante vectores relacionados con un mecanismo de comunicación de un sistema operativo no especificado para la transmisión de contraseñas entre Windows y Notes. IBM X-Force ID: 82531.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/09/2018

Vulnerabilidad en Zoho ManageEngine Desktop Central (CVE-2018-11717)
Fecha de publicación:
16/07/2018
Idioma:
Español
Se ha descubierto un problema en Zoho ManageEngine Desktop Central 100251. Aprovechando el acceso a un archivo de registro, un atacante dependiente del contexto puede obtener (dependiendo de los módulos configurados) la contraseña/nombre de usuario cifrada en Base64 de las cuentas AD, la contraseña/nombre de usuario y las opciones de mail en texto claro de la cuenta EAS (una cuenta AD empleada para enviar mails), la contraseña en texto claro recovery_password de los dispositivos Android, la contraseña en texto claro de la cuenta "set", la ubicación de los dispositivos inscritos en la plataforma (con el UUID e información relacionada con el nombre de la persona en la ubicación), información crítica sobre todos los dispositivos inscritos, como el número de serie, el UUID, el modelo, el nombre y auth_session_token (que puede emplearse para suplantar una identidad de terminal en la plataforma), etc.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
19/09/2018

Vulnerabilidad en Zeta Producer Desktop CMS (CVE-2018-13980)
Fecha de publicación:
16/07/2018
Idioma:
Español
Los sitios web que fueron construidos desde Zeta Producer Desktop CMS en versiones anteriores a la 14.2.1 son vulnerables a una divulgación de archivos sin autenticar si el plugin "filebrowser" está instalado. Esto se debe a un salto de directorio en assets/php/filebrowser/filebrowser.main.php?file=../.
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/09/2020

Vulnerabilidad en Atlassian Universal Plugin Manager (CVE-2018-5229)
Fecha de publicación:
16/07/2018
Idioma:
Español
La clase NotificationRepresentationFactoryImpl en Atlassian Universal Plugin Manager, en versiones anteriores a la 2.22.9, permite que atacantes remotos inyecten HTML o JavaScript arbitrario mediante una vulnerabilidad Cross-Site Scripting (XSS) en los nombres de los add-ons publicados por un usuario.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/09/2018
Suscribirse a Vulnerabilidades