Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en systemd v228 en /src/basic/fs-util.c (CVE-2016-10156)

Fecha de publicación:
23/01/2017
Idioma:
Español
Un fallo en systemd v228 en /src/basic/fs-util.c causó que los archivos suid de escritura universal se crearan cuando se usan las características de los temporizadores systemd, permitiendo a atacantes locales escalar sus privilegios a root. Esto se soluciona en v229.
Gravedad CVSS v3.1: ALTA
Última modificación:
20/04/2025

Vulnerabilidad en b2evolution (CVE-2017-5539)

Fecha de publicación:
23/01/2017
Idioma:
Español
El parche para el salto de directorio (CVE-2017-5480) en b2evolution versión 6.8.4-stable tiene una vulnerabilidad eludible. Un atacante puede utilizar ..\/ para eludir la regla de filtro. Luego. este atacante puede explotar esta vulnerabilidad para borrar o leer cualquier archivo en el servidor. Esto puede ser utilizado también para determinar si existe un archivo.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
20/04/2025

Vulnerabilidad en ABOOT en OnePlus 3 y 3T OxygenOS (CVE-2017-5554)

Fecha de publicación:
23/01/2017
Idioma:
Español
Un problema fue descubierto en ABOOT en OnePlus 3 y 3T OxygenOS en versiones anteriores a 4.0.2. El atacante puede reiniciar el dispositivo en el modo de inicio rápido, lo que podría hacerse sin ninguna autenticación. Un atacante físico puede presionar el botón "Subir Volumen" durante el arranque del dispositivo, donde un atacante con acceso ADB puede emitir el comando bootlader de reinicio de adb. Entonces, el atacante puede poner el SELinux de la plataforma en modo permisivo, lo que lo debilita severamente, emitiendo: fastboot oem selinux permissive.
Gravedad CVSS v3.1: ALTA
Última modificación:
20/04/2025

Vulnerabilidad en LibTIFF (CVE-2017-5563)

Fecha de publicación:
23/01/2017
Idioma:
Español
LibTIFF versión 4.0.7 es vulnerable a una sobre lectura de bufer basado en memoria dinámica en tif_lzw.c resultando en DoS o ejecución de código a través de una imagen bmp manipulada en tools/bmp2tiff.
Gravedad CVSS v3.1: ALTA
Última modificación:
20/04/2025

Vulnerabilidad en los switches FiberHome Fengine S5800 V210R240 (CVE-2017-5544)

Fecha de publicación:
23/01/2017
Idioma:
Español
Un problema fue descubierto en los switches FiberHome Fengine S5800 V210R240. Un atacante no autorizado puede acceder al servicio SSH del dispositivo, utilizando una herramienta de craqueo de contraseñas para establecer rápidamente conexiones SSH. Esto desencadenará un incremento en el tiempo de espera en el inicio de sesión SSH (cada un de los intentos de inicio de sesión ocupará una ranura de conexión durante un tiempo mayor). Una vez que esto ocurra, los intentos de inicio de sesión legítimos a través de SSH/telnet serán rechazados, resultando en una denegación de servicio; debe reiniciar el dispositivo.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/04/2025

Vulnerabilidad en la función principal en plistutil.c en libimobiledevice libplist (CVE-2017-5545)

Fecha de publicación:
21/01/2017
Idioma:
Español
La función principal en plistutil.c en libimobiledevice libplist hasta la versión 1.12 permite a atacantes obtener información sensible de la memoria de proceso o provocar una denegación de servicio (sobre lectura del búfer) a través de datos Apple Property List que son demasiado cortos.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
20/04/2025

Vulnerabilidad en mail.local en NetBSD (CVE-2016-6253)

Fecha de publicación:
20/01/2017
Idioma:
Español
mail.local en NetBSD en versiones desde 6.0 hasta la versión 6.0.6, 6.1 hasta la versión 6.1.5 y 7.0 permite a usuarios locales cambiar la propiedad o anexar datos a archivos arbitrarios en el sistema objetivo a través de un ataque de enlace simbólico en el buzón de usuario.
Gravedad CVSS v3.1: ALTA
Última modificación:
20/04/2025

Vulnerabilidad en tif_packbits.c en libtiff (CVE-2016-5319)

Fecha de publicación:
20/01/2017
Idioma:
Español
Desbordamiento de búfer basado en memoria dinámica en tif_packbits.c en libtiff 4.0.6 y versiones anteriores permite a atacantes remotos bloquear la aplicación a través de un archivo bmp manipulado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/04/2025

Vulnerabilidad en la función _TIFFVGetField en libtiff (CVE-2016-5318)

Fecha de publicación:
20/01/2017
Idioma:
Español
Desbordamiento de búfer basado en pila en la función _TIFFVGetField en libtiff 4.0.6 y versiones anteriores permite a atacantes remotos bloquear la aplicación a través de un tiff manipulado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/04/2025

CVE-2014-2045

Fecha de publicación:
20/01/2017
Idioma:
Español
Múltiples vulnerabilidades de XSS en las interfaces antigua y nueva en Viprinet Multichannel VPN Router 300 permiten a atacantes remotos inyectar secuencias de comandos web o HTML arbitrarios a través del nombre de usuario cuando (1) inicia sesión o (2) se crea una nueva cuenta en la interfaz antigua, (3) nombre de usuario cuando crea una nueva cuenta en la interfaz nueva, (4) nombre de anfitrión en la interfaz antigüa, (5) inspeccionar el parámetro en el módulo de configuración, (6) parámetro de comandos en la herramienta atcommands o (7) parámetro anfitrión en la herramienta de ping.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/04/2025

Vulnerabilidad en el cliente VPN de hardware en Viprinet MultichannelVPN Router 300 (CVE-2014-9754)

Fecha de publicación:
20/01/2017
Idioma:
Español
El cliente VPN de hardware en Viprinet MultichannelVPN Router 300 versión 2013070830/2013080900 no valida la identidad VPN remota de punto final (a través de la verificación de la clave SSL de punto final) antes de iniciar el intercambio, lo que permite a un atacante llevar a cabo un ataque Man in the Middle.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/04/2025

Vulnerabilidad en el cliente VPN de hardware en Viprinet MultichannelVPN Router 300 (CVE-2014-9755)

Fecha de publicación:
20/01/2017
Idioma:
Español
El cliente VPN de hardware en Viprinet MultichannelVPN Router 300 versión 2013070830/2013080900 no valida la identidad VPN remota de punto final (a través de la verificación de la clave SSL de punto final) antes de iniciar el intercambio, lo que permite a atacantes remotos llevar a cabo un ataque de repetición.
Gravedad CVSS v3.1: ALTA
Última modificación:
20/04/2025