Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en ImageMagick (CVE-2017-12566)

Fecha de publicación:
05/08/2017
Idioma:
Español
Se ha encontrado una vulnerabilidad de filtrado de memoria en ImageMagick 7.0.6-2 en la función ReadMVGImage en coders/mvg.c. Esta vulnerabilidad permite que los atacantes causen una denegación de servicio relacionada con la función ReadSVGImage en svg.c.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/05/2026

Vulnerabilidad en ImageMagick (CVE-2017-12563)

Fecha de publicación:
05/08/2017
Idioma:
Español
Se ha encontrado una vulnerabilidad de agotamiento de memoria en ImageMagick 7.0.6-2 en la función ReadPSDImage en coders/psd.c. Esta vulnerabilidad permite que los atacantes causen una denegación de servicio.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/05/2026

Vulnerabilidad en productos SMA Solar Technology (CVE-2017-9851)

Fecha de publicación:
05/08/2017
Idioma:
Español
** EN DISPUTA** Se ha descubierto un problema en productos SMA Solar Technology. La aplicación puede bloquearse mediante el envío de datos sin sentido o configurando una sesión TELNET al puerto de la base de datos de Sunny Explorer. NOTA: El proveedor informa de que el máximo daño posible es un fallo de comunicación. Además, sólo Sunny Boy TLST-21 y TL-21 y Sunny Tripower TL-10 y TL-30 podrían verse afectados.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/05/2026

Vulnerabilidad en productos SMA Solar Technology (CVE-2017-9852)

Fecha de publicación:
05/08/2017
Idioma:
Español
** EN DISPUTA ** Se ha descubierto un problema de gestión de contraseñas incorrecto en los productos de SMA Solar Technology. Existen contraseñas predeterminadas que rara vez se modifican. Las contraseñas de usuario casi siempre serán las predeterminadas. Se espera que las contraseñas de los instaladores sean predeterminadas o similares en todas las instalaciones realizadas por la misma empresa (pero a veces se cambian). Las cuentas de usuario ocultas tienen (al menos en algunos casos, aunque se requiere más investigación para probar esto para todas las cuentas de usuario ocultas) una contraseña fija para todos los dispositivos; nunca puede ser cambiada por un usuario. Existen otras vulnerabilidades que permiten a un atacante obtener las contraseñas de estas cuentas de usuario ocultas. NOTA: el proveedor informa de que no tiene ninguna influencia en la asignación de contraseñas y de que no existen contraseñas maestras globales con código duro. Además, sólo Sunny Boy TLST-21 y TL-21 y Sunny Tripower TL-10 y TL-30 podrían verse afectados.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
13/05/2026

Vulnerabilidad en productos SMA Solar Technology (CVE-2017-9853)

Fecha de publicación:
05/08/2017
Idioma:
Español
** EN DISPUTA ** Se descubrió un problema en los productos de SMA Solar Technology. Todos los inversores tienen una política de contraseñas muy débil para el usuario y el instalador. No se establecen requisitos de complejidad ni de longitud. Además, las contraseñas fuertes son imposibles de usar debido a un máximo de 12 caracteres y un conjunto limitado de caracteres. NOTA: el proveedor informa que el límite de 12 caracteres proporciona "un estándar de seguridad muy alto". Además, sólo Sunny Boy TLST-21 y TL-21 y Sunny Tripower TL-10 y TL-30 podrían verse afectados.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
13/05/2026

Vulnerabilidad en productos SMA Solar Technology products (CVE-2017-9854)

Fecha de publicación:
05/08/2017
Idioma:
Español
** EN DISPUTA ** Se descubrió un problema en los productos de SMA Solar Technology. Al realizar sniffing de paquetes específicos en el host local, se pueden obtener contraseñas de texto plano a medida que el usuario las escribe en Sunny Explorer. Estas contraseñas se pueden utilizar para comprometer el dispositivo en su conjunto. NOTA: el proveedor informa que la probabilidad de explotación es baja porque estos paquetes se envían normalmente sólo una vez durante la instalación. Además, sólo Sunny Boy TLST-21 y TL-21 y Sunny Tripower TL-10 y TL-30 podrían verse afectados.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
13/05/2026

Vulnerabilidad en productos SMA Solar Technology (CVE-2017-9855)

Fecha de publicación:
05/08/2017
Idioma:
Español
** EN DISPUTA ** Se descubrió un problema en los productos de SMA Solar Technology. Un sistema de autenticación secundario está disponible para los instaladores llamado sistema Grid Guard. Este sistema utiliza códigos predecibles, y un único código Grid Guard puede utilizarse en cualquier inversor SMA. Cualquier código de este tipo, cuando se combina con la cuenta del instalador, permite cambiar parámetros muy sensibles. NOTA: el proveedor informa que Grid Guard no es una función de autenticación; es sólo una función de rastreo. Además, sólo Sunny Boy TLST-21 y TL-21 y Sunny Tripower TL-10 y TL-30 podrían verse afectados.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
13/05/2026

Vulnerabilidad en productos SMA Solar Technology (CVE-2017-9856)

Fecha de publicación:
05/08/2017
Idioma:
Español
**EN DISPUTA** Se ha descubierto un problema en productos SMA Solar Technology. Las contraseñas interceptadas que se encuentran en de la comunicación SMAdata2+ se pueden descifrar con suma facilidad. Estas contraseñas se "cifran" empleando un algoritmo de cifrado muy sencillo. Esto permite que un atacante encuentre las contraseñas en texto plano y se autentique en el dispositivo. NOTA: El vendedor informa que únicamente podrían estar potencialmente afectados Sunny Boy TLST-21 y TL-21 y Sunny Tripower TL-10 y TL-30
Gravedad CVSS v3.1: BAJA
Última modificación:
13/05/2026

Vulnerabilidad en productos SMA Solar Technology (CVE-2017-9859)

Fecha de publicación:
05/08/2017
Idioma:
Español
**EN DISPUTA** Se ha descubierto un problema en productos SMA Solar Technology. Los inversores emplean un algoritmo de hash débil para cifrar la contraseña de peticiones REGISTER. Este algoritmo de hash se puede romper con relativa facilidad. Lo más probable es que un atacante sea capaz de descubrir la contraseña empleando crackers offline. Esta contraseña descubierta podrá emplearse para registrarse en los servidores SMA. NOTA: La posición del fabricante es que "nosotros consideramos que la probabilidad de algún tipo de manipulación exitosa es extremadamente baja." También, únicamente podrían estar potencialmente afectados Sunny Boy TLST-21 y TL-21 y Sunny Tripower TL-10 y TL-30
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
13/05/2026

Vulnerabilidad en productos SMA Solar Technology (CVE-2017-9860)

Fecha de publicación:
05/08/2017
Idioma:
Español
** EN DISPUTA ** Se ha descubierto un problema en productos SMA Solar Technology. Un atacante puede emplear Sunny Explorer o el protocolo de red SMAdata2+ para actualizar el dispositivo sin tener que autenticarse. Si un atacante es capaz de crear una versión personalizada del firmware que sea aceptada por el inversor, dicho inversor se volverá completamente vulnerable. Esto le permite al atacante hacer prácticamente cualquier cosa: dar acceso al sistema operativo local, crear una botnet, emplear los inversores como punto de entrada a una empresa, etc. NOTA: El vendedor informa que este ataque siempre ha sido bloqueado por "una comprobación final de integridad y compatibilidad". También, únicamente están potencialmente afectados Sunny Boy TLST-21 y TL-21 y Sunny Tripower TL-10 y TL-30.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
13/05/2026

Vulnerabilidad en productos SMA Solar Technology (CVE-2017-9864)

Fecha de publicación:
05/08/2017
Idioma:
Español
** EN DISPUTA ** Se ha descubierto un problema en productos SMA Solar Technology. Un atacante puede cambiar la hora de la planta sin estar autenticado de ninguna forma. Esto cambia la hora del sistema, lo que podría afectar a las políticas de bloqueo y generadores de números aleatorios basados en marca de tiempo. Además, hace imposible confiar en las marcas de tiempo de los análisis de datos. NOTA: El fabricante reporta que es bastante irrelevante por que solo afecta a marcas de tiempo del log-entry, y por que la planta sería reiniciada via NTP. (Nunca se ha dado el caso en el que afectara la política de bloqueo o la generación de números aleatorios.) Además, solo Sunny Boy TLST-21 y TL-21 y Sunny Tripower TL-10 y TL-30 podrían estar potencialmente afectados.
Gravedad CVSS v3.1: ALTA
Última modificación:
13/05/2026

Vulnerabilidad en productos SMA Solar Technology (CVE-2017-9861)

Fecha de publicación:
05/08/2017
Idioma:
Español
** EN DISPUTA ** Se ha descubierto un problema en productos SMA Solar Technology. La implementación SIP no emplea correctamente la autenticación con encriptación: es vulnerable a ataques de replay, ataques de inyección de paquetes o ataques Man-in-the-Middle. Un atacante es capaz de emplear SIP con éxito para comunicarse con el dispositivo desde cualquier lugar de la red LAN. El atacante podría emplear esta vulnerabilidad para bloquear el dispositivo, hacer que deje de comunicarse con los servidores SMA, explotar vulnerabilidades SIP conocidas o encontrar información sensible en las comunicaciones SIP. Además, debido al hecho de que el canal de comunicación SIP no está cifrado, un atacante que entienda el protocolo será capaz de escuchar comunicaciones. Por ejemplo, se pueden extraer las contraseñas. NOTA: La posición del vendedor es que la auntenticación con cifrado no es requerida en una red aislada. También, únicamente podrían estar potencialmente afectados Sunny Boy TLST-21 y TL-21 y Sunny Tripower TL-10 y TL-30.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
13/05/2026