Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2023-38432
Fecha de publicación:
18/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in the Linux kernel before 6.3.10. fs/smb/server/smb2misc.c in ksmbd does not validate the relationship between the command payload size and the RFC1002 length specification, leading to an out-of-bounds read.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
22/12/2023

CVE-2023-38429
Fecha de publicación:
18/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in the Linux kernel before 6.3.4. fs/ksmbd/connection.c in ksmbd has an off-by-one error in memory allocation (because of ksmbd_smb2_check_message) that may lead to out-of-bounds access.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
03/01/2025

CVE-2023-37850
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: DO NOT USE THIS CANDIDATE NUMBER. ConsultIDs: none. Reason: This candidate was withdrawn by its CNA. Further investigation showed that it was not a security issue. Notes: none.
Gravedad: Pendiente de análisis
Última modificación:
07/11/2023

CVE-2023-37479
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** Open Enclave is a hardware-agnostic open source library for developing applications that utilize Hardware-based Trusted Execution Environments, also known as Enclaves. There are two issues that are mitigated in version 0.19.3. First, Open Enclave SDK does not properly sanitize the `MXCSR` register on enclave entry. This makes applications vulnerable to MXCSR Configuration Dependent Timing (MCDT) attacks, where incorrect `MXCSR` values can impact instruction retirement by at most one cycle, depending on the (secret) data operand value. Please find more details in the guidance from Intel in the references. Second, Open Enclave SDK does not sanitize x86's alignment check flag `RFLAGS.AC` on enclave entry. This opens up the possibility for a side-channel attacker to be notified for every unaligned memory access performed by the enclave. The issue has been addressed in version 0.19.3 and the current master branch. Users will need to recompile their applications against the patched libraries to be protected from this vulnerability. There are no known workarounds for this vulnerability.
Gravedad CVSS v3.1: ALTA
Última modificación:
28/07/2023

CVE-2023-37476
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** OpenRefine is a free, open source tool for data processing. A carefully crafted malicious OpenRefine project tar file can be used to trigger arbitrary code execution in the context of the OpenRefine process if a user can be convinced to import it. The vulnerability exists in all versions of OpenRefine up to and including 3.7.3. Users should update to OpenRefine 3.7.4 as soon as possible. Users unable to upgrade should only import OpenRefine projects from trusted sources.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/06/2025

CVE-2023-38409
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** An issue was discovered in set_con2fb_map in drivers/video/fbdev/core/fbcon.c in the Linux kernel before 6.2.12. Because an assignment occurs only for the first vc, the fbcon_registered_fb and fbcon_display arrays can be desynchronized in fbcon_mode_deleted (the con2fb_map points at the old fb_info).
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/10/2024

CVE-2023-3724
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** If a TLS 1.3 client gets neither a PSK (pre shared key) extension nor a KSE (key share extension) when connecting to a malicious server, a default predictable buffer gets used for the IKM (Input Keying Material) value when generating the session master secret. Using a potentially known IKM value when generating the session master secret key compromises the key generated, allowing an eavesdropper to reconstruct it and potentially allowing access to or meddling with message contents in the session. This issue does not affect client validation of connected servers, nor expose private key information, but could result in an insecure TLS 1.3 session when not controlling both sides of the connection. wolfSSL recommends that TLS 1.3 client side users update the version of wolfSSL used. <br /> <br /> <br />
Gravedad CVSS v3.1: ALTA
Última modificación:
28/07/2023

CVE-2023-38403
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** iperf3 before 3.14 allows peers to cause an integer overflow and heap corruption via a crafted length field.
Gravedad CVSS v3.1: ALTA
Última modificación:
09/01/2024

CVE-2021-37384
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** RCE (Remote Code Execution) vulnerability was found in some Furukawa ONU models, this vulnerability allows remote unauthenticated users to send arbitrary commands to the device via web interface.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
01/08/2024

CVE-2023-38405
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** On Crestron 3-Series Control Systems before 1.8001.0187, crafting and sending a specific BACnet packet can cause a crash.
Gravedad CVSS v3.1: ALTA
Última modificación:
31/10/2024

CVE-2023-37266
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** CasaOS is an open-source Personal Cloud system. Unauthenticated attackers can craft arbitrary JWTs and access features that usually require authentication and execute arbitrary commands as `root` on CasaOS instances. This problem was addressed by improving the validation of JWTs in commit `705bf1f`. This patch is part of CasaOS 0.4.4. Users should upgrade to CasaOS 0.4.4. If they can&amp;#39;t, they should temporarily restrict access to CasaOS to untrusted users, for instance by not exposing it publicly.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
10/04/2025

CVE-2023-37265
Fecha de publicación:
17/07/2023
Idioma:
Inglés
*** Pendiente de traducción *** CasaOS is an open-source Personal Cloud system. Due to a lack of IP address verification an unauthenticated attackers can execute arbitrary commands as `root` on CasaOS instances. The problem was addressed by improving the detection of client IP addresses in `391dd7f`. This patch is part of CasaOS 0.4.4. Users should upgrade to CasaOS 0.4.4. If they can&amp;#39;t, they should temporarily restrict access to CasaOS to untrusted users, for instance by not exposing it publicly.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/04/2025
Suscribirse a Vulnerabilidades