Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en KVM AMD Secure Encrypted Virtualization (SEV) (CVE-2023-4155)

Fecha de publicación:
13/09/2023
Idioma:
Español
Se encontró una falla en KVM AMD Secure Encrypted Virtualization (SEV) en el kernel de Linux. Un invitado KVM que utilice SEV-ES o SEV-SNP con múltiples vCPU puede desencadenar una vulnerabilidad de condición de ejecución de recuperación doble e invocar el controlador "VMGEXIT" de forma recursiva. Si un atacante logra llamar al controlador varias veces, puede desencadenar un desbordamiento de la pila y provocar una denegación de servicio o potencialmente un escape de invitado a anfitrión en configuraciones del kernel sin páginas de protección de la pila (`CONFIG_VMAP_STACK`).
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

Vulnerabilidad en gRPC de Google (CVE-2023-4785)

Fecha de publicación:
13/09/2023
Idioma:
Español
La falta de manejo de errores en el servidor TCP en gRPC de Google a partir de la versión 1.23 en plataformas compatibles con posix (por ejemplo, Linux) permite a un atacante provocar una denegación de servicio al iniciar una cantidad significativa de conexiones con el servidor. Tenga en cuenta que gRPC C++ Python y Ruby se ven afectados, pero gRPC Java y Go NO se ven afectados.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/01/2026

Vulnerabilidad en QEMU (CVE-2023-3255)

Fecha de publicación:
13/09/2023
Idioma:
Español
Se encontró una falla en el servidor VNC integrado de QEMU al procesar mensajes ClientCutText. Una condición de salida incorrecta puede provocar un bucle infinito al inflar un búfer zlib controlado por un atacante en la función `inflate_buffer`. Esto podría permitir que un cliente remoto autenticado que pueda enviar un portapapeles al servidor VNC active una denegación de servicio.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/09/2024

Vulnerabilidad en Cisco IOS XR (CVE-2023-20233)

Fecha de publicación:
13/09/2023
Idioma:
Español
Una vulnerabilidad en la función Connectivity Fault Management (CFM) del software Cisco IOS XR podría permitir que un atacante remoto no autenticado cause una condición de denegación de servicio (DoS) en un dispositivo afectado. Esta vulnerabilidad se debe al procesamiento incorrecto de mensajes de verificación de continuidad (CCM) no válidos. Un atacante podría aprovechar esta vulnerabilidad enviando CCM manipulados a un dispositivo afectado. Una explotación existosa podría permitir al atacante provocar que el servicio CFM se bloquee cuando un usuario muestra información sobre los puntos finales de mantenimiento (MEP) para los MEP pares en un dispositivo afectado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/01/2024

Vulnerabilidad en Cisco IOS XR (CVE-2023-20236)

Fecha de publicación:
13/09/2023
Idioma:
Español
Una vulnerabilidad en la función de arranque iPXE del software Cisco IOS XR podría permitir que un atacante local autenticado instale una imagen de software no verificada en un dispositivo afectado. Esta vulnerabilidad se debe a una verificación de imagen insuficiente. Un atacante podría aprovechar esta vulnerabilidad manipulando los parámetros de arranque para la verificación de imágenes durante el proceso de arranque iPXE en un dispositivo afectado. Una explotación exitosa podría permitir al atacante iniciar una imagen de software no verificada en el dispositivo afectado.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/01/2024

Vulnerabilidad en Cisco IOS XR (CVE-2023-20135)

Fecha de publicación:
13/09/2023
Idioma:
Español
Una vulnerabilidad en las comprobaciones de verificación de imágenes del Software Cisco IOS XR podría permitir que un atacante local autenticado ejecute código arbitrario en el sistema operativo subyacente. Esta vulnerabilidad se debe a una condición de ejecución de tiempo de verificación, tiempo de uso (TOCTOU) cuando se realiza una consulta de instalación relacionada con una imagen ISO durante una operación de instalación que utiliza una imagen ISO. Un atacante podría aprovechar esta vulnerabilidad modificando una imagen ISO y luego realizando solicitudes de instalación en paralelo. Una explotación existosa podría permitir al atacante ejecutar código arbitrario en un dispositivo afectado.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/01/2024

Vulnerabilidad en Cortex XDR de Palo Alto Networks (CVE-2023-3280)

Fecha de publicación:
13/09/2023
Idioma:
Español
Un problema con un mecanismo de protección en el agente Cortex XDR de Palo Alto Networks en dispositivos Windows permite a un usuario local desactivar el agente.
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/09/2023

Vulnerabilidad en Cisco IOS XR (CVE-2023-20190)

Fecha de publicación:
13/09/2023
Idioma:
Español
Una vulnerabilidad en la característica de compresión de la clásica lista de control de acceso (ACL) del software Cisco IOS XR podría permitir que un atacante remoto no autenticado evite la protección que ofrece una ACL configurada en un dispositivo afectado. Esta vulnerabilidad se debe a una codificación incorrecta del rango de direcciones de destino en el módulo de compresión de una ACL que se aplica a una interfaz de un dispositivo afectado. Un atacante podría aprovechar esta vulnerabilidad enviando tráfico a través del dispositivo afectado que la ACL configurada debería denegar. Una explotación existosa exitoso podría permitir al atacante eludir las protecciones ACL configuradas en el dispositivo afectado, permitiéndole acceder a redes confiables que el dispositivo podría estar protegiendo. Existen workarounds que abordan esta vulnerabilidad. Este aviso es parte de la publicación de septiembre de 2023 del paquete de avisos de seguridad del software Cisco IOS XR.
Gravedad CVSS v3.1: MEDIA
Última modificación:
25/01/2024

Vulnerabilidad en Cisco IOS XR (CVE-2023-20191)

Fecha de publicación:
13/09/2023
Idioma:
Español
Una vulnerabilidad en el procesamiento de la lista de control de acceso (ACL) en las interfaces MPLS en la dirección de ingreso del software Cisco IOS XR podría permitir que un atacante remoto no autenticado omita una ACL configurada. Esta vulnerabilidad se debe a la compatibilidad incompleta con esta característica. Un atacante podría aprovechar esta vulnerabilidad intentando enviar tráfico a través de un dispositivo afectado. Una explotación existosa podría permitir al atacante eludir una ACL en el dispositivo afectado. Existen workarounds que abordan esta vulnerabilidad. Este aviso es parte de la publicación de septiembre de 2023 del paquete de avisos de seguridad del software Cisco IOS XR.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/01/2024

Vulnerabilidad en qemu-kvm (CVE-2023-2680)

Fecha de publicación:
13/09/2023
Idioma:
Español
Este CVE existe debido a una solución incompleta para CVE-2021-3750. Más específicamente, el paquete qemu-kvm lanzado para Red Hat Enterprise Linux 9.1 a través de RHSA-2022:7967 incluía una versión de qemu-kvm a la que en realidad le faltaba la solución para CVE-2021-3750.
Gravedad CVSS v3.1: ALTA
Última modificación:
28/12/2023

Vulnerabilidad en Insider Threat Management (ITM) (CVE-2023-4802)

Fecha de publicación:
13/09/2023
Idioma:
Español
Un administrador autenticado podría utilizar una vulnerabilidad de Cross-Site Scripting (XSS) Reflejada en el endpoint UpdateInstalledSoftware de la consola web del servidor Insider Threat Management (ITM) para ejecutar JavaScript arbitrario dentro del navegador de otro administrador de la consola web. Todas las versiones anteriores a la 7.14.3.69 se ven afectadas.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/10/2023

Vulnerabilidad en Insider Threat Management (ITM) (CVE-2023-4803)

Fecha de publicación:
13/09/2023
Idioma:
Español
Un administrador autenticado podría utilizar una vulnerabilidad de Cross-Site Scripting (XSS) Reflejada en el endpoint WriteWindowTitle de la consola web del servidor Insider Threat Management (ITM) para ejecutar JavaScript arbitrario dentro del navegador de otro administrador de la consola web. Todas las versiones anteriores a la 7.14.3.69 se ven afectadas.
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/10/2023