Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

CVE-2013-4586

Fecha de publicación:
30/06/2022
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: DO NOT USE THIS CANDIDATE NUMBER. ConsultIDs: none. Reason: This candidate was in a CNA pool that was not assigned to any issues during 2013. Notes: none
Gravedad: Pendiente de análisis
Última modificación:
07/11/2023

Vulnerabilidad en una configuración errónea de RSA en PingID Mac Login (CVE-2021-41995)

Fecha de publicación:
30/06/2022
Idioma:
Español
Una configuración errónea de RSA en PingID Mac Login versiones anteriores a 1.1, es vulnerable a ataques de diccionario pre-calculado, conllevando a una omisión de MFA sin conexión
Gravedad CVSS v3.1: ALTA
Última modificación:
15/07/2022

Vulnerabilidad en PingID Windows Login (CVE-2022-23717)

Fecha de publicación:
30/06/2022
Idioma:
Español
PingID Windows Login versiones anteriores a 2.8, es vulnerable a una condición de denegación de servicio en máquinas locales cuando es combinado con el uso de claves de seguridad sin conexión como parte de la autenticación
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/07/2022

Vulnerabilidad en PingID Windows Login (CVE-2022-23718)

Fecha de publicación:
30/06/2022
Idioma:
Español
PingID Windows Login versiones anteriores a 2.8, usa componentes vulnerables conocidos que pueden conllevar a una ejecución de código remota. Un atacante capaz de lograr una posición sofisticada de tipo man-in-the-middle, o de comprometer los servidores web de Ping Identity, podría entregar código malicioso que sería ejecutado como SYSTEM por la aplicación PingID Windows Login
Gravedad CVSS v3.1: ALTA
Última modificación:
11/07/2022

Vulnerabilidad en PingID Windows Login (CVE-2022-23720)

Fecha de publicación:
30/06/2022
Idioma:
Español
PingID Windows Login versiones anteriores a 2.8, no alerta o detiene la operación si ha sido provisto con el archivo de propiedades de PingID con todos los permisos. Un administrador de TI podría desplegar por error credenciales de API PingID con privilegios de administrador, como los usados típicamente por PingFederate, en los endpoints de usuario de PingID Windows Login. El uso de un archivo de propiedades de permisos completos confidenciales fuera de un límite confiable privilegiado conlleva a un mayor riesgo de exposición o detección, y un atacante podría aprovechar estas credenciales para llevar a cabo acciones administrativas contra las APIs de PingID o los endpoints
Gravedad CVSS v3.1: ALTA
Última modificación:
13/07/2022

Vulnerabilidad en PingID Windows Login (CVE-2022-23719)

Fecha de publicación:
30/06/2022
Idioma:
Español
PingID Windows Login versiones anteriores a 2.8, no autentica la comunicación con un servicio local de Java usado para capturar peticiones de claves de seguridad. Un atacante con la capacidad de ejecutar código en la máquina objetivo puede ser capaz de explotar y falsificar el servicio local de Java usando múltiples vectores de ataque. Un ataque con éxito puede conllevar a una ejecución de código como SYSTEM por parte de la aplicación PingID Windows Login, o incluso una denegación de servicio para la autenticación de la clave de seguridad fuera de línea
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/07/2023

Vulnerabilidad en PingID Windows Login (CVE-2022-23725)

Fecha de publicación:
30/06/2022
Idioma:
Español
PingID Windows Login versiones anteriores a 2.8, no establece correctamente los permisos en las entradas del Registro de Windows usadas para almacenar claves confidenciales de la API en algunas circunstancias
Gravedad CVSS v3.1: MEDIA
Última modificación:
13/07/2023

Vulnerabilidad en un nodo de openshift (CVE-2013-4561)

Fecha de publicación:
30/06/2022
Idioma:
Español
En un nodo de openshift, se presenta un trabajo cron para actualizar los hechos de mcollective que maneja inapropiadamente un archivo temporal. Esto puede conllevar a una pérdida de confidencialidad e integridad
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
11/07/2022

CVE-2013-4252

Fecha de publicación:
30/06/2022
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: DO NOT USE THIS CANDIDATE NUMBER. ConsultIDs: none. Reason: This candidate was withdrawn by its CNA. Notes: none
Gravedad: Pendiente de análisis
Última modificación:
07/11/2023

Vulnerabilidad en una petición de red en la funcionalidad clish art2 de Robustel R1510 (CVE-2022-32585)

Fecha de publicación:
30/06/2022
Idioma:
Español
se presenta una vulnerabilidad de ejecución de comandos en la funcionalidad clish art2 de Robustel R1510 versión 3.3.0. Una petición de red especialmente diseñada puede conllevar a una ejecución de un comando arbitrario. Un atacante puede enviar una secuencia de peticiones para desencadenar esta vulnerabilidad
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
12/07/2022

Vulnerabilidad en un paquete de red en las funcionalidades de los endpoints web_server ajax de Robustel R1510 (CVE-2022-33329)

Fecha de publicación:
30/06/2022
Idioma:
Español
Se presentan múltiples vulnerabilidades de inyección de comandos en las funcionalidades de los endpoints web_server ajax de Robustel R1510 versión 3.3.0. Un paquete de red especialmente diseñado puede conllevar a una ejecución de un comando arbitrario. Un atacante puede enviar una secuencia de peticiones para desencadenar estas vulnerabilidades. La API "/ajax/set_sys_time/" está afectada por una vulnerabilidad de inyección de comandos
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
12/07/2022

Vulnerabilidad en una petición de red en las funcionalidades de los endpoints de la acción web_server de Robustel R1510 (CVE-2022-33312)

Fecha de publicación:
30/06/2022
Idioma:
Español
Se presentan múltiples vulnerabilidades de inyección de comandos en las funcionalidades de los endpoints de la acción web_server de Robustel R1510 versión 3.3.0. Una petición de red especialmente diseñada puede conllevar a una ejecución de un comando arbitrario. Un atacante puede enviar una secuencia de peticiones para desencadenar estas vulnerabilidades. La API "/action/import_cert_file/" está afectada por una vulnerabilidad de inyección de comandos
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
12/07/2022