Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en el procesamiento de ICMP versión 6 (ICMPv6) en el software Cisco NX-OS (CVE-2021-1229)

Fecha de publicación:
24/02/2021
Idioma:
Español
Una vulnerabilidad en el procesamiento de ICMP versión 6 (ICMPv6) en el software Cisco NX-OS podría permitir a un atacante remoto no autenticado causar una pérdida lenta de memoria del sistema, que con el tiempo podría conllevar a una condición de denegación de servicio (DoS). Esta vulnerabilidad es debido a un manejo inapropiado de errores cuando una interfaz configurada con IPv6 recibe un tipo específico de paquete ICMPv6. Un atacante podría explotar esta vulnerabilidad mediante el envío de una tasa sostenida de paquetes ICMPv6 diseñados a una dirección IPv6 local en un dispositivo de destino. Una explotación con éxito podría permitir al atacante causar una pérdida de memoria del sistema en el proceso ICMPv6 del dispositivo. Como resultado, el proceso ICMPv6 podría quedarse sin memoria del sistema y dejar de procesar el tráfico. El dispositivo podría eliminar todos los paquetes ICMPv6, lo que provocaría inestabilidad del tráfico en el dispositivo. Restaurar la funcionalidad del dispositivo requeriría un reinicio del dispositivo
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

Vulnerabilidad en la funcionalidad NX-API del software Cisco NX-OS (CVE-2021-1227)

Fecha de publicación:
24/02/2021
Idioma:
Español
Una vulnerabilidad en la funcionalidad NX-API del software Cisco NX-OS podría permitir a un atacante remoto no autenticado llevar a cabo un ataque de tipo cross-site request forgery (CSRF) en un sistema afectado. Esta vulnerabilidad es debido a las protecciones CSRF insuficientes para la NX-API en un dispositivo afectado. Un atacante podría explotar esta vulnerabilidad al persuadir a un usuario de la NX-API para que siga un enlace malicioso. Una explotación con éxito podría permitir al atacante llevar a cabo acciones arbitrarias con el nivel de privilegio del usuario afectado. El atacante podría visualizar y modificar la configuración del dispositivo. Nota: La funcionalidad NX-API está desactivada por defecto
Gravedad CVSS v3.1: ALTA
Última modificación:
03/03/2021

Vulnerabilidad en el protocolo Border Gateway Protocol (BGP) para Cisco Nexus 9000 Series Fabric Switches en modo Application Centric Infrastructure (ACI) (CVE-2021-1230)

Fecha de publicación:
24/02/2021
Idioma:
Español
Una vulnerabilidad con el protocolo Border Gateway Protocol (BGP) para Cisco Nexus 9000 Series Fabric Switches en modo Application Centric Infrastructure (ACI) podría permitir a un atacante remoto no autenticado causar la caída de un proceso de enrutamiento, lo que podría conllevar a una condición de denegación de servicio (DoS). Esta vulnerabilidad es debido a un problema con la instalación de rutas tras recibir una actualización de BGP. Un atacante podría explotar esta vulnerabilidad mediante el envío de una actualización de BGP diseñada a un dispositivo afectado. Una explotación con éxito podría permitir al atacante causar que el proceso de enrutamiento se bloquee, lo que podría hacer que el dispositivo se recargue. Esta vulnerabilidad se aplica tanto a Internal BGP (IBGP) como a External BGP (EBGP). Nota: La implementación de Cisco de BGP acepta tráfico BGP entrante solo de peers configurados explícitamente. Para explotar esta vulnerabilidad, un atacante necesitaría enviar un mensaje de actualización de BGP específico mediante una conexión TCP establecida que parece provenir de un peer de BGP confiable
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en el establecimiento de la conexión VLAN de la infraestructura de estructura de Cisco Nexus 9000 Series Fabric Switches en Application Centric Infrastructure (ACI) Mode (CVE-2021-1228)

Fecha de publicación:
24/02/2021
Idioma:
Español
Una vulnerabilidad en el establecimiento de la conexión VLAN de la infraestructura de estructura de Cisco Nexus 9000 Series Fabric Switches en Application Centric Infrastructure (ACI) Mode podría permitir que un atacante adyacente no autenticado omitir las comprobaciones de seguridad y conectar un servidor no autorizado a la VLAN de infraestructura. Esta vulnerabilidad es debido a requisitos de seguridad insuficientes durante la fase de configuración del Link Layer Discovery Protocol (LLDP) de la VLAN de infraestructura. Un atacante podría explotar esta vulnerabilidad mediante el envío de un paquete LLDP diseñado en la subred adyacente a un dispositivo afectado. Una explotación con éxito podría permitir al atacante conectar un servidor no autorizado a la infraestructura VLAN, que tiene muchos privilegios. Con una conexión a la infraestructura VLAN, el atacante puede llevar a cabo conexiones no autorizadas a los servicios Cisco Application Policy Infrastructure Controller (APIC) o unirse a otros endpoints del host
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

Vulnerabilidad en CD AMQP Channels en IBM MQ (CVE-2020-4931)

Fecha de publicación:
24/02/2021
Idioma:
Español
IBM MQ versiones 9.1 LTS, 9.2 LTS y 9.1, CD AMQP Channels podría permitir a un usuario autenticado causar una denegación de servicio debido a un problema al procesar mensajes. IBM X-Force ID: 191747
Gravedad CVSS v3.1: MEDIA
Última modificación:
01/03/2021

Vulnerabilidad en la comprobación de entrada por XMPParser en Apache XmlGraphics Commons (CVE-2020-11988)

Fecha de publicación:
24/02/2021
Idioma:
Español
Apache XmlGraphics Commons versión 2.4 y anteriores son vulnerables a la falsificación de peticiones del lado del servidor, causada por una validación de entrada inadecuada por parte del XMPParser. Utilizando un argumento especialmente diseñado, un atacante podría explotar esta vulnerabilidad para hacer que el servidor subyacente realice peticiones GET arbitrarias. Los usuarios deberían actualizar a la versión 2.6 o posterior
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en la comprobación de entrada por NodePickerPanel en Apache Batik (CVE-2020-11987)

Fecha de publicación:
24/02/2021
Idioma:
Español
Apache Batik versión 1.13 es vulnerable a un ataque de tipo server-side request forgery, causada por una comprobación de entrada inapropiada por parte de NodePickerPanel. Al usar un argumento especialmente diseñado, un atacante podría explotar esta vulnerabilidad para causar que el servidor subyacente lleve a cabo peticiones GET arbitrarias
Gravedad CVSS v3.1: ALTA
Última modificación:
01/02/2024

Vulnerabilidad en credenciales embebidas en BB-ESWGP506-2SFP-T (CVE-2021-22667)

Fecha de publicación:
24/02/2021
Idioma:
Español
BB-ESWGP506-2SFP-T versiones 1.01.09 y anteriores, es vulnerable debido al uso de credenciales embebidas, lo que puede permitir a un atacante conseguir acceso no autorizado y permitir una ejecución de código arbitraria en BB-ESWGP506-2SFP-T (versiones 1.01.01 y anteriores)
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
27/05/2022

Vulnerabilidad en OpenSLP (CVE-2021-21974)

Fecha de publicación:
24/02/2021
Idioma:
Español
OpenSLP como es usado en ESXi (versiones 7.0 anteriores a ESXi70U1c-17325551, versiones 6.7 anteriores a ESXi670-202102401-SG, versiones 6.5 anteriores a ESXi650-202102101-SG), presenta una vulnerabilidad de desbordamiento de la pila. Un actor malicioso que reside dentro del mismo segmento de red que ESXi y que presenta acceso al puerto 427 puede desencadenar el problema de desbordamiento de la pila en el servicio OpenSLP, resultando en una ejecución de código remota
Gravedad CVSS v3.1: ALTA
Última modificación:
02/06/2022

Vulnerabilidad en la Markdown Preview (@theia/preview) en Eclipse Theia (CVE-2020-27224)

Fecha de publicación:
24/02/2021
Idioma:
Español
Eclipse Theia versiones hasta 1.2.0 incluyendo, la Markdown Preview (@theia/preview), puede ser explotado para ejecutar código arbitrario
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
25/03/2021

Vulnerabilidad en el acceso a la página web en un parámetro de comprobación de límites en VOICEYE WSActiveBridgeES (CVE-2020-7836)

Fecha de publicación:
24/02/2021
Idioma:
Español
VOICEYE WSActiveBridgeES versiones anteriores a 2.1.0.3, contienen una vulnerabilidad de desbordamiento del búfer en la región stack de la memoria causada por un parámetro de comprobación de límites inapropiada proporcionado por el ataque. Finalmente conlleva a un desbordamiento del búfer en la región stack de la memoria por medio del acceso a la página web diseñada
Gravedad CVSS v3.1: ALTA
Última modificación:
02/03/2021

Vulnerabilidad en el envío de una petición POST en un plugin de vCenter Server en las URL en el VSphere Client (HTML5) en VMware vCenter Server y VMware Cloud Foundation (CVE-2021-21973)

Fecha de publicación:
24/02/2021
Idioma:
Español
El VSphere Client (HTML5) contiene una vulnerabilidad SSRF (Server Side Request Forgery) debido a una comprobación inapropiada de las URL en un plugin de vCenter Server. Un actor malicioso con acceso de red al puerto 443 puede explotar este problema mediante el envío de una petición POST al plugin vCenter Server conllevando a una divulgación de información. Esto afecta a: VMware vCenter Server (versiones 7.x anteriores a 7.0 U1c, versiones 6.7 anteriores a 6.7 U3l y versiones 6.5 anteriores a 6.5 U3n) y VMware Cloud Foundation (versiones 4.x anteriores a 4.2 y versiones 3.x anteriores a 3.10.1.2)
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/03/2025