Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en el producto afectado (CVE-2021-43988)

Fecha de publicación:
20/04/2022
Idioma:
Español
El producto afectado es vulnerable a un ataque basado en la red por parte de actores de amenazas usando convenciones de nomenclatura de archivos diseñadas para conseguir derechos de acceso no autorizados
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/10/2022

Vulnerabilidad en el producto afectado (CVE-2021-43990)

Fecha de publicación:
20/04/2022
Idioma:
Español
El producto afectado es vulnerable a un ataque basado en la red por parte de actores de amenazas que suministran una carga útil XML maliciosa y diseñada para desencadenar una llamada de referencia a una entidad externa
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/10/2022

Vulnerabilidad en la red local para las páginas de configuración en Hills ComNav (CVE-2022-1318)

Fecha de publicación:
20/04/2022
Idioma:
Español
Hills ComNav versión 3002-19 sufre de un canal de comunicación débil. El tráfico a través de la red local para las páginas de configuración puede ser visualizado por un actor malicioso. El tamaño de ciertos paquetes de comunicación es predecible. Esto permitiría a un atacante conocer el estado del sistema si puede observar el tráfico. Esto sería posible incluso si el tráfico estuviera cifrado, por ejemplo, utilizando WPA2, ya que el tamaño de los paquetes seguiría siendo observable. El esquema de encriptación de las comunicaciones es teóricamente sólido, pero no es lo suficientemente fuerte para el nivel de protección requerido
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/07/2023

Vulnerabilidad en el producto afectado (CVE-2021-38483)

Fecha de publicación:
20/04/2022
Idioma:
Español
El producto afectado es vulnerable a binarios mal configurados, permitiendo a usuarios del PC de destino con acceso a privilegios de nivel SYSTEM sobrescribir el binario y modificar los archivos para conseguir una escalada de privilegios
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/10/2022

Vulnerabilidad en la variable failhtmfile en la página /download/set.cgi en los dispositivos Kyocera d-COLOR MF3555 (CVE-2022-25343)

Fecha de publicación:
20/04/2022
Idioma:
Español
Se ha detectado un problema en los dispositivos Olivetti d-COLOR MF3555 2XD_S000.002.271. La aplicación web está afectada por una denegación de servicio. Un atacante no autentificado, que puede enviar peticiones POST a la página /download/set.cgi manipulando la variable failhtmfile, es capaz de provocar la interrupción del servicio proporcionado por la Aplicación Web
Gravedad CVSS v3.1: ALTA
Última modificación:
12/05/2022

Vulnerabilidad en el campo arg01.Hostname en los dispositivos Kyocera d-COLOR (CVE-2022-25344)

Fecha de publicación:
20/04/2022
Idioma:
Español
Se ha descubierto un problema de XSS en los dispositivos Olivetti d-COLOR MF3555 2XD_S000.002.271. La aplicación web no comprueba adecuadamente los parámetros, enviados en una petición POST /dvcset/sysset/set.cgi a través del campo arg01.Hostname, antes de guardarlos en el servidor. Además, el contenido malicioso de JavaScript se refleja en el usuario final y es ejecutado por el navegador web
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/05/2022

Vulnerabilidad en Skyhigh SWG (CVE-2022-1254)

Fecha de publicación:
20/04/2022
Idioma:
Español
Una vulnerabilidad de redireccionamiento de URL en Skyhigh SWG en versiones principales 10.x anteriores a 10.2.9, 9.x anteriores a 9.2.20, 8.x anteriores a 8.2.27, y 7.x anteriores a 7.8.2.31, y la versión controlada 11.x anterior a 11.1.3 permite que un atacante remoto redirija a un usuario a un sitio web malicioso controlado por el atacante. Esto es posible porque SWG crea incorrectamente una respuesta de redirección HTTP cuando un usuario hace clic en una URL cuidadosamente construida. Tras la respuesta de redireccionamiento, la nueva petición sigue siendo filtrada por la política de SWG
Gravedad CVSS v3.1: MEDIA
Última modificación:
16/11/2023

Vulnerabilidad en la ruta /mngset/authset en los dispositivos Kyocera d-COLOR MF3555 (CVE-2022-25342)

Fecha de publicación:
20/04/2022
Idioma:
Español
Se ha detectado un problema en los dispositivos Olivetti d-COLOR MF3555 2XD_S000.002.271. La aplicación web está afectada por un control de acceso roto. No valida correctamente las solicitudes de acceso a datos y funcionalidades bajo la ruta /mngset/authset. Al no verificar los permisos de acceso a los recursos, permite a un potencial atacante ver páginas no permitidas
Gravedad CVSS v3.1: ALTA
Última modificación:
08/08/2023

Vulnerabilidad en la característica genérica P-256 en crypto/elliptic en Go (CVE-2022-28327)

Fecha de publicación:
20/04/2022
Idioma:
Español
La característica genérica P-256 en crypto/elliptic en Go versiones anteriores a 1.17.9 y versiones 1.18.x anteriores a 1.18.1, permite un pánico por medio de una entrada escalar larga
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en Amazon AWS amazon-ssm-agent (CVE-2022-29527)

Fecha de publicación:
20/04/2022
Idioma:
Español
Amazon AWS amazon-ssm-agent versiones anteriores a 3.1.1208.0, crea un archivo sudoers escribible en todo el mundo, lo que permite a los atacantes locales inyectar reglas Sudo y escalar privilegios a root. Esto ocurre en determinadas situaciones que implican una condición de carrera
Gravedad CVSS v3.1: ALTA
Última modificación:
08/08/2023

Vulnerabilidad en una gran cantidad de datos PEM en encoding/pem en Go (CVE-2022-24675)

Fecha de publicación:
20/04/2022
Idioma:
Español
encoding/pem en Go versiones anteriores a 1.17.9 y versiones 1.8.x anteriores a 1.8.1 tiene un desbordamiento de pila Decode a través de una gran cantidad de datos PEM.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en Certificate.Verify en crypto/x509 en Go (CVE-2022-27536)

Fecha de publicación:
20/04/2022
Idioma:
Español
Certificate.Verify en crypto/x509 en Go versiones 1.18.x anteriores a 1.18.1, puede causar pánico en macOS cuando son presentados determinados certificados malformados. Esto permite que un servidor TLS remoto cause que un cliente TLS entre en pánico
Gravedad CVSS v3.1: ALTA
Última modificación:
09/03/2023