Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en la funcionalidad Code Monitoring en Sourcegraph (CVE-2022-23643)

Fecha de publicación:

15/02/2022

Idioma:

Español

Sourcegraph es un motor de búsqueda y navegación de código. Sourcegraph versiones 3.35 y 3.36, reintrodujeron una vulnerabilidad de canal lateral previamente corregida en la funcionalidad Code Monitoring donde las cadenas en el código fuente privado podían ser adivinadas por un actor autenticado pero no autorizado. Este problema sólo afecta a la funcionalidad Code Monitoring, mientras que CVE-2021-43823 también afectaba a las búsquedas guardadas. Un ataque con éxito requeriría que un actor malicioso autenticado creara muchos Monitores de Código para recibir la confirmación de que una cadena específica se presenta. Esto podría permitir a un atacante adivinar los tokens formateados en el código fuente, como las claves de la API. Este problema fue parcheado en las versiones 3.35.2 y 3.36.3 de Sourcegraph. Aquellos que no puedan actualizarse pueden deshabilitar la funcionalidad Code Monitor en su instalación

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/02/2022

Vulnerabilidad en Solari di Udine TermTalk Server (TTServer) (CVE-2021-35380)

Fecha de publicación:

15/02/2022

Idioma:

Español

Se presenta una vulnerabilidad de Salto de Directorio en Solari di Udine TermTalk Server (TTServer) versión 3.24.0.2, que permite a un usuario malicioso no autenticado acceder a los archivos del sistema remoto al obtener acceso a la ruta relativa del archivo que quiere descargar (http://url:port/file?valore)

Gravedad CVSS v3.1: ALTA

Última modificación:

25/04/2022

Vulnerabilidad en Discourse (CVE-2022-23641)

Fecha de publicación:

15/02/2022

Idioma:

Español

Discourse es una plataforma de debate de código abierto. En las versiones anteriores a 2.8.1 en la rama "stable", versión 2.9.0.beta2 en la rama "beta" y versión 2.9.0.beta2 en la rama "tests-passed", los usuarios pueden desencadenar un ataque de Denegación de Servicio al publicar una URL en streaming. El análisis de Oneboxes en el trabajo de fondo desencadena un bucle infinito, que causa pérdidas de memoria. Este problema está parcheado en versión 2.8.1 de la rama "stable", en versión 2.9.0.beta2 de la rama "beta" y en versión 2.9.0.beta2 de la rama "tests-passed". Como medida de mitigación, deshabilite por completo el onebox en el panel de administración o especifique la lista de dominios permitidos para el oneboxing

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/02/2022

Vulnerabilidad en el módulo wifiTime en el router Tenda AC Series (CVE-2021-46263)

Fecha de publicación:

15/02/2022

Idioma:

Español

Se ha detectado que el router Tenda AC Series versión AC11_V02.03.01.104_CN, contiene un desbordamiento del búfer de la pila en el módulo wifiTime. Esta vulnerabilidad permite a atacantes causar una denegación de servicio (DoS) por medio de datos de desbordamiento diseñados

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

23/02/2022

Vulnerabilidad en el módulo PPPoE en el router Tenda AC Series (CVE-2021-46262)

Fecha de publicación:

15/02/2022

Idioma:

Español

Se ha detectado que el router Tenda AC Series versión AC11_V02.03.01.104_CN, contiene un desbordamiento del búfer de la pila en el módulo PPPoE. Esta vulnerabilidad permite a atacantes causar una denegación de servicio (DoS) por medio de datos de desbordamiento diseñados

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

23/02/2022

Vulnerabilidad en el módulo wifiBasicCfg en el router Tenda AC Series (CVE-2021-46321)

Fecha de publicación:

15/02/2022

Idioma:

Español

Se ha detectado que el router Tenda AC Series versión AC11_V02.03.01.104_CN, contiene un desbordamiento del búfer de la pila en el módulo wifiBasicCfg. Esta vulnerabilidad permite a atacantes causar una denegación de servicio (DoS) por medio de datos desbordados diseñados

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

23/02/2022

Vulnerabilidad en el módulo wanBasicCfg en el router Tenda AC Series (CVE-2021-46265)

Fecha de publicación:

15/02/2022

Idioma:

Español

Se ha detectado que el router Tenda AC Series versión AC11_V02.03.01.104_CN, contiene un desbordamiento del búfer de la pila en el módulo wanBasicCfg. Esta vulnerabilidad permite a atacantes causar una denegación de servicio (DoS) por medio de datos de desbordamiento diseñados

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

23/02/2022

Vulnerabilidad en el módulo onlineList en el router Tenda AC Series (CVE-2021-46264)

Fecha de publicación:

15/02/2022

Idioma:

Español

Se ha detectado que el router Tenda AC Series versión AC11_V02.03.01.104_CN, contiene un desbordamiento del búfer de la pila en el módulo onlineList. Esta vulnerabilidad permite a atacantes causar una denegación de servicio (DoS) por medio de datos de desbordamiento diseñados

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

23/02/2022

Vulnerabilidad en la variable TIMEZONE en la función sub_3226AC en Xerox Phaser 4622 (CVE-2021-37354)

Fecha de publicación:

15/02/2022

Idioma:

Español

Se ha detectado que Xerox Phaser 4622 versión v35.013.01.000, contiene un desbordamiento del búfer en la función sub_3226AC por medio de la variable TIMEZONE. Esta vulnerabilidad permite a atacantes causar una denegación de servicio (DoS) por medio de datos de desbordamiento diseñados

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

24/02/2022

Vulnerabilidad en el archivo /etc/wpa_supplicant.conf en los productos de la serie SP de RICOH 320DN (CVE-2021-33945)

Fecha de publicación:

15/02/2022

Idioma:

Español

Se ha detectado que los productos de la serie SP de RICOH 320DN, SP 325DNw, SP 320SN, SP 325SNw, SP 325SFNw, SP 330SN, Aficio SP 3500SF, SP 221S, SP 220SNw, SP 221SNw, SP 221SF, SP 220SFNw, SP 221SFNw versión v1.06, contienen un desbordamiento del buffer de pila en el archivo /etc/wpa_supplicant.conf. Esta vulnerabilidad permite a atacantes causar una denegación de servicio (DoS) por medio de datos desbordados diseñados

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

11/05/2022

Vulnerabilidad en una carga útil en el parámetro task en la función Add Category en Burden (CVE-2022-24589)

Fecha de publicación:

15/02/2022

Idioma:

Español

Se ha detectado que Burden versión v3.0 contiene una vulnerabilidad de tipo cross-site scripting (XSS) almacenada en la función Add Category. Esta vulnerabilidad permite a atacantes ejecutar scripts web o HTML arbitrarios por medio de una carga útil diseñada en el parámetro task

Gravedad CVSS v3.1: MEDIA

Última modificación:

23/02/2022

Vulnerabilidad en crossbeam-utils (CVE-2022-23639)

Fecha de publicación:

15/02/2022

Idioma:

Español

crossbeam-utils proporciona atómicos, primitivas de sincronización, hilos de alcance y otras utilidades para la programación concurrente en Rust. crossbeam-utils versiones anteriores a 0.8.7, asumía incorrectamente que la alineación de "{i,u}64" era siempre la misma que "Atomic{I,U}64". Sin embargo, la alineación de "{i,u}64" en un objetivo de 32 bits puede ser menor que "Atomic{I,U}64". Esto puede causar accesos a memoria no alineados y carreras de datos. Los crates que usan métodos "fetch_*" con "AtomicCell({i,u}64)" están afectados por este problema. Los objetivos de 32 bits sin "Atomic{I,U}64" y los objetivos de 64 bits no están afectados por este problema. Esto ha sido corregido en crossbeam-utils versión 0.8.7. Actualmente no se presentan medidas de mitigación conocidas

Gravedad CVSS v3.1: ALTA

Última modificación:

10/02/2023

Suscribirse a Vulnerabilidades