Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en las DLL en Stormshield Endpoint Security Evolution (CVE-2021-35957)

Fecha de publicación:

13/07/2021

Idioma:

Español

Stormshield Endpoint Security Evolution versiones 2.0.0 hasta 2.0.2, no logra la defensa prevista contra los administradores locales que pueden reemplazar las DLL de tiempo de ejecución de Visual C++ (en %WINDIR%\system32) por otras maliciosas

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/07/2021

Vulnerabilidad en una política de seguridad en SES Evolution (CVE-2021-31224)

Fecha de publicación:

13/07/2021

Idioma:

Español

SES Evolution versiones anteriores a 2.1.0, permite duplicar una política de seguridad existente al aprovechar el acceso de un usuario con acceso de sólo lectura a las políticas de seguridad

Gravedad CVSS v3.1: BAJA

Última modificación:

15/07/2021

Vulnerabilidad en algunas partes de una política de seguridad en SES Evolution (CVE-2021-31223)

Fecha de publicación:

13/07/2021

Idioma:

Español

SES Evolution versiones anteriores a 2.1.0, permite leer algunas partes de una política de seguridad al aprovechar el acceso a un ordenador que tenga instalada la consola de administración

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/07/2021

Vulnerabilidad en el Algoritmo de Autenticación en Mitsubishi Electric Air Conditioning System/Centralized Controllers (CVE-2021-20593)

Fecha de publicación:

13/07/2021

Idioma:

Español

Una Implementación Incorrecta del Algoritmo de Autenticación en Mitsubishi Electric Air Conditioning System/Centralized Controllers versiones: (G-50A Versiones.2.50 hasta Versiones. 3.35, GB-50A Versiones.2.50 hasta Versiones. 3.35, AG-150A-A Ver.3.20 y anteriores, AG-150A-J Ver.3.20 y anteriores, GB-50ADA-A Versiones.3.20 y anteriores, GB-50ADA-J Versiones.3 .20 y anteriores, EB-50GU-A Versiones 7.09 y anteriores, EB-50GU-J Versiones 7.09 y anteriores, AE-200A Versiones 7.93 y anteriores, AE-200E Versiones 7.93 y anteriores, AE-50A Versiones 7.93 y anteriores, AE-50E Versiones 7.93 y anteriores, EW-50A Versiones 7.93 y anteriores, EW-50E Versiones 7.93 y anteriores, TE-200A Versiones 7.93 y anteriores, TE-50A Versiones 7.93 y anteriores, TW-50A Versiones 7.93 y anteriores, CMS-RMD-J Versiones.1 .30 y anteriores) y los Controladores del Air Conditioning System/Expansion (PAC-YG50ECA Versiones .2.20 y anteriores) permiten a un atacante remoto autenticado hacerse pasar por administrador para divulgar información de configuración del sistema de aire acondicionado e información de manipulación (por ejemplo, información de funcionamiento y configuración del sistema de aire acondicionado) al explotar esta vulnerabilidad

Gravedad CVSS v3.1: ALTA

Última modificación:

05/08/2021

Vulnerabilidad en la consola de administración en SES Evolution (CVE-2021-31225)

Fecha de publicación:

13/07/2021

Idioma:

Español

SES Evolution versiones anteriores a 2.1.0, permite borrar algunos recursos que no están en uso por ninguna política de seguridad al aprovechar el acceso a un ordenador que tenga instalada la consola de administración

Gravedad CVSS v3.1: ALTA

Última modificación:

15/07/2021

Vulnerabilidad en dandavison delta en Windows (CVE-2021-36376)

Fecha de publicación:

13/07/2021

Idioma:

Español

dandavison delta versiones anteriores a 0.8.3 en Windows, resuelve el nombre de la ruta de un ejecutable como una ruta relativa desde el directorio actual

Gravedad CVSS v3.1: ALTA

Última modificación:

16/07/2021

Vulnerabilidad en la respuesta PASV en la función Net::FTP en un servidor FTP en Ruby (CVE-2021-31810)

Fecha de publicación:

13/07/2021

Idioma:

Español

Se ha detectado un problema en Ruby versiones hasta 2.6.7, versiones 2.7.x hasta 2.7.3, y versiones 3.x hasta 3.0.1. Un servidor FTP malicioso puede usar la respuesta PASV para engañar a la función Net::FTP para que se conecte de nuevo a una dirección IP y un puerto determinados. Esto potencialmente hace que curl extraiga información sobre servicios que de otra manera son privados y no son divulgados (por ejemplo, el atacante puede conducir escaneos de puertos y extracciones de banners de servicios)

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/01/2024

Vulnerabilidad en la función Bluetooth de algunos smartphones en HUAWEI P30 (CVE-2021-22399)

Fecha de publicación:

13/07/2021

Idioma:

Español

La función Bluetooth de algunos smartphones de Huawei presenta una vulnerabilidad DoS. Los atacantes pueden instalar aplicaciones de terceros para enviar transmisiones específicas, causando un bloqueo al módulo Bluetooth. Esta vulnerabilidad es explotada con éxito para causar que la función Bluetooth se vuelva anormal. Las versiones de producto afectadas incluyen: HUAWEI P30 versión 10.0.0.195(C432E22R2P5), versión 10.0.0.200(C00E85R2P11), versión 10.0.0.200(C461E6R3P1), versión 10.0.0.201(C10E7R5P1), versión 10.0.0.201(C185E4R7P1), versión 10. Versión 0.0.206(C605E19R1P3), versión 10.0.0.209(C636E6R3P4), versión 10.0.0.210(C635E3R2P4), y versiones anteriores a 10.1.0.165(C01E165R2P11)

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/07/2021

Vulnerabilidad en algunos productos de Huawei (CVE-2021-22440)

Fecha de publicación:

13/07/2021

Idioma:

Español

Se presenta una vulnerabilidad de salto de ruta en algunos productos de Huawei. La vulnerabilidad es debido a que el software usa una entrada externa para construir un nombre de ruta que pretende identificar un archivo o directorio que se encuentra debajo de un directorio principal restringido, pero el software no comprueba apropiadamente el nombre de ruta. Una explotación con éxito podría permitir al atacante acceder a una ubicación que está fuera del directorio restringido mediante un nombre de archivo diseñado. Las versiones de producto afectadas son:HUAWEI Mate 20 versión 9.0.0.195(C01E195R2P1), versión 9.1.0.139(C00E133R3P1);HUAWEI Mate 20 Pro versión 9.0. versión 0.187(C432E10R1P16), versión 9.0.0.188(C185E10R2P1), versión 9.0.0.245(C10E10R2P1), versión 9.0.0.266(C432E10R1P16), versión 9.0.0.267(C636E10R2P1),versión 9. versión 0.0.268(C635E12R1P16), versión 9.0.0.278(C185E10R2P1); Hima-L29C versión 9.0.0.105(C10E9R1P16), versión 9.0.0.105(C185E9R1P16), versión 9.0.0. 105(C636E9R1P16); Laya-AL00EP versión 9.1.0.139(C786E133R3P1); OxfordS-AN00A versión 10.1.0.223(C00E210R5P1); Tony-AL00B versión 9.1.0.257(C00E222R2P1)

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/07/2021

Vulnerabilidad en el proceso /nova/bin/lcdstat en Mikrotik RouterOs (CVE-2020-20250)

Fecha de publicación:

13/07/2021

Idioma:

Español

Mikrotik RouterOs versiones anteriores a estable 6.47, sufre una vulnerabilidad de corrupción de memoria en el proceso /nova/bin/lcdstat. Un atacante remoto autenticado puede causar una Denegación de Servicio (desreferencia del puntero NULL). NOTA: esto es diferente de CVE-2020-20253 y CVE-2020-20254. Las cuatro vulnerabilidades en el proceso /nova/bin/lcdstat son discutidas en la referencia CVE-2020-20250 github.com/cq674350529

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/06/2022

Vulnerabilidad en el análisis de los archivos BMP en la biblioteca BMP_Loader.dll en JT2Go, Teamcenter Visualization (CVE-2021-34332)

Fecha de publicación:

13/07/2021

Idioma:

Español

Se ha identificado una vulnerabilidad en JT2Go (Todas las versiones anteriores a V13.2), Teamcenter Visualization (Todas las versiones anteriores a V13.2). La biblioteca BMP_Loader.dll de las aplicaciones afectadas no comprueba apropiadamente los datos suministrados por el usuario cuando se analizan los archivos BMP. Un archivo de entrada malformado podría resultar en una condición de bucle infinito que conlleva una condición de denegación de servicio. Un atacante podría aprovechar esta vulnerabilidad para consumir recursos excesivos. (CNVD-C-2021-79300)

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/07/2021

Vulnerabilidad en el análisis de los archivos BMP en la biblioteca BMP_Loader.dll en JT2Go, Teamcenter Visualization (CVE-2021-34333)

Fecha de publicación:

13/07/2021

Idioma:

Español

Se ha identificado una vulnerabilidad en JT2Go (Todas las versiones anteriores a V13.2), Teamcenter Visualization (Todas las versiones anteriores a V13.2). La biblioteca BMP_Loader.dll de las aplicaciones afectadas no comprueba apropiadamente los datos suministrados por el usuario cuando se analizan los archivos BMP. Un archivo de entrada malformado podría resultar en una doble liberación de un búfer asignado que conlleva un fallo. Un atacante podría aprovechar esta vulnerabilidad para causar una condición de Denegación de Servicio. (CNVD-C-2021-79295)

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/07/2021

Suscribirse a Vulnerabilidades