Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en los campos UASDevice-)data3 y UASDevice-)status3 en la emulación del dispositivo UAS de QEMU (CVE-2021-3713)

Fecha de publicación:
25/08/2021
Idioma:
Español
Se ha detectado un fallo de escritura fuera de límites en la emulación del dispositivo UAS (USB Attached SCSI) de QEMU en versiones anteriores a 6.2.0-rc0. El dispositivo usa el número de flujo suministrado por el huésped sin comprobar, lo que puede conllevar a un acceso fuera de límites a los campos UASDevice-)data3 y UASDevice-)status3. Un usuario invitado malicioso podría usar este fallo para bloquear QEMU o lograr potencialmente una ejecución de código con los privilegios del proceso QEMU en el host.
Gravedad CVSS v3.1: ALTA
Última modificación:
25/10/2022

Vulnerabilidad en la funcionalidad rleUncompress de OpenEXR (CVE-2021-3605)

Fecha de publicación:
25/08/2021
Idioma:
Español
Se presenta un fallo en la funcionalidad rleUncompress de OpenEXR en versiones anteriores a 3.0.5. Un atacante que sea capaz de enviar un archivo diseñado a una aplicación enlazada con OpenEXR podría causar una lectura fuera de límites. El mayor riesgo de este fallo es la disponibilidad de la aplicación.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

Vulnerabilidad en una entrada en BinderHub (CVE-2021-39159)

Fecha de publicación:
25/08/2021
Idioma:
Español
BinderHub es un servicio en la nube basado en kubernetes que permite a usuarios compartir entornos informáticos interactivos reproducibles a partir de repositorios de código. En las versiones afectadas se ha identificado una vulnerabilidad de ejecución de código remota en BinderHub, en la que al proporcionar a BinderHub una entrada maliciosamente diseñada se podría ejecutar código en el contexto de BinderHub, con el potencial de sacar las credenciales del despliegue de BinderHub, incluidos los tokens de la API de JupyterHub, las cuentas de servicio de kubernetes y las credenciales del registro de Docker. Esto puede proporcionar la habilidad de manipular imágenes y otros pods creados por el usuario en el despliegue, con el potencial de escalar al host dependiendo de la configuración subyacente de kubernetes. Se recomienda a usuarios que actualicen a la versión 0.2.0-n653. Si los usuarios no pueden actualizar pueden deshabilitar el proveedor de repo git al especificar "BinderHub.repo_providers" como solución alternativa.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
25/10/2022

Vulnerabilidad en el análisis de los archivos de proyecto en Cscape (CVE-2021-32995)

Fecha de publicación:
25/08/2021
Idioma:
Español
Cscape (todas las versiones anteriores a 9.90 SP5) carece de una comprobación apropiada de los datos suministrados por el usuario cuando analiza los archivos de proyecto. Esto podría conllevar una escritura fuera de límites. Un atacante podría aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual.<br />
Gravedad CVSS v3.1: ALTA
Última modificación:
02/07/2022

Vulnerabilidad en un puntero no inicializado en los archivos de proyecto en Cscape (CVE-2021-33015)

Fecha de publicación:
25/08/2021
Idioma:
Español
Cscape (todas las versiones anteriores a 9.90 SP5) carece de una comprobación apropiada de los datos proporcionados por el usuario cuando analiza los archivos del proyecto. Esto podría conllevar a una escritura fuera de límites por medio de un puntero no inicializado. Un atacante podría aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual.
Gravedad CVSS v3.1: ALTA
Última modificación:
01/09/2021

Vulnerabilidad en el análisis de los archivos de proyecto en Cscape (CVE-2021-32975)

Fecha de publicación:
25/08/2021
Idioma:
Español
Cscape (todas las versiones anteriores a 9.90 SP5) carece de una comprobación apropiada de los datos proporcionados por el usuario cuando analiza los archivos de proyecto. Esto podría conllevar una lectura fuera de límites. Un atacante podría aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual.
Gravedad CVSS v3.1: ALTA
Última modificación:
30/08/2021

Vulnerabilidad en GitLab CE/EE (CVE-2021-22250)

Fecha de publicación:
25/08/2021
Idioma:
Español
Una autorización inapropiada en GitLab CE/EE, afectando a todas las versiones desde la 13.3, permitía a usuarios visualizar y eliminar los tokens de suplantación creados por los administradores para su cuenta.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/05/2022

Vulnerabilidad en la funcionalidad vulnerability report en GitLab EE (CVE-2021-22244)

Fecha de publicación:
25/08/2021
Idioma:
Español
Una autorización inapropiada en la funcionalidad vulnerability report en GitLab EE, afectando a todas las versiones desde la 13.1, permitía a un informador acceder a los datos de la vulnerabilidad
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/05/2022

Vulnerabilidad en una URL de invitación en GitLab CE/EE (CVE-2021-22243)

Fecha de publicación:
25/08/2021
Idioma:
Español
En condiciones especiales, GitLab CE/EE versiones a partir de la 7.10, pueden permitir a usuarios existentes de GitLab usar una URL de invitación destinada a otra dirección de correo electrónico para conseguir acceso a un grupo.
Gravedad CVSS v3.1: MEDIA
Última modificación:
31/08/2021

Vulnerabilidad en la visualización de varias páginas de un proyecto en GitLab CE/EE (CVE-2021-22245)

Fecha de publicación:
25/08/2021
Idioma:
Español
Una comprobación inapropiada del autor de los commit en GitLab CE/EE, afectando a todas las versiones, permitía a un atacante imposibilitar la visualización de varias páginas de un proyecto
Gravedad CVSS v3.1: BAJA
Última modificación:
31/08/2021

Vulnerabilidad en GitLab CE/EE (CVE-2021-22247)

Fecha de publicación:
25/08/2021
Idioma:
Español
Una autorización inapropiada en GitLab CE/EE, afectando a todas las versiones desde la 13.0, permite a invitados de proyectos privados visualizar los análisis de CI/CD.
Gravedad CVSS v3.1: MEDIA
Última modificación:
31/08/2021

Vulnerabilidad en GitLab CE/EE (CVE-2021-22256)

Fecha de publicación:
25/08/2021
Idioma:
Español
Una autorización inapropiada en GitLab CE/EE, afectando a todas las versiones desde la 12.6, permitía a usuarios invitados crear problemas para los errores de Sentry y seguir su estado
Gravedad CVSS v3.1: MEDIA
Última modificación:
31/08/2021