Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en el cifrado de datos en tránsito en Baxter PrismaFlex y PrisMax (CVE-2020-12036)

Fecha de publicación:
29/06/2020
Idioma:
Español
Baxter PrismaFlex todas las versiones, PrisMax todas las versiones anteriores a 3.x, los dispositivos afectados no implementan cifrado de datos en tránsito (por ejemplo, TLS/SSL) cuando se configuran para enviar datos de tratamiento a un PDMS (Patient Data Management System) o un sistema EMR (Electronic Medical Record). Un atacante podría observar datos confidenciales enviados desde el dispositivo
Gravedad CVSS v3.1: ALTA
Última modificación:
14/07/2020

Vulnerabilidad en el cifrado de datos en tránsito en Baxter PrismaFlex y PrisMax (CVE-2020-12037)

Fecha de publicación:
29/06/2020
Idioma:
Español
Baxter PrismaFlex todas las versiones, PrisMax todas las versiones anteriores a 3.x, los dispositivos afectados no implementan cifrado de datos en tránsito (por ejemplo, TLS/SSL) cuando se configuran para enviar datos de tratamiento a un PDMS (Patient Data Management System) o un sistema EMR (Electronic Medical Record). Un atacante podría observar datos confidenciales enviados desde el dispositivo
Gravedad CVSS v3.1: ALTA
Última modificación:
14/07/2020

Vulnerabilidad en el acceso a la interfaz USB en Baxter ExactaMix EM 2400 y ExactaMix EM1200 (CVE-2020-12024)

Fecha de publicación:
29/06/2020
Idioma:
Español
Baxter ExactaMix EM 2400 versiones 1.10, 1.11, 1.13, 1.14 y ExactaMix EM1200 Versiones 1.1, 1.2, 1.4 y 1.5, no restringen el acceso a la interfaz USB de un usuario no autorizado con acceso físico. Una explotación con éxito de esta vulnerabilidad puede permitir a un atacante con acceso físico al sistema la capacidad de cargar una carga útil no autorizada o acceso no autorizado al disco duro mediante el arranque de un Sistema Operativo USB en vivo. Esto podría impactar la confidencialidad e integridad del sistema y el riesgo de exposición de información confidencial, incluyendo la PHI
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/11/2021

Vulnerabilidad en una base de datos en los sistemas Baxter ExactaMix EM 2400 y ExactaMix EM1200 (CVE-2020-12032)

Fecha de publicación:
29/06/2020
Idioma:
Español
Los sistemas Baxter ExactaMix EM 2400 Versiones 1.10, 1.11 y ExactaMix EM1200 Versiones 1.1, 1.2, almacenan datos del dispositivo con información confidencial en una base de datos sin cifrar. Esto podría permitir a un atacante con acceso a la red visualizar o modificar datos confidenciales, incluyendo la PHI
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
04/11/2021

Vulnerabilidad en los sistemas Baxter ExactaMix EM 2400 y ExactaMix EM1200 (CVE-2020-12008)

Fecha de publicación:
29/06/2020
Idioma:
Español
Los sistemas Baxter ExactaMix EM 2400 Versiones 1.10, 1.11 y ExactaMix EM1200 Versiones 1.1, 1.2, usan mensajes de texto sin cifrar para comunicar información de pedidos con un sistema de ingreso de pedidos. Esto podría permitir a un atacante con acceso a la red visualizar datos confidenciales, incluyendo la PHI
Gravedad CVSS v3.1: ALTA
Última modificación:
08/07/2020

Vulnerabilidad en un VBscript en el archivo de configuración (rxp) en Reportexpress ProPlus (CVE-2019-19160)

Fecha de publicación:
29/06/2020
Idioma:
Español
Reportexpress ProPlus, contiene una vulnerabilidad que podría permitir una ejecución de un código arbitraria mediante un VBscript insertando en el archivo de configuración (rxp)
Gravedad CVSS v3.1: ALTA
Última modificación:
07/07/2020

Vulnerabilidad en acceso físico al BIOTRONIK CardioMessenger II (CVE-2019-18254)

Fecha de publicación:
29/06/2020
Idioma:
Español
BIOTRONIK CardioMessenger II, los productos afectados no cifran información confidencial mientras están en reposo. Un atacante con acceso físico al CardioMessenger puede revelar datos de mediciones médicas y el número de serie del dispositivo cardíaco implantado con que el CardioMessenger está emparejado
Gravedad CVSS v3.1: MEDIA
Última modificación:
29/10/2021

Vulnerabilidad en credenciales individuales en formato recuperable en BIOTRONIK CardioMessenger II (CVE-2019-18256)

Fecha de publicación:
29/06/2020
Idioma:
Español
BIOTRONIK CardioMessenger II, los productos afectados usan credenciales individuales por dispositivo que son almacenan en un formato recuperable. Un atacante con acceso físico al CardioMessenger puede usar estas credenciales para la autenticación de red y el descifrado de datos locales en tránsito
Gravedad CVSS v3.1: MEDIA
Última modificación:
29/10/2021

Vulnerabilidad en la autenticación mutua en BIOTRONIK CardioMessenger II (CVE-2019-18246)

Fecha de publicación:
29/06/2020
Idioma:
Español
BIOTRONIK CardioMessenger II, los productos afectados no aplican correctamente la autenticación mutua con la infraestructura de comunicación remota de BIOTRONIK
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/04/2021

Vulnerabilidad en cambio a canal de comunicación cifrado en BIOTRONIK CardioMessenger II (CVE-2019-18248)

Fecha de publicación:
29/06/2020
Idioma:
Español
BIOTRONIK CardioMessenger II, los productos afectados transmiten credenciales en texto sin cifrar antes de cambiar a un canal de comunicación cifrado. Un atacante puede revelar las credenciales del cliente del producto para conectarse a la infraestructura de Comunicación Remota de BIOTRONIK
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/04/2021

Vulnerabilidad en la reutilización de credenciales en acceso adyacente al BIOTRONIK CardioMessenger II (CVE-2019-18252)

Fecha de publicación:
29/06/2020
Idioma:
Español
BIOTRONIK CardioMessenger II, los productos afectados permiten la reutilización de credenciales para múltiples propósitos de autenticación. Un atacante con acceso adyacente al CardioMessenger puede revelar sus credenciales usadas para conectarse a la infraestructura de Comunicación Remota de BIOTRONIK
Gravedad CVSS v3.1: MEDIA
Última modificación:
06/04/2021

Vulnerabilidad en openSUSE Tumbleweed en el paquete de kopano-spamd de openSUSE Leap (CVE-2020-8014)

Fecha de publicación:
29/06/2020
Idioma:
Español
Una Vulnerabilidad de Seguimiento Enlace Simbólico de UNIX (Symlink) en el paquete de kopano-spamd de openSUSE Leap 15.1, openSUSE Tumbleweed permitió a atacantes locales con los privilegios del usuario de kopano escalar a root. Este problema afecta: kopano-spamd de openSUSE Leap 15.1 versiones anteriores a 10.0.5-lp151.4.1. kopano-spamd de openSUSE Tumbleweed versiones anteriores a 10.0.5-1.1
Gravedad CVSS v3.1: ALTA
Última modificación:
09/07/2020