Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en el motor de descompresión zip del software Cisco AsyncOS para Cisco Email Security Appliance (ESA) (CVE-2020-3134)

Fecha de publicación:

26/01/2020

Idioma:

Español

Una vulnerabilidad en el motor de descompresión zip del software Cisco AsyncOS para Cisco Email Security Appliance (ESA) podría permitir que un atacante remoto no autenticado cause una condición de denegación de servicio (DoS) en un dispositivo afectado. La vulnerabilidad se debe a una validación incorrecta de los archivos zip. Un atacante podría aprovechar esta vulnerabilidad enviando un mensaje de correo electrónico con un archivo adjunto comprimido comprimido. Una explotación con éxito podría desencadenar un reinicio del proceso de escaneo de contenido, causando una condición DoS temporal. Esta vulnerabilidad afecta al software Cisco AsyncOS para las versiones de Cisco ESA anteriores a 13.0.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/01/2020

Vulnerabilidad en la interfaz de administración basada en web de Cisco Unity Connection Software (CVE-2020-3129)

Fecha de publicación:

26/01/2020

Idioma:

Español

Una vulnerabilidad en la interfaz de administración basada en web de Cisco Unity Connection Software, podría permitir a un atacante remoto autenticado llevar a cabo un ataque de tipo cross-site scripting (XSS) almacenado. La vulnerabilidad es debido a una comprobación de entrada insuficiente por parte de la interfaz de administración basada en web. Un atacante podría explotar esta vulnerabilidad al proporcionar datos diseñados hacia un campo específico dentro de la interfaz. Una explotación con éxito podría permitir al atacante almacenar un ataque de tipo XSS dentro de la interfaz. Este ataque de tipo XSS almacenado entonces sería ejecutado en el sistema de cualquier usuario que visualice el elemento de datos proporcionado por el atacante.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/01/2020

Vulnerabilidad en el cliente Cisco Webex Teams (CVE-2020-3131)

Fecha de publicación:

26/01/2020

Idioma:

Español

Una vulnerabilidad en el cliente Cisco Webex Teams para Windows podría permitir que un atacante remoto autenticado haga que el cliente se bloquee, dando como resultado una condición de denegación de servicio (DoS). El atacante necesita una cuenta de desarrollador válida para aprovechar esta vulnerabilidad. La vulnerabilidad se debe a una validación de entrada insuficiente cuando se procesan tarjetas adaptativas recibidas. El atacante podría aprovechar esta vulnerabilidad enviando una tarjeta adaptable con contenido malicioso a un usuario existente del cliente Cisco Webex Teams para Windows. Una explotación con éxito podría permitir al atacante provocar que el cliente del usuario objetivo se bloquee continuamente. Esta vulnerabilidad se introdujo en el cliente Cisco Webex Teams para Windows Release 3.0.13131.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/01/2020

Vulnerabilidad en los mensajes de actualización en la implementación de la funcionalidad Border Gateway Protocol (BGP) Ethernet VPN (EVPN) en Cisco IOS XR Software (CVE-2019-16020)

Fecha de publicación:

26/01/2020

Idioma:

Español

Múltiples vulnerabilidades en la implementación de la funcionalidad Border Gateway Protocol (BGP) Ethernet VPN (EVPN) en Cisco IOS XR Software, podrían permitir a un atacante remoto no autenticado causar una condición de denegación de servicio (DoS). Las vulnerabilidades son debido al procesamiento incorrecto de los mensajes de actualización de BGP que contienen atributos EVPN diseñados. Un atacante podría explotar estas vulnerabilidades mediante el envío de mensajes de actualización de BGP EVPN con atributos malformados para ser procesados ??por un sistema afectado. Una explotación con éxito podría permitir al atacante causar que el proceso BGP se reinicie inesperadamente, resultando en una condición DoS. La implementación de Cisco de BGP acepta el tráfico de BGP entrante solo desde peers definidos explícitamente. Para explotar estas vulnerabilidades, el mensaje de actualización de BGP malicioso necesitaría venir desde un peer de BGP válido y configurado, o necesitaría ser inyectado por parte del atacante en la red de BGP de la víctima en una conexión TCP válida y existente a un peer de BGP.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/01/2020

Vulnerabilidad en los mensajes de actualización en la implementación de la funcionalidad Border Gateway Protocol (BGP) Ethernet VPN (EVPN) en Cisco IOS XR Software (CVE-2019-16022)

Fecha de publicación:

26/01/2020

Idioma:

Español

Gravedad CVSS v3.1: ALTA

Última modificación:

29/01/2020

Vulnerabilidad en la interfaz de administración basada en web de Cisco Crosswork Change Automation (CVE-2019-16024)

Fecha de publicación:

26/01/2020

Idioma:

Español

Una vulnerabilidad en la interfaz de administración basada en web de Cisco Crosswork Change Automation, podría permitir a un atacante remoto no autenticado llevar a cabo un ataque de tipo cross-site scripting (XSS) contra un usuario de la interfaz de administración basada en web de un sistema afectado. La vulnerabilidad es debido a una comprobación insuficiente de la entrada suministrada por parte del usuario mediante la interfaz de administración basada en web de un sistema afectado. Un atacante podría explotar esta vulnerabilidad al persuadir a un usuario para que haga clic en un enlace diseñado. Una explotación con éxito podría permitir al atacante ejecutar código de script arbitrario en el contexto de la interfaz afectada o acceder a información confidencial basada en el navegador.

Gravedad CVSS v3.1: MEDIA

Última modificación:

29/01/2020

Vulnerabilidad en la implementación del Stream Control Transmission Protocol (SCTP) en el eNodeB en Cisco Mobility Management Entity (MME) (CVE-2019-16026)

Fecha de publicación:

26/01/2020

Idioma:

Español

Una vulnerabilidad en la implementación del Stream Control Transmission Protocol (SCTP) en Cisco Mobility Management Entity (MME), podría permitir a un atacante remoto no autenticado causar una condición de denegación de servicio (DoS) en un eNodeB que esté conectado en un dispositivo afectado. La vulnerabilidad es debido a una comprobación de entrada insuficiente del tráfico SCTP. Un atacante podría explotar esta vulnerabilidad mediante el aprovechamiento de una posición de tipo man-in-the-middle entre el eNodeB y el MME y luego enviar un mensaje SCTP diseñado hacia el MME. Una explotación con éxito causaría que el MME dejara de enviar mensajes SCTP hacia el eNodeB, desencadenando una condición DoS.

Gravedad CVSS v3.1: MEDIA

Última modificación:

31/01/2020

Vulnerabilidad en una petición de Protocolo Simple Network Management Protocol (SNMP) para Object Identifiers (OIDs) en la funcionalidad del protocolo de enrutamiento Intermediate System–to–Intermediate System (IS–IS) en Cisco IOS XR Software (CVE-2019-16027)

Fecha de publicación:

26/01/2020

Idioma:

Español

Una vulnerabilidad en la implementación de la funcionalidad del protocolo de enrutamiento Intermediate System–to–Intermediate System (IS–IS) en Cisco IOS XR Software, podría permitir a un atacante remoto autenticado causar una condición de denegación de servicio (DoS) en el proceso IS–IS. La vulnerabilidad es debido al manejo inapropiado de una petición de Protocolo Simple Network Management Protocol (SNMP) para Object Identifiers (OIDs) específicos por el proceso IS–IS. Un atacante podría explotar esta vulnerabilidad mediante el envío de una petición SNMP diseñada hacia el dispositivo afectado. Una explotación con éxito podría permitir al atacante causar una condición DoS en el proceso IS–IS.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/05/2022

Vulnerabilidad en la GUI basada en web de Cisco IP Phone Serie 6800, 7800 y 8800 con Multiplatform Firmware (CVE-2019-16008)

Fecha de publicación:

26/01/2020

Idioma:

Español

Una vulnerabilidad en la GUI basada en web de Cisco IP Phone Serie 6800, 7800 y 8800 con Multiplatform Firmware, podría permitir a un atacante remoto autenticado llevar a cabo un ataque de tipo cross-site scripting (XSS) contra un usuario de la interfaz basada en web de un sistema afectado. La vulnerabilidad es debido a una comprobación insuficiente de la entrada suministrada por parte del usuario mediante la GUI basada en web de un sistema afectado. Un atacante podría explotar esta vulnerabilidad al persuadir a un usuario de la interfaz para que haga clic en un enlace diseñado. Una explotación con éxito podría permitir al atacante ejecutar código script arbitrario en el contexto de la interfaz afectada o acceder a información confidencial basada en el navegador.

Gravedad CVSS v3.1: MEDIA

Última modificación:

29/01/2020

Vulnerabilidad en la implementación de la funcionalidad Border Gateway Protocol (BGP) Ethernet VPN (EVPN) en Cisco IOS XR Software (CVE-2019-16018)

Fecha de publicación:

26/01/2020

Idioma:

Español

Una vulnerabilidad en la implementación de la funcionalidad Border Gateway Protocol (BGP) Ethernet VPN (EVPN) en Cisco IOS XR Software, podría permitir a un atacante remoto no autenticado causar una condición de denegación de servicio (DoS). La vulnerabilidad es debido al procesamiento incorrecto de un mensaje de actualización de BGP que contiene atributos EVPN diseñados. Un atacante podría explotar indirectamente la vulnerabilidad mediante el envío de mensajes de actualización de BGP EVPN con un atributo específico malformado hacia un sistema afectado y esperar a que un usuario en el dispositivo despliegue el estado operativo routes’ de EVPN. Si tiene éxito, el atacante podría causar que el proceso BGP se reinicie inesperadamente, resultando en una condición DoS. La implementación de Cisco de BGP acepta el tráfico de BGP entrante solo desde peers definidos explícitamente. Para explotar esta vulnerabilidad, el mensaje de actualización de BGP malicioso necesitaría venir desde un peer de BGP válido y configurado, o necesitaría ser inyectado por parte del atacante en la red de BGP de la víctima en una conexión TCP válida y existente a un peer de BGP.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/02/2020

Vulnerabilidad en la interfaz de administración basada en web de la aplicación Cisco Data Center Analytics Framework (CVE-2019-16015)

Fecha de publicación:

26/01/2020

Idioma:

Español

Una vulnerabilidad en la interfaz de administración basada en web de la aplicación Cisco Data Center Analytics Framework, podría permitir a un atacante remoto no autenticado llevar a cabo un ataque de tipo cross-site scripting (XSS) reflejado contra un usuario de la interfaz de un sistema afectado. La vulnerabilidad es debido a una comprobación insuficiente de la entrada suministrada por parte del usuario mediante la interfaz de administración basada en web del software afectado. Un atacante podría explotar esta vulnerabilidad al persuadir a un usuario de la interfaz para que haga clic en un enlace malicioso. Una explotación con éxito podría permitir al atacante ejecutar código de script arbitrario en el contexto de la interfaz o permitir que el atacante acceda a información confidencial basada en el navegador en el sistema afectado.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/01/2020

Vulnerabilidad en la implementación de la funcionalidad del Border Gateway Protocol (BGP) en Cisco IOS XR Software (CVE-2019-15989)

Fecha de publicación:

26/01/2020

Idioma:

Español

Una vulnerabilidad en la implementación de la funcionalidad Border Gateway Protocol (BGP) en Cisco IOS XR Software, podría permitir a un atacante remoto no autenticado causar una condición de denegación de servicio (DoS). La vulnerabilidad es debido al procesamiento incorrecto de un mensaje de actualización BGP que contiene un atributo BGP específico. Un atacante podría explotar esta vulnerabilidad mediante el envío de mensajes de actualización de BGP que incluyan un atributo específico con malformación para que un sistema afectado lo procese. Una explotación con éxito podría permitir al atacante causar que el proceso BGP se reinicie inesperadamente, resultando en una condición DoS. La implementación de Cisco de BGP acepta el tráfico de BGP entrante solo desde peers definidos explícitamente. Para explotar esta vulnerabilidad, el mensaje de actualización de BGP malicioso necesitaría venir de un peer BGP válido y configurado o el atacante debería inyectarlo en la red BGP victim’s en una conexión TCP válida existente a un peer BGP.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/01/2020

Suscribirse a Vulnerabilidades