Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en la función de comprobación de imagen de Cisco Expressway Series y Cisco TelePresence Video Communication Server (CVE-2021-34715)
Fecha de publicación:
18/08/2021
Idioma:
Español
Una vulnerabilidad en la función de comprobación de imagen de Cisco Expressway Series y Cisco TelePresence Video Communication Server (VCS) podría permitir a un atacante autenticado remoto ejecutar código con privilegios de usuario interno en el sistema operativo subyacente. La vulnerabilidad es debido a que no se comprueba suficientemente el contenido de los paquetes de actualización. Un atacante podría explotar esta vulnerabilidad cargando un archivo malicioso en la página de actualización de la interfaz web administrativa. Una explotación con éxito podría permitir al atacante ejecutar código con privilegios de nivel de usuario (cuenta the _nobody) en el sistema operativo subyacente.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en la interfaz de administración basada en la web de la serie Expressway de Cisco y Cisco TelePresence Video Communication Server (VCS) (CVE-2021-34716)
Fecha de publicación:
18/08/2021
Idioma:
Español
Una vulnerabilidad en la interfaz de administración basada en la web de la serie Expressway de Cisco y Cisco TelePresence Video Communication Server (VCS), podría permitir a un atacante autenticado remoto ejecutar código arbitrario en el sistema operativo subyacente como usuario root. Esta vulnerabilidad es debido al manejo incorrecto de determinadas imágenes de software diseñadas que son cargados en el dispositivo afectado. Un atacante podría explotar esta vulnerabilidad al autenticarse en el sistema como un usuario administrativo y luego cargando imágenes de software específicamente diseñadas en el dispositivo afectado. Una explotación con éxito podría permitir al atacante ejecutar código arbitrario en el sistema operativo subyacente como usuario root.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en el agente .NET de AppDynamics para Windows (CVE-2021-34745)
Fecha de publicación:
18/08/2021
Idioma:
Español
Una vulnerabilidad en el agente .NET de AppDynamics para Windows, podría permitir a un atacante aprovechar una cuenta de usuario local autenticada para alcanzar privilegios SYSTEM. Esta vulnerabilidad es debido a que NET Agent Coordinator Service ejecuta código con privilegios SYSTEM. Un atacante con acceso local a un dispositivo que esté ejecutando el agente vulnerable podría crear un proceso personalizado que podría ser iniciado con esos privilegios SYSTEM. Una explotación con éxito podría permitir al atacante ejecutar comandos arbitrarios en el sistema operativo subyacente. Esta vulnerabilidad es corregida en AppDynamics .NET Agent versión 21.7.
Gravedad CVSS v3.1: ALTA
Última modificación:
26/08/2021

Vulnerabilidad en el envío de paquetes LLDP en la Implementación del Protocolo de Detección de la Capa de Enlace (LLDP) para el firmware de las cámaras IP de la serie 7000 de Cisco Video Surveillance (CVE-2021-34734)
Fecha de publicación:
18/08/2021
Idioma:
Español
Una vulnerabilidad en la Implementación del Protocolo de Detección de la Capa de Enlace (LLDP) para el firmware de las cámaras IP de la serie 7000 de Cisco Video Surveillance podría permitir a un atacante adyacente no autenticado causar una condición de denegación de servicio (DoS). Esta vulnerabilidad es debido a una administración inapropiada de los recursos de memoria, denominada doble liberación. Un atacante podría explotar esta vulnerabilidad mediante el envío de paquetes LLDP diseñados a un dispositivo afectado. Una explotación con éxito podría permitir al atacante hacer que el dispositivo afectado se recargue, resultando en una condición de DoS. Nota: LLDP es un protocolo de capa 2. Para explotar estas vulnerabilidades, un atacante debe estar en el mismo dominio de difusión que el dispositivo afectado (Capa 2 adyacente).
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

Vulnerabilidad en el filtrado de peticiones Server Name Identification (SNI) de Cisco Web Security Appliance (WSA), Cisco Firepower Threat Defense (FTD) y Snort detection engine (CVE-2021-34749)
Fecha de publicación:
18/08/2021
Idioma:
Español
Una vulnerabilidad en el filtrado de peticiones Server Name Identification (SNI) de Cisco Web Security Appliance (WSA), Cisco Firepower Threat Defense (FTD) y Snort detection engine podría permitir a un atacante no autenticado remoto omitir la tecnología de filtrado en un dispositivo afectado y exfiltrar datos de un host comprometido. Esta vulnerabilidad es debido a un filtrado inadecuado del handshake SSL. Un atacante podría explotar esta vulnerabilidad al usar los datos del paquete de bienvenida del cliente SSL para comunicarse con un servidor externo. Una explotación con éxito podría permitir al atacante ejecutar un ataque de comando y control en un host comprometido y llevar a cabo ataques adicionales de exfiltración de datos.
Gravedad CVSS v3.1: MEDIA
Última modificación:
26/11/2024

Vulnerabilidad en el envío de una petición UPnP en el servicio Universal Plug-and-Play (UPnP) de los Routers Cisco Small Business RV110W, RV130, RV130W y RV215W (CVE-2021-34730)
Fecha de publicación:
18/08/2021
Idioma:
Español
Una vulnerabilidad en el servicio Universal Plug-and-Play (UPnP) de los Routers Cisco Small Business RV110W, RV130, RV130W y RV215W, podría permitir a un atacante no autenticado remoto ejecutar código arbitrario o hacer que un dispositivo afectado se reinicie inesperadamente, resultando en una condición de denegación de servicio (DoS). Esta vulnerabilidad es debido a una comprobación inapropiada del tráfico UPnP entrante. Un atacante podría explotar esta vulnerabilidad mediante el envío de una petición UPnP diseñada a un dispositivo afectado. Una explotación con éxito podría permitir al atacante ejecutar código arbitrario como usuario root en el sistema operativo subyacente o causar que el dispositivo se recargue, resultando en una condición de DoS. Cisco no ha publicado actualizaciones de software que aborden esta vulnerabilidad.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
07/11/2023

Vulnerabilidad en el envío de peticiones en la funcionalidad spam quarantine de Cisco Secure Email and Web Manager (CVE-2021-1561)
Fecha de publicación:
18/08/2021
Idioma:
Español
Una vulnerabilidad en la funcionalidad spam quarantine de Cisco Secure Email and Web Manager, anteriormente Cisco Security Management Appliance (SMA), podría permitir a un atacante autenticado remoto conseguir acceso no autorizado y modificar la configuración de spam quarantine de otro usuario. Esta vulnerabilidad se presenta porque el acceso a la función de cuarentena de spam no está debidamente restringido. Un atacante podría explotar esta vulnerabilidad mediante el envío de peticiones maliciosas a un sistema afectado. Una explotación con éxito podría permitir al atacante modificar la configuración de spam quarantine de otro usuario, posiblemente deshabilitando los controles de seguridad o visualizando los mensajes de correo electrónico almacenados en las interfaces de spam quarantine.
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

Vulnerabilidad en las funciones dns_upcall(), getoffset(), dnc_set_answer() en la funcionalidad DNS en InterNiche NicheStack TCP/IP (CVE-2020-25928)
Fecha de publicación:
18/08/2021
Idioma:
Español
La funcionalidad DNS en InterNiche NicheStack TCP/IP versión 4.0.1 está afectada por: Desbordamiento del Búfer. El impacto es: ejecutar código arbitrario (remoto). El componente es: Funciones de procesamiento de respuestas DNS: dns_upcall(), getoffset(), dnc_set_answer(). El vector de ataque es: un paquete de respuesta DNS específico. El código no comprueba el campo "response data length" de las respuestas DNS individuales, lo que puede causar operaciones de lectura/escritura fuera de límites, conllevando a un filtrado de Información, Denegación de Servicio o Ejecución de Código Remota, dependiendo del contexto.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
28/06/2022

Vulnerabilidad en el proceso named en BIND y BIND Supported Preview Edition (CVE-2021-25218)
Fecha de publicación:
18/08/2021
Idioma:
Español
En BIND versiones 9.16.19, 9.17.16. Además, la versión 9.16.19-S1 de BIND Supported Preview Edition. Cuando una versión vulnerable de named recibe una consulta en las circunstancias descritas anteriormente, el proceso named terminará debido a una comprobación de aserción fallida. La vulnerabilidad sólo afecta a versiones 9.16.19, 9.17.16 y 9.16.19-S1 de BIND Supported Preview Edition.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en el componente /login.php?m=admin&c=Admin&a=admin_add&lang=cn en Eyoucms (CVE-2020-19669)
Fecha de publicación:
18/08/2021
Idioma:
Español
Se presenta una vulnerabilidad de tipo Cross Site Request Forgery (CSRF) en Eyoucms versión 1.3.6, que puede añadir una cuenta de administrador por medio del componente /login.php?m=admin&c=Admin&a=admin_add&lang=cn.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/08/2021

Vulnerabilidad en Ping Identity RSA SecurID Integration Kit (CVE-2021-39270)
Fecha de publicación:
18/08/2021
Idioma:
Español
En Ping Identity RSA SecurID Integration Kit versiones anteriores a 3.2, puede ocurrir una suplantación de usuarios.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en la función dns_query_type() en el cliente DNS en InterNicheStack TCP/IP (CVE-2020-25926)
Fecha de publicación:
18/08/2021
Idioma:
Español
El cliente DNS en InterNicheStack TCP/IP versión 4.0.1, está afectado por: Insuficiente entropía en el id de la transacción DNS. El impacto es: envenenamiento de la caché DNS (remota). El componente es: la función dns_query_type(). El vector de ataque es: un paquete de respuesta DNS específico.
Gravedad CVSS v3.1: ALTA
Última modificación:
26/08/2021
Suscribirse a Vulnerabilidades