Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en la funcionalidad Project Shortcuts en Atlassian Jira Server y Data Center (CVE-2021-39112)

Fecha de publicación:

25/08/2021

Idioma:

Español

Las versiones afectadas de Atlassian Jira Server y Data Center permiten a atacantes remotos redirigir a usuarios a una URL maliciosa por medio de una vulnerabilidad de tabnapping inverso en la funcionalidad Project Shortcuts. Las versiones afectadas son anteriores a versión 8.5.15, desde versión 8.6.0 antes de 8.13.7, desde versión 8.14.0 antes de 8.17.1, y desde versión 8.18.0 antes de 8.18.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/03/2022

Vulnerabilidad en el Ajuste System Configuration Enable External Script Access en PrimeKey EJBCA (CVE-2021-40089)

Fecha de publicación:

25/08/2021

Idioma:

Español

Se ha detectado un problema en PrimeKey EJBCA versiones anteriores a 7.6.0. El Editor Personalizado de Propósito General, que normalmente se ejecuta para invocar un script local tras una operación de publicación, podía seguir ejecutándose si el System Configuration setting Enable External Script Access estaba deshabilitado. Con esta configuración deshabilitada, no es posible crear nuevos editores de este tipo, pero los editores existentes seguirían ejecutándose.

Gravedad CVSS v3.1: BAJA

Última modificación:

09/09/2021

Vulnerabilidad en el registro de cambios de auditoría en las configuraciones de alias de varios protocolos en PrimeKey EJBCA (CVE-2021-40087)

Fecha de publicación:

25/08/2021

Idioma:

Español

Se ha detectado un problema en PrimeKey EJBCA versiones anteriores a 7.6.0. Cuando se registraban cambios de auditoría en las configuraciones de alias de varios protocolos que usan un secreto de inscripción, cualquier modificación del secreto se registraba en texto sin cifrar en el registro de auditoría (que sólo puede ser visualizado por un administrador). Esto afecta al uso de cualquiera de los siguientes protocolos: SCEP, CMP o EST.

Gravedad CVSS v3.1: BAJA

Última modificación:

07/09/2021

Vulnerabilidad en el modo CMP RA en un certificado de cliente en PrimeKey EJBCA (CVE-2021-40088)

Fecha de publicación:

25/08/2021

Idioma:

Español

Se ha detectado un problema en PrimeKey EJBCA versiones anteriores a 7.6.0. El modo CMP RA puede ser configurado para usar un certificado de cliente conocido para autenticar a los clientes que se inscriben. El mismo certificado de cliente RA es usado también para las peticiones de revocación. Mientras que la inscripción refuerza las restricciones de tenencia múltiple (al verificar que el certificado del cliente tiene acceso a la CA y a los Perfiles contra los que se está inscribiendo), esta comprobación no se llevaba a cabo cuando se autenticaban las operaciones de revocación, permitiendo a un tenedor conocido revocar un certificado perteneciente a otro tenedor.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/09/2021

Vulnerabilidad en la configuración de los alias para SCEP, CMP, EST y la inscripción Automática en PrimeKey EJBCA (CVE-2021-40086)

Fecha de publicación:

25/08/2021

Idioma:

Español

Se ha detectado un problema en PrimeKey EJBCA versiones anteriores a 7.6.0. Como parte de la configuración de los alias para SCEP, CMP, EST y la inscripción Automática, el secreto de inscripción era reflejado en una página (que sólo puede ser visualizado por un administrador). Mientras estaba oculto a la vista directa, la comprobación de la fuente de la página revelaba el secreto.

Gravedad CVSS v3.1: BAJA

Última modificación:

12/07/2022

Vulnerabilidad en un campo GECOS en los archivos de sysusers.d en opensysusers (CVE-2021-40084)

Fecha de publicación:

25/08/2021

Idioma:

Español

opensysusers versiones hasta 0.6, no usa de forma segura eval en los archivos de sysusers.d que pueden contener metacaracteres del shell. Por ejemplo, permite la ejecución de comandos por medio de un campo GECOS diseñado, mientras que systemd-sysusers (un programa con la misma especificación) no lo hace.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

12/07/2022

Vulnerabilidad en Knot Resolver (CVE-2021-40083)

Fecha de publicación:

25/08/2021

Idioma:

Español

Knot Resolver versiones anteriores a 5.3.2, es propenso a un fallo de aserción, desencadenado por un atacante remoto en un caso límite (NSEC3 con demasiadas iteraciones usadas para una prueba de comodín positiva).

Gravedad CVSS v3.1: ALTA

Última modificación:

30/08/2021

Vulnerabilidad en una petición HTTP con el parámetro "#fragment" en Istio (CVE-2021-39156)

Fecha de publicación:

24/08/2021

Idioma:

Español

Istio es una plataforma de código abierto que proporciona una forma uniforme de integrar microservicios, administrar el flujo de tráfico entre microservicios, aplicar políticas y agregar datos de telemetría. Istio versiones 1.11.0, 1.10.3 y por debajo, y versiones 1.9.7 y por debajo, contienen una vulnerabilidad explotable de forma remota en la que una petición HTTP con el parámetro "#fragment" en la ruta puede omitir las políticas de autorización basadas en la ruta URI de Istio. Los parches están disponibles en Istio versión 1.11.1, Istio versión 1.10.4 e Istio versión 1.9.8. Como solución, puede escribirse un filtro Lua para normalizar la ruta.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en el nombre de host en el encabezado HTTP Host en Istio (CVE-2021-39155)

Fecha de publicación:

24/08/2021

Idioma:

Español

Istio es una plataforma de código abierto que proporciona una forma uniforme de integrar microservicios, administrar el flujo de tráfico entre microservicios, aplicar políticas y agregar datos de telemetría. Según [RFC 4343](https://datatracker.ietf.org/doc/html/rfc4343), la política de autorización de Istio debería comparar el nombre de host en el encabezado HTTP Host de forma no sensible a mayúsculas y minúsculas, pero actualmente la comparación es sensible a mayúsculas y minúsculas. El proxy enrutará el nombre de host de la petición de forma no sensible a mayúsculas y minúsculas, lo que significa que la política de autorización podría ser omitida. Por ejemplo, el usuario puede tener una política de autorización que rechace peticiones con el nombre de host "httpbin.foo" para algunas IPs de origen, pero el atacante puede omitir esto mediante el envío de la petición con el nombre de host "Httpbin.Foo". Los parches están disponibles en Istio versión 1.11.1, Istio versión 1.10.4 e Istio versión 1.9.8. Como solución, puede escribirse un filtro Lua para normalizar el encabezado Host antes de la comprobación de la autorización. Esto es similar a la normalización de la Ruta presentada en la guía [Security Best Practices](https://istio.io/latest/docs/ops/best-practices/security/#case-normalization).

Gravedad CVSS v3.1: ALTA

Última modificación:

21/02/2024

Vulnerabilidad en los datos de las peticiones o respuestas en Envoy (CVE-2021-32781)

Fecha de publicación:

24/08/2021

Idioma:

Español

Envoy es un proxy L7 de código abierto y un bus de comunicación diseñado para grandes arquitecturas modernas orientadas a servicios. En las versiones afectadas, después de que Envoy envíe una respuesta generada localmente, debe detener el procesamiento posterior de los datos de la petición o la respuesta. Sin embargo, cuando la respuesta local es generada debido al desbordamiento del búfer interno mientras la petición o la respuesta es procesada por la cadena de filtrado, la operación puede no detenerse completamente y resultar en el acceso a un bloque de memoria liberado. Una petición construida específicamente y entregada por un peer descendente o ascendente que no es confiable en presencia de extensiones que modifican y aumentan el tamaño de los cuerpos de la petición o la respuesta, resultando en una Denegación de Servicio cuando son usadas extensiones que modifican y aumentan el tamaño de los cuerpos de la petición o la respuesta, como el filtro descompresor. Envoy versiones 1.19.1, 1.18.4, 1.17.4 y 1.16.5, contienen correcciones para solucionar la terminación incompleta del procesamiento de peticiones tras la respuesta generada localmente. Como solución, deshabilite las extensiones decompressor, json-transcoder o grpc-web de Envoy o las extensiones propietarias que modifican y aumentan el tamaño de los cuerpos de las peticiones o respuestas, si es posible.

Gravedad CVSS v3.1: ALTA

Última modificación:

02/07/2022

Vulnerabilidad en una conexión H/2 en una trama SETTING con el parámetro SETTINGS_MAX_CONCURRENT_STREAMS en Envoy (CVE-2021-32780)

Fecha de publicación:

24/08/2021

Idioma:

Español

Envoy es un proxy L7 de código abierto y un bus de comunicación diseñado para grandes arquitecturas modernas orientadas a servicios. En las versiones afectadas, Envoy lleva a cabo una transición de una conexión H/2 al estado CLOSED cuando recibe una trama GOAWAY sin ningún flujo pendiente. El estado de la conexión pasa a DRAINING cuando recibe una trama SETTING con el parámetro SETTINGS_MAX_CONCURRENT_STREAMS ajustado a 0. Recibiendo estas dos tramas en el mismo evento de E/S resulta en una terminación anormal del proceso Envoy debido a una transición de estado no válida de CLOSED a DRAINING. Una secuencia de tramas H/2 entregada por un servidor upstream no confiable resultará en una Denegación de Servicio en presencia de servidores **upstream** no confiables. Envoy versiones 1.19.1 y 1.18.4, contienen correcciones para detener el procesamiento de las tramas H/2 pendientes después de la transición de la conexión al estado CLOSED.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/06/2022

Vulnerabilidad en un flujo HTTP/2 en Envoy (CVE-2021-32778)

Fecha de publicación:

24/08/2021

Idioma:

Español

Envoy es un proxy L7 de código abierto y un bus de comunicación diseñado para grandes arquitecturas modernas orientadas a servicios. En las versiones afectadas, el procedimiento de Envoy para restablecer un flujo HTTP/2 presenta una complejidad O(N^2), conllevando a un alto uso de la CPU cuando se restablece un gran número de flujos. Los despliegues son susceptibles a una Denegación de Servicio cuando Envoy está configurado con un alto límite de flujos concurrentes H/2. Un atacante que desee explotar esta vulnerabilidad necesitaría un cliente que abriera y cerrara un gran número de flujos H/2. Envoy versiones 1.19.1, 1.18.4, 1.17.4 y 1.16.5, contienen correcciones para reducir la complejidad del tiempo de restablecimiento de los flujos HTTP/2. Como solución, los usuarios pueden limitar el número de sueños HTTP/2 simultáneos para los pares ascendentes y descendentes a un número bajo, es decir, 100.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/06/2022

Suscribirse a Vulnerabilidades