Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Ghostscript en el procesamiento de documentos EPS en BigBlueButton (CVE-2020-27605)

Fecha de publicación:
21/10/2020
Idioma:
Español
BigBlueButton versiones hasta 2.2.8, utiliza Ghostscript para el procesamiento de documentos EPS cargados y, en consecuencia, puede estar sujeto a ataques relacionados con un "Schwache Sandbox"
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
29/10/2020

Vulnerabilidad en determinados servicios de red en el procedimiento de instalación en BigBlueButton (CVE-2020-27610)

Fecha de publicación:
21/10/2020
Idioma:
Español
El procedimiento de instalación en BigBlueButton versiones anteriores a 2.2.8 (o anterior) expone determinados servicios de red a interfaces externas y no configura automáticamente una configuración de firewall para bloquear el acceso externo
Gravedad CVSS v3.1: ALTA
Última modificación:
21/07/2021

Vulnerabilidad en los recursos STUN/TURN de un tercero en BigBlueButton (CVE-2020-27611)

Fecha de publicación:
21/10/2020
Idioma:
Español
BigBlueButton versiones hasta 2.2.8, utiliza recursos STUN/TURN de un tercero, que pueden representar un endpoint no previsto
Gravedad CVSS v3.1: ALTA
Última modificación:
15/06/2022

Vulnerabilidad en el producto Oracle VM VirtualBox de Oracle Virtualization (componente: Core) (CVE-2020-14892)

Fecha de publicación:
21/10/2020
Idioma:
Español
Vulnerabilidad en el producto Oracle VM VirtualBox de Oracle Virtualization (componente: Core). La versión compatible que está afectada es la anterior a la 6.1.16. Una vulnerabilidad explotable fácilmente permite a un atacante poco privilegiado con inicio de sesión en la infraestructura donde se ejecuta Oracle VM VirtualBox comprometer a Oracle VM VirtualBox. Los ataques con éxito de esta vulnerabilidad pueden resultar en una capacidad no autorizada para causar una suspensión o un bloqueo repetible frecuentemente (DOS completo) de Oracle VM VirtualBox. CVSS 3.1 Puntuación Base 5.5 (Impactos de la Disponibilidad). Vector CVSS: (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H)
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/02/2021

Vulnerabilidad en el archivo bigbluebutton.properties en la API en BigBlueButton (CVE-2020-27604)

Fecha de publicación:
21/10/2020
Idioma:
Español
BigBlueButton versiones anteriores a 2.3, no implementa el sandboxing de LibreOffice. Esto podría facilitar a los usuarios autenticados remotos leer el secreto compartido de la API en el archivo bigbluebutton.properties. Con el secreto compartido de la API, un atacante puede (por ejemplo) usar api/join para unirse a una reunión arbitraria independientemente de su configuración guestPolicy
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/10/2020

Vulnerabilidad en el acceso a archivos externos de documentos de LibreOffice en BigBlueButton (CVE-2020-27603)

Fecha de publicación:
21/10/2020
Idioma:
Español
BigBlueButton versiones anteriores a 2.2.7, presenta una configuración JODConverter no segura en la que las conversiones de documentos de LibreOffice pueden acceder a archivos externos
Gravedad CVSS v3.1: ALTA
Última modificación:
29/10/2020

Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Optimizer) (CVE-2020-14891)

Fecha de publicación:
21/10/2020
Idioma:
Español
Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Optimizer). Las versiones compatibles que están afectadas son 8.0.21 y anteriores. Una vulnerabilidad explotable fácilmente permite a un atacante muy privilegiado con acceso a la red por medio de múltiples protocolos comprometer a MySQL Server. Los ataques con éxito de esta vulnerabilidad pueden resultar en la capacidad no autorizada de causar una suspensión o un bloqueo repetible frecuentemente (DOS completo) de MySQL Server. CVSS 3.1 Puntuación Base 4.9 (Impactos de la Disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H)
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/01/2022

Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Optimizer) (CVE-2020-14893)

Fecha de publicación:
21/10/2020
Idioma:
Español
Vulnerabilidad en el producto MySQL Server de Oracle MySQL (componente: Server: Optimizer). Las versiones compatibles que están afectadas son 8.0.21 y anteriores. Una vulnerabilidad explotable fácilmente permite a un atacante muy privilegiado con acceso a la red por medio de múltiples protocolos comprometer a MySQL Server. Los ataques con éxito de esta vulnerabilidad pueden resultar en la capacidad no autorizada de causar una suspensión o un bloqueo repetible frecuentemente (DOS completo) de MySQL Server. CVSS 3.1 Puntuación Base 4.9 (Impactos de la Disponibilidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H)
Gravedad CVSS v3.1: MEDIA
Última modificación:
04/01/2022

Vulnerabilidad en el componente RDBMS Security de Oracle Database Server (CVE-2020-14901)

Fecha de publicación:
21/10/2020
Idioma:
Español
Vulnerabilidad en el componente RDBMS Security de Oracle Database Server. La versión compatible que está afectada es la 19c. Una vulnerabilidad explotable fácilmente permite a un atacante muy privilegiado que tenga el privilegio Analyze Any con acceso a la red por medio de Oracle Net comprometer a RDBMS Security. Los ataques con éxito de esta vulnerabilidad pueden resultar en un acceso no autorizado a datos críticos o acceso completo a todos los datos accesibles de RDBMS Security. CVSS 3.1 Puntuación Base 4.9 (Impactos de la Confidencialidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N)
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/10/2020

Vulnerabilidad en el componente Oracle Application Express Data Reporter de Oracle Database Server (CVE-2020-14899)

Fecha de publicación:
21/10/2020
Idioma:
Español
Vulnerabilidad en el componente Oracle Application Express Data Reporter de Oracle Database Server. La versión compatible que está afectada es la Anterior a la 20.2. Una vulnerabilidad explotable fácilmente permite a un atacante poco privilegiado que tenga el privilegio Valid User Account con acceso a la red por medio de HTTP comprometer a Oracle Application Express Data Reporter. Los ataques con éxito requieren la interacción humana de una persona diferente del atacante y, aunque la vulnerabilidad está en Oracle Application Express Data Reporter, los ataques pueden impactar significativamente a productos adicionales. Los ataques con éxito de esta vulnerabilidad pueden resultar en una actualización no autorizada, insertar o eliminar el acceso a algunos de los datos accesibles de Oracle Application Express Data Reporter, así como acceso de lectura no autorizado a un subconjunto de datos accesibles de Oracle Application Express Data Reporter. CVSS 3.1 Puntuación Base 5. 4 (Impactos de la Confidencialidad e Integridad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N)
Gravedad CVSS v3.1: MEDIA
Última modificación:
23/10/2020

Vulnerabilidad en el producto Oracle Banking Corporate Lending de Oracle Financial Services Applications (componente: Core) (CVE-2020-14894)

Fecha de publicación:
21/10/2020
Idioma:
Español
Vulnerabilidad en el producto Oracle Banking Corporate Lending de Oracle Financial Services Applications (componente: Core). Las versiones compatibles que están afectadas son 12.3.0 y 14.0.0-14.4.0. Una vulnerabilidad explotable fácilmente permite a un atacante poco privilegiado con acceso a la red por medio de HTTP comprometer a Oracle Banking Corporate Lending. Los ataques con éxito de esta vulnerabilidad pueden resultar en un acceso no autorizado a datos críticos o acceso completo a todos los datos accesibles de Oracle Banking Corporate Lending. CVSS 3.1 Puntuación Base 6.5 (Impactos de la Confidencialidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N)
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/10/2020

Vulnerabilidad en el producto Oracle Banking Payments de Oracle Financial Services Applications (componente: Core) (CVE-2020-14896)

Fecha de publicación:
21/10/2020
Idioma:
Español
Vulnerabilidad en el producto Oracle Banking Payments de Oracle Financial Services Applications (componente: Core). Las versiones compatibles que están afectadas son 14.1.0-14.4.0. Una vulnerabilidad explotable fácilmente permite a un atacante poco privilegiado con acceso a la red por medio de HTTP comprometer a Oracle Banking Payments. Los ataques con éxito de esta vulnerabilidad pueden resultar en un acceso no autorizado a datos críticos o acceso completo a todos los datos accesibles de Oracle Banking Payments. CVSS 3.1 Puntuación Base 6.5 (Impactos de la Confidencialidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N)
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/10/2020