Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en el servicio Telnet en el comando ls en Contiki (CVE-2021-38386)

Fecha de publicación:

10/08/2021

Idioma:

Español

En Contiki versión 3.0, un desbordamiento de búfer en el servicio Telnet permite a atacantes remotos causar una denegación de servicio porque el comando ls es manejado inapropiadamente cuando un directorio presenta muchos archivos con nombres largos

Gravedad CVSS v3.1: ALTA

Última modificación:

17/08/2021

Vulnerabilidad en las interfaces de usuario web y de escritorio en el servicio API en Dell EMC NetWorker (CVE-2021-21600)

Fecha de publicación:

10/08/2021

Idioma:

Español

Dell EMC NetWorker, versiones 19.4 o anteriores, contiene un fallo de consumo no controlado de recursos en su servicio API. Un usuario autorizado de la API podría explotar potencialmente esta vulnerabilidad por medio de las interfaces de usuario web y de escritorio, conllevando a una denegación de servicio en la ruta de administración

Gravedad CVSS v3.1: MEDIA

Última modificación:

18/08/2021

Vulnerabilidad en Dell EMC Data Protection Search e IDPA (CVE-2021-21601)

Fecha de publicación:

10/08/2021

Idioma:

Español

Dell EMC Data Protection Search, versiones 19.4 y anteriores, e IDPA, 2.6.1 y anteriores, contienen una vulnerabilidad de Exposición de Información en Archivos de Registro en CIS. Un atacante local poco privilegiado podría explotar potencialmente esta vulnerabilidad, conllevando a la divulgación de determinadas credenciales de usuario. El atacante puede ser capaz de usar las credenciales expuestas para acceder a la aplicación vulnerable con los privilegios de la cuenta comprometida

Gravedad CVSS v3.1: ALTA

Última modificación:

18/08/2021

Vulnerabilidad en las funciones ISI_PRIV_LOGIN_SSH y/o ISI_PRIV_LOGIN_CONSOLE en Dell PowerScale OneFS (CVE-2021-21567)

Fecha de publicación:

10/08/2021

Idioma:

Español

Dell PowerScale OneFS versiones 9.1.0.x, contiene una vulnerabilidad de administración de privilegios inapropiada. Puede permitir a un usuario autenticado con las funciones ISI_PRIV_LOGIN_SSH y/o ISI_PRIV_LOGIN_CONSOLE elevar sus privilegios

Gravedad CVSS v3.1: ALTA

Última modificación:

20/02/2026

Vulnerabilidad en el binario sbin/httpd en múltiples dispositivos D-link (CVE-2021-28838)

Fecha de publicación:

10/08/2021

Idioma:

Español

Una vulnerabilidad de Desreferencia de Puntero Null en D-Link DAP-2310 versión 2,10RC039, DAP-2330 versión 1.10RC036 BETA, DAP-2360 versión 2.10RC055, DAP-2553 versión 3.10rc039 BETA, DAP-2660 versión 1. 15rc131b, DAP-2690 versión 3.20RC115 BETA, DAP-2695 versión 1.20RC093, DAP-3320 versión 1.05RC027 BETA y DAP-3662 versión 1.05rc069, en el binario sbin/httpd. El bloqueo se produce en la operación "atoi" cuando es enviado un paquete de red específico al binario httpd

Gravedad CVSS v3.1: ALTA

Última modificación:

17/08/2021

Vulnerabilidad en la petición HTTP GET en la función upload_certificate del binario sbin/httpd en múltiples dispositivos D-link (CVE-2021-28839)

Fecha de publicación:

10/08/2021

Idioma:

Español

Una vulnerabilidad de Desreferencia de Puntero Null se presenta en D-Link DAP-2310 versión 2.07.RC031, DAP-2330 versión 1.07.RC028, DAP-2360 versión 2.07.RC043, DAP-2553 versión 3.06.RC027, DAP-2660 versión 1. 13.RC074, DAP-2690 versión 3.16.RC100, DAP-2695 versión 1.17.RC063, DAP-3320 versión 1.01.RC014 y DAP-3662 versión 1.01.RC022, en la función upload_certificate del binario sbin/httpd. Cuando el binario maneja la petición HTTP GET específica, el strrchr en la función upload_certificate tomaría NULL como primer argumento, e incurriría en la vulnerabilidad de Desreferencia de Puntero Null

Gravedad CVSS v3.1: ALTA

Última modificación:

17/08/2021

Vulnerabilidad en la función upload_config del binario sbin/httpd en múltiples dispositivos D-link (CVE-2021-28840)

Fecha de publicación:

10/08/2021

Idioma:

Español

Se presenta una vulnerabilidad de Desreferencia de Puntero Null en D-Link DAP-2310 versión 2.07.RC031, DAP-2330 versión 1.07.RC028, DAP-2360 versión 2.07.RC043, DAP-2553 versión 3.06.RC027, DAP-2660 versión 1. 13.RC074, DAP-2690 versión 3.16.RC100, DAP-2695 versión 1.17.RC063, DAP-3320 versión 1.01.RC014 y DAP-3662 versión 1.01.RC022, en la función upload_config del binario sbin/httpd. Cuando el binario maneja la petición HTTP GET específica, el contenido en la variable upload_file es NULL en la función upload_config entonces el strncasecmp tomaría NULL como primer argumento, e incurriría en la vulnerabilidad de Desreferencia de Puntero Null

Gravedad CVSS v3.1: ALTA

Última modificación:

17/08/2021

Vulnerabilidad en el módulo de extensión set_user para PostgreSQL (CVE-2021-38140)

Fecha de publicación:

10/08/2021

Idioma:

Español

El módulo de extensión set_user versiones anteriores a 2.0.1, para PostgreSQL, permite una potencial escalada de privilegios usando RESET SESSION AUTHORIZATION después de la función set_user()

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

17/08/2021

Vulnerabilidad en los archivos Matroska y Ogg en Live555 (CVE-2021-38382)

Fecha de publicación:

10/08/2021

Idioma:

Español

Live555 versiones hasta 1.08, no maneja apropiadamente los archivos Matroska y Ogg. El envío de dos comandos RTSP SETUP sucesivos para la misma pista causa un Uso de la Memoria previamente Liberada y un bloqueo del demonio

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/11/2023

Vulnerabilidad en los archivos MPEG-1 o 2 en Live555 (CVE-2021-38381)

Fecha de publicación:

10/08/2021

Idioma:

Español

Live555 versiones hasta 1.08, no maneja apropiadamente los archivos MPEG-1 o 2. El envío de dos comandos RTSP SETUP sucesivos para la misma pista provoca un Uso de la Memoria previamente Liberada y un bloqueo del demonio

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/11/2023

Vulnerabilidad en el manejo de las peticiones en el flujo de MP3 en Live555 (CVE-2021-38380)

Fecha de publicación:

10/08/2021

Idioma:

Español

Live555 versiones hasta 1.08, no maneja apropiadamente grandes peticiones para el mismo flujo de MP3, conllevando a una recursión y una lectura excesiva del búfer en la región stack de la memoria. Un atacante puede aprovechar esto para lanzar un ataque DoS

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en un código de estado HTTP 403 en Serverless Offline (CVE-2021-38384)

Fecha de publicación:

10/08/2021

Idioma:

Español

Serverless Offline versión 8.0.0, devuelve un código de estado HTTP 403 para una ruta que presenta un carácter / al final, lo que podría causar a un desarrollador implementar un control de acceso incorrecto, porque el comportamiento real dentro del entorno de Amazon AWS es un código de estado HTTP 200 (es decir, posiblemente mayores permisos de los esperados)

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

12/07/2022

Suscribirse a Vulnerabilidades