Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en el manejo de errores de Juniper Junos J-Web en Juniper Junos OS (CVE-2014-6447)

Fecha de publicación:

11/02/2020

Idioma:

Español

Se presentan múltiples vulnerabilidades en el manejo de errores de Juniper Junos J-Web que pueden conllevar a problemas de tipo cross site scripting (XSS) o bloquear el servicio J-Web (DoS). Esto afecta a Juniper Junos OS versiones 12.1X44 anteriores a 12.1X44-D45, versiones 12.1X46 anteriores a 12.1X46-D30, versiones 12.1X47 anteriores a 12.1X47-D20, versiones 12.3 anteriores a 12.3R8, versiones 12.3X48 anteriores a 12.3X48-D10, versiones 13.1 anteriores a 13.1R5, versiones 13.2 anteriores a 13.2 R6, versiones 13.3 anteriores a 13.3R4, versiones 14.1 anteriores a 14.1R3, versiones 14.1X53 anteriores a 14.1X53-D10, versiones 14.2 anteriores a 14.2R1 y versiones 15.1 anteriores a 15.1R1.

Gravedad CVSS v3.1: ALTA

Última modificación:

25/02/2020

Vulnerabilidad en el parámetro skipSessionCheck en la interfaz UMA (/appliance/) en DELL SonicWALL Analyzer, Global Management System (GMS), Universal Management Appliance (UMA), y ViewPoint (CVE-2013-1359)

Fecha de publicación:

11/02/2020

Idioma:

Español

Se presenta una Vulnerabilidad de Omisión de Autenticación en DELL SonicWALL Analyzer versión 7.0, Global Management System (GMS) versiones 4.1, 5.0, 5.1, 6.0 y 7.0; Universal Management Appliance (UMA) versiones 5.1, 6.0 y 7.0 y ViewPoint versiones 4.1, 5.0, 5.1 y 6.0 por medio del parámetro skipSessionCheck en la interfaz UMA (/appliance/), lo que podría permitir a un usuario malicioso remoto obtener acceso a la cuenta root.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/02/2020

Vulnerabilidad en el archivo upload.php en PolarBear CMS (CVE-2013-0803)

Fecha de publicación:

11/02/2020

Idioma:

Español

Se presenta una Vulnerabilidad de Carga de Archivos PHP en PolarBear CMS versión 2.5, por medio del archivo upload.php, lo que podría permitir a un usuario malicioso ejecutar código arbitrario.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/02/2020

Vulnerabilidad en la implementación fallback de uv_rwlock_t para Windows XP y Server 2003 en libuv (CVE-2014-9748)

Fecha de publicación:

11/02/2020

Idioma:

Español

La implementación fallback de uv_rwlock_t para Windows XP y Server 2003 en libuv versiones anteriores a 1.7.4, no impide apropiadamente que los subprocesos (hilos) liberen los bloqueos de otros subprocesos (hilos), lo que permite a atacantes causar una denegación de servicio (punto muerto) o posiblemente tener otro impacto no especificado mediante el aprovechamiento de una condición de carrera.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en paquetes de diagnóstico en la interfaz DCE-RPC en la pila de Profinet-IO (PNIO) en diversos productos de Siemens (CVE-2019-13946)

Fecha de publicación:

11/02/2020

Idioma:

Español

Las versiones de la pila Profinet-IO (PNIO) anteriores a la V06.00 no limitan adecuadamente la asignación de recursos internos cuando se envían múltiples solicitudes legítimas de paquetes de diagnóstico a la interfaz DCE-RPC. Esto podría conducir a una condición de denegación de servicio debido a la falta de memoria para los dispositivos que incluyen una versión vulnerable de la pila. La vulnerabilidad de seguridad podría ser explotada por un atacante con acceso de red a un dispositivo afectado. La explotación exitosa no requiere privilegios del sistema ni interacción del usuario. Un atacante podría utilizar la vulnerabilidad para comprometer la disponibilidad del dispositivo

Gravedad CVSS v3.1: ALTA

Última modificación:

09/07/2024

Vulnerabilidad en paquetes enviados hacia el puerto 443/tcp en el servidor web en SCALANCE S602, SCALANCE S612, SCALANCE S623 y SCALANCE S627-2M de Siemens (CVE-2019-13926)

Fecha de publicación:

11/02/2020

Idioma:

Español

Se ha identificado una vulnerabilidad en SCALANCE S602 (Todas las versiones posteriores o iguales a V3.0 y anteriores a V4.1), SCALANCE S612 (Todas las versiones posteriores o iguales a V3.0 y anteriores a V4.1), SCALANCE S623 (Todas las versiones posteriores o iguales a V3.0 y anteriores a V4.1), SCALANCE S627-2M (Todas las versiones posteriores o iguales a V3.0 y anteriores a V4.1). Los paquetes especialmente diseñados enviados hacia el puerto 443/tcp de los dispositivos afectados podrían causar una condición de Denegación de Servicio del servidor web. Es requerido un reinicio en frío para restaurar la funcionalidad del dispositivo

Gravedad CVSS v3.1: ALTA

Última modificación:

05/05/2021

Vulnerabilidad en los nombres de ruta para archivos de proyecto en la función de exportación de la aplicación en el Servidor Web OZW672 y OZW772 (CVE-2019-13941)

Fecha de publicación:

11/02/2020

Idioma:

Español

Se ha identificado una vulnerabilidad en OZW672 (Todas las versiones anteriores a V10.00), OZW772 (Todas las versiones anteriores a V10.00). Las versiones vulnerables de OZW Web Server utilizan nombres de ruta predecibles para archivos de proyecto que los usuarios autenticados legítimamente han creado usando la función de exportación de la aplicación. Mediante el acceso a un localizador de recursos uniforme específico en el servidor web, un atacante remoto podría descargar un archivo de proyecto sin una autenticación previa. La vulnerabilidad de seguridad podría ser explotada por parte de un atacante no autenticado con acceso de red al sistema afectado. No es requerida una interacción del usuario para explotar esta vulnerabilidad de seguridad. Una explotación con éxito de la vulnerabilidad de seguridad compromete la confidencialidad del sistema objetivo.

Gravedad CVSS v3.1: ALTA

Última modificación:

01/11/2021

Vulnerabilidad en en peticiones HTTP en el servidor web en los puertos 80/tcp y 443/tcp en diversas familias de CPU SIMATIC de Siemens (CVE-2019-13940)

Fecha de publicación:

11/02/2020

Idioma:

Español

Se ha identificado una vulnerabilidad en la familia de CPUs SIMATIC S7-1200 (incluidas las variantes SIPLUS) (Todas las versiones anteriores a V4.1), la familia de CPUs SIMATIC S7-300 PN/DP (incluidas las CPUs ET200 relacionadas y las variantes SIPLUS) (Todas las versiones anteriores a V3.X.17 ), familia de CPU SIMATIC S7-400 PN/DP V6 e inferiores (incl. variantes SIPLUS) (Todas las versiones), familia de CPU SIMATIC S7-400 PN/DP V7 (incl. variantes SIPLUS) (Todas las versiones), SIMATIC WinAC RTX (F) 2010 (Todas las versiones). Los dispositivos afectados contienen una vulnerabilidad que podría causar una condición de denegación de servicio del servidor web mediante el envío de peticiones HTTP especialmente diseñadas a los puertos 80/tcp y 443/tcp. La vulnerabilidad de seguridad podría ser explotada por un atacante con acceso a la red de un dispositivo afectado. La explotación exitosa no requiere privilegios del sistema ni interacción del usuario. Un atacante podría utilizar la vulnerabilidad para comprometer la disponibilidad del servidor web del dispositivo. Aparte del servicio web, no hay otras funciones o interfaces afectadas por la condición de denegación de servicio

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en el encabezado X-Frame-Option en la interfaz web administrativa en la familia de switches SCALANCE S602, SCALANCE S612, SCALANCE S623, SCALANCE S627-2M (CVE-2019-13924)

Fecha de publicación:

11/02/2020

Idioma:

Español

Se ha identificado una vulnerabilidad en la SCALANCE S602 (Todas las versiones anteriores a V4.1), SCALANCE S612 (Todas las versiones anteriores a V4.1), SCALANCE S623 (Todas las versiones anteriores a V4.1), SCALANCE S627-2M (Todas las versiones anteriores a V4.1), familia de switches SCALANCE X-200 (incluidas las variantes SIPLUS NET) (Todas las versiones anteriores a 5.2.4), familia de switches SCALANCE X-200IRT (incluidas las variantes SIPLUS NET) (Todas las versiones anteriores a V5.5.0), familia de switches SCALANCE X-300 (incluidas las variantes X408 y SIPLUS NET) (Todas las versiones anteriores a 4.1.3). El dispositivo no envía el encabezado X-Frame-Option en la interfaz web administrativa, lo que lo hace vulnerable a los ataques de Clickjacking. La vulnerabilidad de seguridad podría ser explotada por un atacante que es capaz de engañar a un usuario administrativo con una sesión válida en el dispositivo de destino para que haga clic en un sitio web controlado por el atacante. La vulnerabilidad podría permitir a un atacante realizar acciones administrativas a través de la interfaz web

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/12/2022

Vulnerabilidad en paquetes enviados hacia el puerto 443/tcp en el servidor web en SCALANCE S602, SCALANCE S612, SCALANCE S623 y SCALANCE S627-2M de Siemens (CVE-2019-13925)

Fecha de publicación:

11/02/2020

Idioma:

Español

Gravedad CVSS v3.1: ALTA

Última modificación:

25/04/2023

Vulnerabilidad en una imagen savevm en el archivo hw/virtio/virtio.c en la función virtqueue_map_sg en QEMU (CVE-2013-4535)

Fecha de publicación:

11/02/2020

Idioma:

Español

La función virtqueue_map_sg en el archivo hw/virtio/virtio.c en QEMU versiones anteriores a 1.7.2, permite a atacantes remotos ejecutar archivos arbitrarios por medio de una imagen savevm diseñada, relacionada con una lectura virtio-block o virtio-serial.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en una petición en la interfaz SGMS en DELL SonicWALL Global Management System (GMS), Analyzer, Universal Management Appliance (UMA) y ViewPoint (CVE-2013-1360)

Fecha de publicación:

11/02/2020

Idioma:

Español

Se presenta una vulnerabilidad de Omisión de Autenticación en DELL SonicWALL Global Management System (GMS) versiones 4.1, 5.0, 5.1, 6.0 y 7.0, Analyzer versión 7.0, Universal Management Appliance (UMA) versiones 5.1, 6.0 y 7.0 y ViewPoint versiones 4.1, 5.0 y 6.0, por medio de una petición diseñada en la interfaz SGMS, que podría permitir a un usuario malicioso remoto obtener acceso administrativo.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

13/02/2020

Suscribirse a Vulnerabilidades