Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Aironet Series Access Points (CVE-2019-1834)

Fecha de publicación:

18/04/2019

Idioma:

Español

Una vulnerabilidad en el procesamiento interno de paquetes de Aironet Series Access Points (APs) de Cisco, podría permitir que un atacante no identificado localmente genere una condición de denegación de servicio (DoS) en un dispositivo AP afectado si la interfaz del conmutador donde está conectado el dispositivo AP tiene una seguridad de puerto configurada. La vulnerabilidad existe porque el AP corre en algunos paquetes del cliente de red inalámbrica malformados fuera del control y del aprovisionamiento del túnel de los puntos de acceso inalámbricos (CAPWAP). Un atacante podría aprovechar esta vulnerabilidad enviando paquetes inalámbricos creados a un dispositivo AP afectado. Una operación con éxito podría permitir al atacante desencadenar una violación de seguridad en el puerto del switch adyacente, lo que podría resultar en una condición de DoS. Nota: aunque la puntuación del sistema común de puntuación de vulnerabilidad (CVSS) corresponde a una clasificación de impacto de alta seguridad (SIR), esta vulnerabilidad se considera Media porque hay una solución disponible y la explotación requiere una configuración de conmutador específica. Hay soluciones que abordan esta vulnerabilidad.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en Aironet Access Points (CVE-2019-1835)

Fecha de publicación:

18/04/2019

Idioma:

Español

Una vulnerabilidad en la CLI de Aironet Access Points (APs) de Cisco, podría permitir que un atacante identificado y local acceda a información confidencial almacenada en un dispositivo AP. La vulnerabilidad se debe al saneamiento inadecuado de la entrada proporcionada por el usuario en comandos específicos de la CLI. Un atacante podría aprovechar esta vulnerabilidad accediendo a la CLI de un dispositivo AP afectado con privilegios de administrador y emitiendo comandos creados que resulten en el salto del directorio (directory traversal). Una operación con éxito podría permitir al atacante ver los archivos del sistema en el dispositivo afectado, que podría contener información confidencial. Las versiones de Software 8.8 y 8.9 se ven afectadas.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en la API de servicios de datos de usuario (UDS) de Unified Communications Manager (CVE-2019-1837)

Fecha de publicación:

18/04/2019

Idioma:

Español

Una vulnerabilidad en la API de servicios de datos de usuario (UDS) de Unified Communications Manager (Unified CM) de Cisco podría permitir que un atacante remoto no autenticado cause una condición de denegación de servicio (DoS) en la GUI de administración. La vulnerabilidad es debido a la comprobación inapropiada de los parámetros de entrada en las peticiones de la API de UDS. Un atacante podría explotar esta vulnerabilidad mediante el envío de una petición creada a la API de UDS de un dispositivo afectado. Una explotación con éxito podría permitir al atacante hacer que el servicio A Cisco DB se cierre inesperadamente, impidiendo el acceso del administrador a la GUI de administración del Unified CM Puede requerirse intervención manual para restablecer el funcionamiento normal. Las versiones de software 10.5, 11.5, 12.0, 12.5 están impactadas

Gravedad CVSS v3.1: ALTA

Última modificación:

09/10/2019

Vulnerabilidad en la CLI de Aironet Series Access Points (APs) de Cisco Aironet (CVE-2019-1829)

Fecha de publicación:

18/04/2019

Idioma:

Español

Una vulnerabilidad en la CLI de Aironet Series Access Points (APs) de Cisco Aironet de Cisco podría permitir a un atacante local autorizado obtener acceso al sistema operativo Linux (OS) subyacente sin la autenticación adecuada. El atacante necesitaría credenciales de dispositivo de administrador válidas. La vulnerabilidad es debido a la composición incorrecta de la entrada proporcionada por el usuario para ciertos comandos de la CLI. Un atacante podría aprovechar esta vulnerabilidad al autenticarse en un dispositivo afectado y enviar una entrada creada para un comando de la CLI. Una explotación con éxito podría permitir al atacante obtener acceso al sistema operativo Linux subyacente sin la autenticación adecuada.

Gravedad CVSS v3.1: MEDIA

Última modificación:

16/10/2020

Vulnerabilidad en implementación de la CLI de administración local p (CVE-2019-1725)

Fecha de publicación:

18/04/2019

Idioma:

Español

Una vulnerabilidad en la implementación de la CLI de administración local para comandos específicos en los servidores Blade de UCS B-Series de Cisco, podría permitir a un atacante local identificado sobrescribir un archivo arbitrario en el disco. También es posible que el atacante pueda inyectar parámetros de comandos de la CLI que no deberían ser permitidos para un subconjunto específico de comandos de la CLI de administración local. La vulnerabilidad es debido a la falta de una comprobación de entrada adecuada de las entradas de usuario para los comandos de la CLI de administración local. Un atacante podría aprovechar esta vulnerabilidad mediante la identificación en el dispositivo y la emisión de un formulario creado de un subconjunto limitado de comandos de CLI de administración local. Una explotación podría permitir al atacante sobrescribir un archivo arbitrario en el disco o inyectar parámetros del comando CLI que deberían haberse deshabilitado. Esta vulnerabilidad se corrigió en la versión de software 4.0 (2a) y posterior.

Gravedad CVSS v3.1: MEDIA

Última modificación:

08/10/2020

Vulnerabilidad en la interfaz basada en web de Registered Envelope Service de Cisco (CVE-2019-1777)

Fecha de publicación:

18/04/2019

Idioma:

Español

Una vulnerabilidad en la interfaz basada en web de Registered Envelope Service de Cisco, podría permitir a un atacante autenticado y remoto explotar una vulnerabilidad de tipo cross site scripting (XSS) contra otro usuario del servicio. La vulnerabilidad se debe a la insuficiente validación de la entrada proporcionada por el usuario de la interfaz basada en web del software afectado. Un atacante podría realizar una explotación a esta vulnerabilidad enviando un correo electrónico con una carga maliciosa a otro usuario. Una explotación con éxito podría permitir al atacante ejecutar código de script arbitrario en el contexto de la interfaz afectada o acceder a información confidencial basada en navegador. Esta vulnerabilidad afecta a las versiones de software 5.3.4. x.

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/03/2023

Vulnerabilidad en en administración basada en web del software Wireless LAN Controller (CVE-2019-1797)

Fecha de publicación:

18/04/2019

Idioma:

Español

Una vulnerabilidad en la interfaz de administración basada en web del software Wireless LAN Controller (WLC) de Cisco podría permitir que un atacante no identificado y remoto ejecute un ataque de tipo Cross-Site Request Forgery (CSRF) y realice acciones arbitrarias en el dispositivo con los privilegios del usuario, incluida la modificación de la configuración del dispositivo. La vulnerabilidad se debe a las protecciones de CSRF insuficientes para la interfaz de administración basada en web de un dispositivo afectado. Un atacante podría aprovechar esta vulnerabilidad persuadiendo a un usuario de interfaz a seguir un enlace creado. Una operación con éxito podría permitir al atacante realizar acciones arbitrarias en el dispositivo con los privilegios del usuario. Las versiones de software anteriores a 8.3.150.0, 8.5.135.0 y 8.8.100.0 se ven afectadas.

Gravedad CVSS v3.1: ALTA

Última modificación:

21/04/2021

Vulnerabilidad en URL de Umbrella de Cisco. (CVE-2019-1792)

Fecha de publicación:

18/04/2019

Idioma:

Español

Una vulnerabilidad en la página de bloqueo URL de Umbrella de Cisco, podría permitir que un atacante remoto no autenticado realice un ataque de tipo cross-site scripting (XSS) contra un usuario en una red protegida por Umbrella. La vulnerabilidad es debido a la insuficiente comprensión de los parámetros de entrada transmitidos ??a esa página. Un atacante podría explotar esta vulnerabilidad persuadiendo a un usuario de la interfaz para que haga clic en un enlace creado con fines maliciosos. Una explotación con éxito podría permitir al atacante ejecutar código de script arbitrario en el contexto de la interfaz o acceder a información confidencial basada en el navegador. Esta vulnerabilidad se ha corregido en la versión actual de Umbrella de Cisco. Umbrella de Cisco es un servicio en la nube.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/03/2023

Vulnerabilidad en Directory Connector de Cisco (CVE-2019-1794)

Fecha de publicación:

18/04/2019

Idioma:

Español

Una vulnerabilidad en el proceso de búsqueda de ruta (search path) de Directory Connector de Cisco, podría permitir a un atacante local autorizado cargar un binario de su elección. La vulnerabilidad es debido a elementos de la ruta de búsqueda no controlada. Un atacante podría explotar esta vulnerabilidad al colocar un binario de su elección anteriormente en la ruta de búsqueda usada por Directory Connector de Cisco para localizar y cargar los recursos necesarios.

Gravedad CVSS v3.1: MEDIA

Última modificación:

24/03/2023

Vulnerabilidad en Firepower Management Cente (CVE-2019-1802)

Fecha de publicación:

18/04/2019

Idioma:

Español

Una vulnerabilidad en la interfaz de administración basada en web de Firepower Management Center (FMC) de Cisco, podría permitir que un atacante identificado y remoto realizara un ataque de tipo cross site scripting (XSS) contra un usuario de la interfaz de administración basada en web de un Sistema. La vulnerabilidad se debe a la insuficiente comprobación de la entrada proporcionada por el usuario en la interfaz de administración basada en web del sistema afectado. Un atacante podría aprovechar esta vulnerabilidad persuadiendo a un usuario para acceder a un informe que contiene contenido malicioso. Una operación con éxito podría permitir al atacante ejecutar código de script arbitrario en el contexto de la interfaz afectada o acceder a información confidencial basada en navegador. Las versiones 6.2.3, 6.3.0 y 6.4.0 se ven afectadas.

Gravedad CVSS v3.1: MEDIA

Última modificación:

26/11/2024

Vulnerabilidad en Inter-Access Point Protocol (IAPP) de Cisco (CVE-2019-1800)

Fecha de publicación:

18/04/2019

Idioma:

Español

Una vulnerabilidad en el manejo de los mensajes de Inter-Access Point Protocol (IAPP) por parte del programa Wireless LAN Controller (WLC) de Cisco, podría permitir que un atacante adyacente no autenticado cause una condición de denegación de servicio (DoS). La vulnerabilidad existe porque el programa valida incorrectamente la entrada en los campos dentro de los mensajes IAPP. Un atacante podría explotar la vulnerabilidad enviando mensajes IAPP maliciosos a un dispositivo afectado. Una explotación con éxito podría permitir al atacante hacer que el programa WLC de Cisco se vuelva a cargar, lo que resultaría en una condición DoS. Las versiones de software anteriores a 8.2.170.0, 8.5.150.0 y 8.8.100.0 están afectadas.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2021

Vulnerabilidad en Protocolo Inter-Access Point (CVE-2019-1796)

Fecha de publicación:

18/04/2019

Idioma:

Español

Una vulnerabilidad en el manejo de mensajes de Protocolo Inter-Access Point (IAPP) para el software Wireless LAN Controller (WLC) de Cisco, podría permitir que un atacante no identificado, localmente causar una condición de denegación de servicio (DoS). La vulnerabilidad existe porque el software comprueba incorrectamente la entrada en los campos dentro de los mensajes IAPP. Un atacante podría aprovechar la vulnerabilidad enviando mensajes IAPP maliciosos a un dispositivo afectado. Una operación con éxito podría permitir que el atacante hiciera que el software WLC de Cisco recargue, resultando en una condición DoS. Las versiones de software anteriores a 8.2.170.0, 8.5.150.0 y 8.8.100.0 se ven afectadas.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2021

Suscribirse a Vulnerabilidades