Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en smokeping (CVE-2013-4158)

Fecha de publicación:

11/12/2019

Idioma:

Español

smokeping versiones anteriores a 2.6.9, presenta una vulnerabilidad de tipo XSS (corrección incompleta para el CVE-2012-0790)

Gravedad CVSS v3.1: MEDIA

Última modificación:

17/12/2019

Vulnerabilidad en el cliente de Microsoft Windows en McAfee Tech Check (CVE-2019-3667)

Fecha de publicación:

11/12/2019

Idioma:

Español

Una vulnerabilidad de Secuestro de Órdenes de Búsqueda de DLL en el cliente de Microsoft Windows en McAfee Tech Check versión 3.0.0.17 y anteriores, permite a usuarios locales ejecutar código arbitrario por medio de la carpeta local ubicada allí por parte de un atacante.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en un archivo fuente BASIC en el archivo flex.c en la función yylex() en Yabasic (CVE-2019-19720)

Fecha de publicación:

11/12/2019

Idioma:

Español

Yabasic versión 2.86.1, presenta un desbordamiento de búfer en la región heap de la memoria en la función yylex() en el archivo flex.c por medio de un archivo fuente BASIC diseñado.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/08/2020

Vulnerabilidad en la página embeddedAuthRedirect en Tableau Server sobre Windows y Linux (CVE-2019-19719)

Fecha de publicación:

11/12/2019

Idioma:

Español

Tableau Server versiones 10.3 hasta 2019.4 sobre Windows y Linux, permite un ataque de tipo XSS por medio de la página embeddedAuthRedirect.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/12/2019

Vulnerabilidad en el mecanismo de protección Title_blacklist en MediaWiki (CVE-2019-19709)

Fecha de publicación:

11/12/2019

Idioma:

Español

MediaWiki versiones hasta 1.33.1, permite a atacantes omitir el mecanismo de protección Title_blacklist al iniciar con un título arbitrario, estableciendo un redireccionamiento no resoluble para la página asociada y usando redirect=1 en la API action cuando se edita esa página.

Gravedad CVSS v3.1: MEDIA

Última modificación:

01/02/2023

Vulnerabilidad en un elemento con un atributo data-ve-clipboard-key en la extensión VisualEditor para MediaWiki (CVE-2019-19708)

Fecha de publicación:

11/12/2019

Idioma:

Español

La extensión VisualEditor versiones hasta 1.34 para MediaWiki, permite un ataque de tipo XSS por medio de contenido adherido que contiene un elemento con un atributo data-ve-clipboard-key.

Gravedad CVSS v3.1: MEDIA

Última modificación:

11/12/2019

Vulnerabilidad en paquetes de descubrimiento de endpoint DCE-RPC de PROFINET en los dispositivos Moxa EDS-G508E, EDS-G512E y EDS-G516E (CVE-2019-19707)

Fecha de publicación:

11/12/2019

Idioma:

Español

En los dispositivos Moxa EDS-G508E, EDS-G512E y EDS-G516E (con versión de firmware hasta 6.0), una denegación de servicio puede presentarse por medio de paquetes de descubrimiento de endpoint DCE-RPC de PROFINET .

Gravedad CVSS v3.1: ALTA

Última modificación:

17/12/2019

Vulnerabilidad en datos XML en la función xsltNumberFormatGetMultipleLevel en libxslt (CVE-2019-5815)

Fecha de publicación:

11/12/2019

Idioma:

Español

Una confusión de tipo en la función xsltNumberFormatGetMultipleLevel versiones anteriores a libxslt versión 1.1.33, podría permitir a atacantes explotar potencialmente la corrupción de la pila por medio de datos XML diseñados.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en el archivo .gitmodules en una operación "git submodule update" en Git (CVE-2019-19604)

Fecha de publicación:

11/12/2019

Idioma:

Español

Una ejecución de comandos arbitrarios es posible en Git versiones anteriores a 2.20.2, versiones 2.21.x anteriores a 2.21.1, versiones 2.22.x anteriores a 2.22.2, versiones 2.23.x anteriores a 2.23.1 y versiones 2.24.x anteriores a 2.24.1, porque una operación "git submodule update" puede ejecutar comandos encontrados en el archivo .gitmodules de un repositorio malicioso.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en las rutinas ldb_qsort() y dns_name_compare() en la tubería RPC dnsserver en Samba (CVE-2019-14861)

Fecha de publicación:

10/12/2019

Idioma:

Español

Todas las versiones de Samba versiones 4.x.x anteriores a 4.9.17, versiones 4.10.x anteriores a 4.10.11 y versiones 4.11.x anteriores a 4.11.3, presentan un problema en el que la tubería RPC dnsserver (pobremente nombrada) provee instalaciones administrativas para modificar registros y zonas DNS. Samba, cuando actúa como AD DC, almacena registros DNS en LDAP. En AD, los permisos predeterminados en la partición DNS permiten la creación de nuevos registros por parte de usuarios autenticados. Esto es usado, por ejemplo, para permitir que las máquinas se registren automáticamente en DNS. Si un registro DNS fue creado que no distingue entre mayúsculas y minúsculas el nombre de la zona, las rutinas ldb_qsort() y dns_name_compare() podrían ser confundidas en la memoria de lectura antes de la lista de entradas DNS al responder a la función DnssrvEnumRecords() o DnssrvEnumRecords2() y entonces seguir la memoria inválida como un puntero.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/06/2024

Vulnerabilidad en el modelo de delegación de Kerberos S4U (MS-SFU) en Samba (CVE-2019-14870)

Fecha de publicación:

10/12/2019

Idioma:

Español

Todas las versiones de Samba 4.xx anteriores a 4.9.17, versiones 4.10.x anteriores a 4.10.11 y versiones 4.11.x anteriores a 4.11.3, presentan un problema, donde el modelo de delegación de Kerberos S4U (MS-SFU) incluye una funcionalidad que permite a un subconjunto de clientes ser excluidos de la delegación restringida de cualquier manera, ya sea S4U2Self o autenticación Kerberos regular, al forzar que todos los tickets para estos clientes no sean reenviables. En AD, esto es implementado mediante un atributo de usuario delegation_not_allowed (también se conoce como no delegado), que se traduce como no permitido-reenviable. Sin embargo, el AD DC Samba no hace eso para S4U2Self y establece el flag reenviable inclusive si el cliente suplantado tiene el conjunto de flags no delegados.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/11/2023

Vulnerabilidad en la función ssh_scp_new() de la API libssh (CVE-2019-14889)

Fecha de publicación:

10/12/2019

Idioma:

Español

Se detectó un fallo con la función ssh_scp_new() de la API libssh en versiones anteriores a 0.9.3 y anteriores a 0.8.8. Cuando el cliente libssh SCP se conecta a un servidor, el comando scp, que incluye una ruta provista por el usuario, es ejecutado en el lado del servidor. En caso de que la biblioteca sea usada de manera que los usuarios puedan influir en el tercer parámetro de la función, sería posible para un atacante inyectar comandos arbitrarios, lo que comprometería el objetivo remoto.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Suscribirse a Vulnerabilidades