Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Protocolo Inter-Access Point (CVE-2019-1796)

Fecha de publicación:

18/04/2019

Idioma:

Español

Una vulnerabilidad en el manejo de mensajes de Protocolo Inter-Access Point (IAPP) para el software Wireless LAN Controller (WLC) de Cisco, podría permitir que un atacante no identificado, localmente causar una condición de denegación de servicio (DoS). La vulnerabilidad existe porque el software comprueba incorrectamente la entrada en los campos dentro de los mensajes IAPP. Un atacante podría aprovechar la vulnerabilidad enviando mensajes IAPP maliciosos a un dispositivo afectado. Una operación con éxito podría permitir que el atacante hiciera que el software WLC de Cisco recargue, resultando en una condición DoS. Las versiones de software anteriores a 8.2.170.0, 8.5.150.0 y 8.8.100.0 se ven afectadas.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2021

Vulnerabilidad en Protocolo Inter-Access Point (CVE-2019-1799)

Fecha de publicación:

18/04/2019

Idioma:

Español

Una vulnerabilidad en el manejo de mensajes de Protocolo Inter-Access Point (IAPP) para el software Wireless LAN Controller (WLC) de Cisco, podría permitir que un atacante no identificado, adyacente causa una condición de denegación de servicio (DoS). La vulnerabilidad existe porque el software comprueba incorrectamente la entrada en los campos dentro de los mensajes IAPP. Un atacante podría aprovechar la vulnerabilidad enviando mensajes IAPP maliciosos a un dispositivo afectado. Una operación con éxito podría permitir que el atacante hiciera que el software WLC de Cisco se recargue, resultando en una condición DoS. Las versiones de software anteriores a 8.2.170.0, 8.5.150.0 y 8.8.100.0 se ven afectadas.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/04/2021

Vulnerabilidad en FindMe de Cisco Expressway (CVE-2019-1722)

Fecha de publicación:

18/04/2019

Idioma:

Español

Una vulnerabilidad en la función FindMe de Cisco Expressway Series y Cisco TelePresence Video Communication Server (VCS) podría permitir a un atacante remoto no identificado realizar un ataque de tipo cross-site request forgery (CSRF) y realizar acciones arbitrarias en un sistema afectado. La vulnerabilidad se debe a las insuficientes protecciones de CSRF para la interfaz de administración basada en web del sistema afectado. Un atacante podría aprovechar esta vulnerabilidad al persuadir a un usuario de la interfaz para que siga un enlace creado con fines maliciosos. Una operación con éxito podría permitir al atacante realizar acciones arbitrarias en un sistema afectado con los privilegios del usuario. Las acciones arbitrarias incluyen agregar un dispositivo controlado por un atacante y redirigir las llamadas destinadas a un usuario específico. Para obtener más información sobre los ataques CSRF y las posibles mitigaciones, consulte Cross-Site Request Forgery Threat Vectors. Esta vulnerabilidad se corrigió en la versión de software X12.5.1 y posterior.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en En ciertos mecanismos de control de acceso (CVE-2019-1805)

Fecha de publicación:

18/04/2019

Idioma:

Español

Una vulnerabilidad en ciertos mecanismos de control de acceso para la implementación del servidor Secure Shell (SSH) en el programa Wireless LAN Controller (WLC) de Cisco, podría permitir que un atacante adyacente no identificado acceda a una instancia de la CLI en un dispositivo afectado. La vulnerabilidad se debe a la falta de mecanismos adecuados de comprobación de entrada y comprobación para las conexiones SSH entrantes en un dispositivo afectado. Un atacante podría atacar esta vulnerabilidad si intenta establecer una conexión SSH con un controlador afectado. Una operación podría permitir que el atacante acceda a la CLI de un dispositivo afectado para potencialmente causar más ataques. Esta vulnerabilidad se ha corregido en la versión 8.5 (140.0).

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/10/2020

Vulnerabilidad en la función phone book de Expressway Series y TelePresence Video Communication Server (CVE-2019-1721)

Fecha de publicación:

18/04/2019

Idioma:

Español

Una vulnerabilidad en la función phone book de Expressway Series y TelePresence Video Communication Server (VCS) de Cisco podría permitir que un atacante remoto autorizado haga que la CPU aumente al 100% de utilización, lo que causa una condición de denegación de servicio (DoS) en un sistema afectado. La vulnerabilidad es debido a un manejo inadecuado de la entrada XML. Un atacante podría aprovechar esta vulnerabilidad enviando un mensaje de Protocolo de Inicio de Sesión (SIP) con una carga XML creada a un dispositivo afectado. Una explotación con éxito podría permitirle al atacante agotar los recursos de la CPU, lo que resultaría en una condición DoS. Puede requerirse intervención manual para recuperar el dispositivo. Esta vulnerabilidad se corrigió en las versiones de Expressway Series y TelePresence Video Communication Server de Cisco X12.5.1 y posteriores.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/10/2020

Vulnerabilidad en El portal Guest basado en web de Identity Services Engine (CVE-2019-1719)

Fecha de publicación:

18/04/2019

Idioma:

Español

Una vulnerabilidad en el portal Guest basado en web de Identity Services Engine (ISE) de Cisco, podría permitir que un atacante remoto autorizado realizara un ataque de tipo Cross-Site Scripting (XSS) contra un usuario de la interfaz de administración basada en web. La vulnerabilidad se debe a una comprobación insuficiente de la entrada proporcionada por el usuario que se procesa mediante la interfaz basada en web. Un atacante podría aprovechar esta vulnerabilidad persuadiendo a un usuario de la interfaz para que haga clic en un enlace creado. Una operación con éxito podría permitir al atacante ejecutar código de script arbitrario en el contexto de la interfaz o acceder a información sensible basada en el navegador. La versión 2.1 del software ISE de Cisco se ve afectada.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en la API XML de Expressway Series y Cisco TelePresence (CVE-2019-1720)

Fecha de publicación:

18/04/2019

Idioma:

Español

Una vulnerabilidad en la API XML de Expressway Series y Cisco TelePresence Video Communication Server (VCS) de Cisco podría permitir que un atacante remoto identificado haga que la CPU aumente al 100% de la utilización, causando una condición de denegación de servicio (DoS) en un sistema afectado. La vulnerabilidad se debe a un manejo inapropiado de la entrada XML. Un atacante podría aprovechar esta vulnerabilidad enviando una carga de XML específicamente creada. Una operación con éxito podría permitirle al atacante agotar los recursos de la CPU, resultando en una condición DoS hasta que el sistema sea reiniciado manualmente. Las versiones del programa anteriores a X12.5.1 están afectadas.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en interfaz web de Identity Services Engine (CVE-2019-1718)

Fecha de publicación:

17/04/2019

Idioma:

Español

Una vulnerabilidad en la interfaz web de Identity Services Engine (ISE) de Cisco, podría permitir que un atacante remoto no identificado desencadene un alto uso de la CPU, lo que resulta en una condición de denegación de servicio (DoS). La vulnerabilidad es debido a un manejo inapropiado de las peticiones de renegociación Secure Sockets Layer (SSL). Un atacante podría explotar esta vulnerabilidad enviando peticiones de renegociación a una tasa alta. Una explotación con éxito podría aumentar el uso de recursos en el sistema, lo que eventualmente conllevaría a una condición DoS. Esta vulnerabilidad afecta a la versión 2.1.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/10/2020

Vulnerabilidad en la GUI administrativa de Wireless LAN Controller (WLC) de Cisco (CVE-2018-0248)

Fecha de publicación:

17/04/2019

Idioma:

Español

Una vulnerabilidad en la característica de configuración de la GUI administrativa de Wireless LAN Controller (WLC) de Cisco, podría permitir que un atacante remoto, no autenticado, hiciera que el dispositivo se recargue inesperadamente durante la configuración del dispositivo cuando el administrador usa esta GUI, causando una condición de denegación de servicio (DoS) en un dispositivo afectado. El atacante necesitaría tener credenciales de administrador válidas en el dispositivo. Esta vulnerabilidad se debe a la validación de entrada incompleta para las opciones de configuración inesperadas que el atacante podría enviar al acceder a los menús de configuración de la GUI. Un atacante podría explotar estas vulnerabilidades al autenticarse en el dispositivo y enviar una entrada de usuario creada al usar la función de configuración administrativa de la GUI. Una explotación con éxito podría permitir al atacante hacer que el dispositivo se recargue, lo que resulta en una condición DoS. Las versiones del programa anteriores a 8.3.150.0, 8.5.140.0, 8.8.111.0 están afectadas por esta vulnerabilidad.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en sesión de la interfaz Wireless LAN Controller (CVE-2018-0382)

Fecha de publicación:

17/04/2019

Idioma:

Español

Una vulnerabilidad en la funcionalidad de administración de identificación de sesión de la interfaz basada en web del software Wireless LAN Controller (WLC) de Cisco, podría permitir que un atacante remoto no identificado secuestrase una sesión de usuario válida en un sistema afectado. La vulnerabilidad existe porque el software afectado no borra correctamente los identificadores de sesión asignados anteriormente para una sesión de usuario cuando un usuario se autentica en la interfaz basada en web. Un atacante podría aprovechar esta vulnerabilidad mediante el uso de un identificador de sesión existente para conectarse al software mediante la interfaz basada en web. La operación con éxito podría permitir al atacante secuestrar la sesión del navegador de un usuario autorizado en el sistema. Las versiones 8.1 y 8.5 se ven afectadas.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/10/2019

Vulnerabilidad en sysadmin (CVE-2019-1710)

Fecha de publicación:

17/04/2019

Idioma:

Español

Una vulnerabilidad en la máquina virtual (VM) sysadmin en ASR 9000 Series Aggregation Services Routers de Cisco ejecutándose en el software IOS XR de Cisco de 64 bits, podría permitir que un atacante remoto no autorizado acceda a las aplicaciones internas que se ejecutan en la VM sysadmin. La vulnerabilidad es debido a un aislamiento incorrecto de la interfaz de administración secundaria de las aplicaciones internas de sysadmin. Un atacante podría explotar esta vulnerabilidad al conectarse a una de las aplicaciones internas de escucha. Una explotación con éxito podría resultar en condiciones inestables, que incluyen tanto una denegación de servicio como un acceso remoto no identificado al dispositivo. Esta vulnerabilidad se ha corregido en la versión 6.5.3 y 7.0.1 del programa IOS XR de Cisco de 64 bits, que editará el archivo calvados_boostrap.cfg y recargará el dispositivo.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

09/10/2019

Vulnerabilidad en el demonio de Event Management Service (emsd) del software IOS XR (CVE-2019-1711)

Fecha de publicación:

17/04/2019

Idioma:

Español

Una vulnerabilidad en el demonio de Event Management Service (emsd) del software IOS XR de Cisco, podría permitir a un atacante remoto no identificado causar una condición de denegación de servicio (DoS) en un dispositivo afectado. La vulnerabilidad es debido a un manejo inapropiado de las peticiones gRPC. Un atacante podría explotar esta vulnerabilidad al enviar repetidamente peticiones gRPC no autenticadas al dispositivo afectado. Un explotación con éxito podría causar que el proceso emsd se bloquee, resultando en una condición DoS. Resuelto en Cisco IOS XR versión 6.5.1 y posteriores.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/10/2019

Suscribirse a Vulnerabilidades