Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Advantech WebAccess (CVE-2019-3941)

Fecha de publicación:

09/04/2019

Idioma:

Español

Advantech WebAccess en la versión 8.3.4, permite a los atacantes remotos no autenticados eliminar archivos arbitrarios mediante IOCTL 10005 RPC.

Gravedad CVSS v3.1: ALTA

Última modificación:

24/08/2020

Vulnerabilidad en la carga de archivos en Advantech WebAccess (CVE-2019-3940)

Fecha de publicación:

09/04/2019

Idioma:

Español

Advantech WebAccess versión 8.3.4 es vulnerable a ataques de carga de archivos por medio de una llamada RPC no autenticada. Un atacante remoto no autenticado puede usar esta vulnerabilidad para ejecutar código arbitrario.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

09/10/2019

Vulnerabilidad en Rapid7 (CVE-2019-5615)

Fecha de publicación:

09/04/2019

Idioma:

Español

Los usuarios con permisos Site-level pueden acceder a los archivos que contienen las contraseñas cifradas con el nombre de usuario de los Administradores Globales de la Consola de Seguridad y las contraseñas de texto sin cifrar para restaurar las copias de seguridad, así como la sal para esas contraseñas. Se requieren credenciales válidas para acceder a estos archivos y los usuarios maliciosos aún tendrían que realizar un trabajo adicional para descifrar las credenciales y escalar los privilegios. Este problema afecta a: Rapid7 InsightVM versiones 6.5.11 hasta 6.5.49.

Gravedad CVSS v3.1: MEDIA

Última modificación:

16/10/2020

Vulnerabilidad en el control de acceso en Helpdesk de Odoo Enterprise (CVE-2018-15640)

Fecha de publicación:

09/04/2019

Idioma:

Español

El control de acceso inapropiado en la aplicación Helpdesk de Odoo Enterprise versión 10.0 hasta la 12.0, permite que los atacantes autenticados remotos puedan obtener privilegios elevados por medio de una petición creada.

Gravedad CVSS v3.1: ALTA

Última modificación:

18/09/2020

Vulnerabilidad en Samba (CVE-2019-3870)

Fecha de publicación:

09/04/2019

Idioma:

Español

Se encontró una vulnerabilidad en Samba desde la versión 4.9 (incluida) hasta las versiones anteriores a la 4.9.6 y 4.10.2. Durante la creación de un nuevo Samba AD DC, los archivos se crean en un subdirectorio privado de la ubicación de instalación. Este directorio es típicamente el modo 0700, es decir, acceso sólo para administradores (root). Sin embargo, en algunas instalaciones actualizadas tendrá otros permisos, como el 0755, ya que éste era el predeterminado en versiones de Samba anteriores a la 4.8. Dentro de este directorio, los archivos se crean con el modo 0666, en el que cualquiera puede escribir, incluyendo un ejemplo de krb5.conf, y la lista de nombres DNS y valores de servicePrincipalName para actualizar.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/01/2025

Vulnerabilidad en Samba (CVE-2019-3880)

Fecha de publicación:

09/04/2019

Idioma:

Español

Se encontró un fallo en la forma en que samba implementó RPC endpoint, que emula la API de servicios de registro de Windows. Un atacante sin privilegios podría usar este defecto para crear un nuevo archivo de registro hive en cualquier lugar que tenga permisos Unix, lo que podría llevar a la creación de un nuevo archivo en el recurso compartido de Samba. Las versiones anteriores a la 4.8.11, 4.9.6 y 4.10.2 son vulnerables.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/11/2023

Vulnerabilidad en Spring Security (CVE-2019-3795)

Fecha de publicación:

09/04/2019

Idioma:

Español

Las versiones 4.2.x de Spring Security anteriores a 4.2.12, 5.0.x anteriores a 5.0.12 y 5.1.x anteriores a 5.1.5 contienen una vulnerabilidad de aleatoriedad insegura cuando se utiliza SecureRandomFactoryBean#setSeed para configurar una petición de SecureRandom. Para ser impactado, una aplicación honesta debe proporcionar una semilla y poner el material aleatorio resultante a disposición de un atacante para su inspección.

Gravedad CVSS v3.1: MEDIA

Última modificación:

02/11/2021

Vulnerabilidad en el hipervisor KVM (CVE-2019-3887)

Fecha de publicación:

09/04/2019

Idioma:

Español

Se encontró un error en la forma en que el hipervisor KVM manejaba el acceso a x2APIC Machine Specific Rregister (MSR) con la virtualización anidada (=1) habilitada. En este caso, el invitado L1 podría acceder a los valores de registro APIC de L0 a través del invitado L2, cuando `virtualize x2APIC mode&#39; está habilitado. Un invitado podría utilizar este fallo para bloquear el núcleo del host, lo que provocaría un problema de denegación de servicio. El kernel, versión 4.16 y posteriores son vulnerables a este problema.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/02/2023

Vulnerabilidad en Discuss de Odoo Community y Odoo Enterprise (CVE-2018-15635)

Fecha de publicación:

09/04/2019

Idioma:

Español

La vulnerabilidad de tipo Cross-site scripting en la aplicación Discuss de Odoo Community versión 12.0 y anteriores, y Odoo Enterprise versión 12.0 y anteriores, permite a los atacantes remotos inyectar un script web arbitrario en el navegador de un usuario interno del sistema engañándolos para que inviten a un seguidor de un documento con un nombre creado.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en Eclipse Kura (CVE-2019-10242)

Fecha de publicación:

09/04/2019

Idioma:

Español

En Eclipse Kura en las versiones anteriores a la 4.0.0, el SkinServlet no verificó la ruta pasada durante la llamada al servlet, lo que potencialmente permite un salto de directorio al obtener solicitudes para un número limitado de tipos de archivos.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en Eclipse Kura (CVE-2019-10243)

Fecha de publicación:

09/04/2019

Idioma:

Español

En Eclipse Kura en las versiones anteriores a la 4.0.0, Kura expone la versión subyacente del servidor Web de Ui en sus respuestas. Esto puede ser usado como una pista por un atacante para crear ataques específicos al servidor web ejecutado por Kura.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en Eclipse Kura (CVE-2019-10244)

Fecha de publicación:

09/04/2019

Idioma:

Español

En Eclipse Kura en las versiones anteriores a la 4.0.0, el paquete de interfaz de usuario web y los servicios de componentes, el componente Mqtt simple de Artemis y el servicio de posición de emulador (que no forma parte de la distribución del dispositivo) podrían ser objeto de un ataque XXE debido a una inicialización inadecuada de fábrica del analizador.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/10/2019

Suscribirse a Vulnerabilidades