Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en dispositivos Micrologix en Allen Bradley (CVE-2017-14470)

Fecha de publicación:

05/04/2018

Idioma:

Español

Existe una vulnerabilidad de control de acceso explotable en la funcionalidad de permisos de archivos de datos, programas y funciones de Allen Bradley Micrologix 1400 Serie B FRN 21.2 y anteriores. Un paquete especialmente diseñado puede causar una operación de lectura o escritura que resulte en la divulgación de información sensible, la modificación de la configuración o la modificación de la lógica de escalera. Un atacante puede enviar paquetes no autentificados para activar esta vulnerabilidad. Estado del interruptor de llave requerido: REMOTE o PROG o RUN Descripción: El valor 0xffffff se considera NaN para el tipo de datos Float. Cuando se establece un flotador con este valor y se utiliza en el PLC, se desencadena un fallo. NOTA: Esto no es posible a través de RSLogix

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

19/04/2022

Vulnerabilidad en dispositivos Micrologix en Allen Bradley (CVE-2017-14471)

Fecha de publicación:

05/04/2018

Idioma:

Español

Existe una vulnerabilidad explotable de control de acceso en las funcionalidades data, program y function file de Allen Bradley Micrologix 1400 Series B FRN, en versiones 21.2 y anteriores. Un paquete especialmente manipulado puede provocar una operación de lectura o escritura que resulta en la revelación de información sensible, modificación de opciones o modificación de la lógica de escala. Un atacante puede enviar paquetes sin autenticación para provocar esta vulnerabilidad. Estado de Keyswitch requerido: REMOTE o PROG. Códigos de error asociados: 0023, 002e y 0037. Tipo de error: Recoverable. Descripción: Los archivos de función STI, EII y HSC contienen bits que indican si ha ocurrido un error o no. Adicionalmente, hay un bit que señala que el módulo se autoinicie. Cuando estos bits se establecen para cualquiera de estos tres módulos y el dispositivo se mueve a un estado de ejecución, se desencadena el error.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

19/04/2022

Vulnerabilidad en Allen Bradley Micrologix 1400 Series B FRN (CVE-2017-14472)

Fecha de publicación:

05/04/2018

Idioma:

Español

Existe una vulnerabilidad explotable de control de acceso en las funcionalidades data, program y function file de Allen Bradley Micrologix 1400 Series B FRN, en versiones 21.2 y anteriores. Un paquete especialmente manipulado puede provocar una operación de lectura o escritura que resulta en la revelación de información sensible, modificación de opciones o modificación de la lógica de escala. Un atacante puede enviar paquetes sin autenticación para provocar esta vulnerabilidad. Estado de Keyswitch requerido: Cualquiera. Descripción: Solicita un conjunto específico de bytes de un archivo de datos no documentado y devuelve la versión en ASCII de la contraseña maestra.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

19/04/2022

Vulnerabilidad en dispositivos Micrologix en Allen Bradley (CVE-2017-14473)

Fecha de publicación:

05/04/2018

Idioma:

Español

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

19/04/2022

Vulnerabilidad en Foreman (CVE-2018-1096)

Fecha de publicación:

05/04/2018

Idioma:

Español

Se ha encontrado un error de saneamiento de entradas en el campo id del controlador del panel de Foreman, en versiones anteriores a la 1.16.1. Un usuario podría emplear este error para realizar un ataque de inyección SQL en la base de datos del backend.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en dispositivos Micrologix en Allen Bradley (CVE-2017-14469)

Fecha de publicación:

05/04/2018

Idioma:

Español

Existe una vulnerabilidad de control de acceso explotable en la funcionalidad de permisos de archivos de datos, programas y funciones de Allen Bradley Micrologix 1400 Serie B FRN 21.2 y anteriores. Un paquete especialmente diseñado puede causar una operación de lectura o escritura que resulte en la divulgación de información sensible, la modificación de la configuración o la modificación de la lógica de escalera. Un atacante puede enviar paquetes no autentificados para activar esta vulnerabilidad. Estado del interruptor de llave requerido: REMOTO o PROG Código de fallo asociado: 0028 Tipo de fallo: No Usuario Descripción: Los valores 0x01 y 0x02 son valores no válidos para la rutina de fallos de usuario. Escribiendo directamente en el archivo es posible establecer estos valores. Cuando se hace esto y el dispositivo pasa a un estado de ejecución, se dispara un fallo. NOTA: Esto no es posible a través de RSLogix

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

19/04/2022

Vulnerabilidad en dispositivos Micrologix en Allen Bradley (CVE-2017-12088)

Fecha de publicación:

05/04/2018

Idioma:

Español

Existe una vulnerabilidad explotable de denegación de servicio (DoS) en la funcionalidad Ethernet de Allen Bradley Micrologix 1400 Series B FRN, en versiones 21.2 y anteriores. Un paquete especialmente manipulado puede provocar un ciclo de energía del dispositivo, lo que resulta en un estado de error y la eliminación de la lógica de escala. Un atacante puede enviar un paquete sin autenticación para provocar esta vulnerabilidad.

Gravedad CVSS v3.1: ALTA

Última modificación:

19/04/2022

Vulnerabilidad en dispositivos Micrologix en Allen Bradley (CVE-2017-12089)

Fecha de publicación:

05/04/2018

Idioma:

Español

Existe una vulnerabilidad explotable de denegación de servicio (DoS) en la funcionalidad de descarga de programas de Allen Bradley Micrologix 1400 Series B FRN, en versiones 21.2 y anteriores. Un paquete especialmente manipulado puede provocar un error en el dispositivo, lo que resulta en la interrupción de las operaciones. Un atacante puede enviar un paquete sin autenticación para provocar esta vulnerabilidad.

Gravedad CVSS v3.1: ALTA

Última modificación:

19/04/2022

Vulnerabilidad en dispositivos Micrologix en Allen Bradley (CVE-2017-12090)

Fecha de publicación:

05/04/2018

Idioma:

Español

Existe una vulnerabilidad explotable de denegación de servicio (DoS) en el procesamiento de comandos snmp-set de Allen Bradley Micrologix 1400 Series B FRN, en versiones 21.2 y anteriores. Una petición snmp-set especialmente manipulada, cuando se envía sin comandos snmp-set asociados al flasheo de firmware, puede provocar un ciclo de energía del dispositivo que resulta en tiempo de inactividad para el dispositivo. Un atacante puede enviar un paquete para provocar esta vulnerabilidad.

Gravedad CVSS v3.1: ALTA

Última modificación:

19/04/2022

Vulnerabilidad en dispositivos Micrologix en Allen Bradley (CVE-2017-12093)

Fecha de publicación:

05/04/2018

Idioma:

Español

Existe una vulnerabilidad explotable de denegación de servicio (DoS) en la funcionalidad de comunicación de sesión de Allen Bradley Micrologix 1400 Series B Firmware, en versiones 21.2 y anteriores. Un flujo de paquetes especialmente manipulado puede provocar la inundación del pool de recursos de sesión que resulta en conexiones legítimas al PCL que se está desconectando. Un atacante puede enviar paquetes sin autenticación para provocar esta vulnerabilidad.

Gravedad CVSS v3.1: MEDIA

Última modificación:

28/01/2023

Vulnerabilidad en Allen Bradley Micrologix 1400 Series B FRN (CVE-2017-14462)

Fecha de publicación:

05/04/2018

Idioma:

Español

Existe una vulnerabilidad explotable de control de acceso en las funcionalidades data, program y function file de Allen Bradley Micrologix 1400 Series B FRN, en versiones 21.2 y anteriores. Un paquete especialmente manipulado puede provocar una operación de lectura o escritura que resulta en la revelación de información sensible, modificación de opciones o modificación de la lógica de escala. Un atacante puede enviar paquetes sin autenticación para provocar esta vulnerabilidad. Estado de Keyswitch requerido: REMOTE o PROG (también RUN para algunos) Descripción: Permite que un atacante habilite SNMP, Modbus, DNP y cualquier otra característica en la configuración de canal. También permite que atacantes cambien parámetros de red, tales como la dirección IP, nombre del servidor y nombre de dominio.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/12/2022

Vulnerabilidad en dispositivos Micrologix en Allen Bradley (CVE-2017-14463)

Fecha de publicación:

05/04/2018

Idioma:

Español

Existe una vulnerabilidad explotable de control de acceso en las funcionalidades data, program y function file de Allen Bradley Micrologix 1400 Series B FRN, en versiones 21.2 y anteriores. Un paquete especialmente manipulado puede provocar una operación de lectura o escritura que resulta en la revelación de información sensible, modificación de opciones o modificación de la lógica de escala. Un atacante puede enviar paquetes sin autenticación para provocar esta vulnerabilidad. Estado de Keyswitch requerido: REMOTE o PROG. Código de error asociado: 0012. Tipo de error: Non-User. Descripción: Se puede desencadenar un estado de error sobrescribiendo el archivo de datos de lógica de escala (tipo 0x22 número 0x02) con valores null.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

14/12/2022

Suscribirse a Vulnerabilidades