Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en get_line() en fig2dev (CVE-2018-16140)

Fecha de publicación:
30/08/2018
Idioma:
Español
Una vulnerabilidad de subescritura de búfer en get_line() (en read.c) en fig2dev 3.2.7a permite que un atacante escriba antes del comienzo del búfer mediante un archivo .fig manipulado.
Gravedad CVSS v3.1: ALTA
Última modificación:
22/01/2020

Vulnerabilidad en Wireshark (CVE-2018-16056)

Fecha de publicación:
30/08/2018
Idioma:
Español
En Wireshark, de la versión 2.6.0 a la 2.6.2, de la versión 2.4.0 a la 2.4.8 y de la versión 2.2.0 a la 2.2.16, el disector Bluetooth Attribute Protocol podría cerrarse inesperadamente. Esto se abordó en epan/dissectors/packet-btatt.c verificando que existe un disector para un UUID concreto.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en Wireshark (CVE-2018-16057)

Fecha de publicación:
30/08/2018
Idioma:
Español
En Wireshark, de la versión 2.6.0 a la 2.6.2, de la versión 2.4.0 a la 2.4.8 y de la versión 2.2.0 a la 2.2.16, el disector Radiotap podría cerrarse inesperadamente. Esto se trató en epan/dissectors/packet-ieee80211-radiotap-iter.c validando las operaciones iterator.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en Wireshark (CVE-2018-16058)

Fecha de publicación:
30/08/2018
Idioma:
Español
En Wireshark, de la versión 2.6.0 a la 2.6.2, de la versión 2.4.0 a la 2.4.8 y de la versión 2.2.0 a la 2.2.16, el disector Bluetooth AVDTP podría cerrarse inesperadamente. Esto se trató en epan/dissectors/packet-btavdtp.c inicializando correctamente una estructura de datos.
Gravedad CVSS v3.1: ALTA
Última modificación:
07/11/2023

Vulnerabilidad en Lightbend Akka (CVE-2018-16115)

Fecha de publicación:
29/08/2018
Idioma:
Español
Lightbend Akka en versiones 2.5.x anteriores a la 2.5.16 permite la revelación y modificación de mensajes debido a un error de RNG. Se emplea un generador de números aleatorios en Akka Remoting for TLS (tanto en la versión clásica como en Artery Remoting). Akka permite la configuración de generadores de números aleatorios personalizados. Por motivos históricos, Akka incluía los generadores de números aleatorios AES128CounterSecureRNG y AES256CounterSecureRNG. Las implementaciones tenían un error que provocaba que los números generados se repitiesen tras solo unos pocos bytes. Las implementaciones RGN personalizadas no estaban configuradas por defecto, pero los ejemplos de la documentación mostraban (y, por lo tanto, recomendaban implícitamente) el uso de las implementaciones personalizadas. Esto puede ser empleado por un atacante para comprometer la comunicación si estos generadores de números aleatorios están habilitados en la configuración. Sería posible escuchar, reproducir o modificar los mensajes enviados con Akka Remoting/Cluster.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
08/11/2018

Vulnerabilidad en la aplicación Open Whisper Signal para iOS (CVE-2018-16132)

Fecha de publicación:
29/08/2018
Idioma:
Español
El componente de renderizado de imágenes (createGenericPreview) de la aplicación Open Whisper Signal hasta la versión 2.29.0 para iOS no comprueba si hay imágenes demasiado grandes antes de manipular las imágenes recibidas. Esto permite que una imagen grande enviada a un usuario agote toda la memoria disponible cuando se muestra la imagen, lo que resulta en un reinicio forzado del dispositivo.
Gravedad CVSS v3.1: ALTA
Última modificación:
08/11/2018

Vulnerabilidad en Cybrotech CyBroHttpServer (CVE-2018-16134)

Fecha de publicación:
29/08/2018
Idioma:
Español
Cybrotech CyBroHttpServer 1.0.3 permite Cross-Site Scripting (XSS) mediante un URI.
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/10/2018

Vulnerabilidad en Cybrotech CyBroHttpServer (CVE-2018-16133)

Fecha de publicación:
29/08/2018
Idioma:
Español
Cybrotech CyBroHttpServer 1.0.3 permite el salto de directorio mediante un ../ en el URI.
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/10/2018

Vulnerabilidad en Modicon M221 (CVE-2018-7790)

Fecha de publicación:
29/08/2018
Idioma:
Español
Existe una vulnerabilidad de error de gestión de información en el producto Modicon M221, de Schneider Electric (todas las referencias y todas las versiones anteriores al firmware V1.6.2.0). La vulnerabilidad permite que usuarios no autorizados reproduzcan secuencias de autenticación. Si un atacante explota la vulnerabilidad y se conecta a Modicon M221, el atacante puede subir el programa original desde el PLC.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
03/02/2022

Vulnerabilidad en Modicon M221 (CVE-2018-7791)

Fecha de publicación:
29/08/2018
Idioma:
Español
Existe una vulnerabilidad de permisos, privilegios y control de acceso en el producto Modicon M221, de Schneider Electric (todas las referencias y todas las versiones anteriores al firmware V1.6.2.0). La vulnerabilidad permite que usuarios no autorizados sobrescriban la contraseña original con su contraseña. Si un atacante explota la vulnerabilidad y sobrescribe la contraseña, el atacante puede subir el programa original desde el PLC.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
03/02/2022

Vulnerabilidad en Modicon M221 (CVE-2018-7792)

Fecha de publicación:
29/08/2018
Idioma:
Español
Existe una vulnerabilidad de permisos, privilegios y control de acceso en el producto Modicon M221, de Schneider Electric (todas las referencias y todas las versiones anteriores al firmware V1.6.2.0). La vulnerabilidad permite que usuarios no autorizados descifren la contraseña mediante tablas rainbow.
Gravedad CVSS v3.1: ALTA
Última modificación:
03/02/2022

CVE-2017-10651

Fecha de publicación:
29/08/2018
Idioma:
Inglés
*** Pendiente de traducción *** Rejected reason: DO NOT USE THIS CANDIDATE NUMBER. ConsultIDs: none. Reason: The CNA or individual who requested this candidate did not associate it with any vulnerability during 2017. Notes: none
Gravedad: Pendiente de análisis
Última modificación:
07/11/2023