Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Cisco Video Surveillance Media Server (CVE-2018-15449)

Fecha de publicación:

08/11/2018

Idioma:

Español

Una vulnerabilidad en la interfaz de gestión web de Cisco Video Surveillance Media Server podría permitir que un atacante remoto no autenticado provoque una denegación de servicio (DoS) de la interfaz web de administración en un dispositivo afectado. La vulnerabilidad se debe a la validación insuficiente de entrada de datos de parte del usuario en la interfaz de gestión web del servicio afectado. Un atacante podría explotar esta vulnerabilidad haciendo que un usuario de la interfaz haga clic en un enlace malicioso. Su explotación con éxito podría permitir que el atacante consiga que la interfaz web de administración sea inalcanzable, resultando en una denegación de servicio (DoS).

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en Cisco Registered Envelope Service (CVE-2018-15448)

Fecha de publicación:

08/11/2018

Idioma:

Español

Una vulnerabilidad en las funciones de gestión de Cisco Registered Envelope Service podría permitir que un atacante remoto no autenticado descubra información sensible del usuario. El atacante podría utilizar esta información para llevar a cabo ataques de reconocimiento adicionales. La vulnerabilidad se debe a una configuración insegura que permite una indexación incorrecta. Un atacante podría explotar esta vulnerabilidad utilizando un motor de búsqueda para buscar cadenas de datos específicas. Su explotación con éxito podría permitir al atacante descubrir determinada información sensible sobre la aplicación, incluidos los nombres de usuario.

Gravedad CVSS v3.1: ALTA

Última modificación:

16/09/2020

Vulnerabilidad en Brocade Fabric OS (CVE-2018-6436)

Fecha de publicación:

08/11/2018

Idioma:

Español

Una vulnerabilidad en el comando firmwaredownload de las versiones de la interfaz de línea de comandos (CLI) de Brocade Fabric OS en versiones anteriores a la 8.2.1, 8.1.2f, 8.0.2f, 8.4.2f y 7.4.2d podría permitir que un atacante local escape de la shell restringida y obtenga acceso root.

Gravedad CVSS v3.1: ALTA

Última modificación:

22/06/2021

Vulnerabilidad en Cisco Integrated Management Controller Supervisor (CVE-2018-15447)

Fecha de publicación:

08/11/2018

Idioma:

Español

Una vulnerabilidad en el código del framework web de Cisco Integrated Management Controller (IMC) Supervisor podría permitir que un atacante remoto no autenticado ejecute consultas SQL arbitrarias. Esta vulnerabilidad se debe a la falta de validación adecuada de los valores de entrada proporcionados por el usuario en consultas SQL. Un atacante podría explotar esta vulnerabilidad mediante el envío de URL modificadas que incluyan instrucciones SQL maliciosas a la aplicación afectada.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

09/10/2019

Vulnerabilidad en MinDoc (CVE-2018-19114)

Fecha de publicación:

08/11/2018

Idioma:

Español

Se ha descubierto un problema en MinDoc hasta la versión 1.0.2. Permite a los atacantes obtener privilegios cargando un archivo de imagen con contenidos que representan una sesión de administrador, y luego enviando una cabecera Cookie: con un valor mindoc_id que contiene la ruta de acceso relativa de este archivo subido. Por ejemplo, el mindoc_id (también conocido como ID de sesión) podría ser del tipo aa/../../../uploads/blog/201811/attach_#.jpg, donde "#" es un valor hexadecimal que se muestra en el campo upload de una pantalla manage/blogs/edit/.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/10/2019

Vulnerabilidad en Cisco Energy Management Suite Software (CVE-2018-15444)

Fecha de publicación:

08/11/2018

Idioma:

Español

Una vulnerabilidad en la interfaz de usuario web en Cisco Energy Management Suite Software podría permitir que un atacante remoto autenticado obtenga acceso de lectura y escritura a la información almacenada en el sistema afectado. La vulnerabilidad se debe a una gestión incorrecta de las entradas XEE (XML External Entity) cuando se analizan determinados archivos XML. Un atacante podría explotar esta vulnerabilidad convenciendo a un usuario de un sistema afectado para que importe un archivo XML manipulado con entradas maliciosas, lo que podría permitir al atacante leer y modificar archivos en la aplicación afectada.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/10/2019

Vulnerabilidad en Cisco Energy Management Suite Software (CVE-2018-15445)

Fecha de publicación:

08/11/2018

Idioma:

Español

Una vulnerabilidad en la interfaz de gestión basada en web de Cisco Energy Management Suite Software podría permitir que un atacante remoto autenticado lleve a cabo un ataque de Cross-Site Request Forgery (CSRF) y realice acciones arbitrarias en un dispositivo afectado. La vulnerabilidad se debe a las medidas de protección contra CSRF insuficientes para la interfaz de administración web de un dispositivo afectado. Un atacante podría explotar esta vulnerabilidad haciendo que un usuario autenticado de la interfaz siga un enlace manipulado. Su explotación con éxito podría permitir que el atacante realice acciones arbitrarias en un dispositivo objetivo mediante un navegador web y con los privilegios del usuario.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/10/2019

Vulnerabilidad en Cisco Meeting Server (CVE-2018-15446)

Fecha de publicación:

08/11/2018

Idioma:

Español

Una vulnerabilidad en Cisco Meeting Server podría permitir que un atacante remoto no autenticado acceda a información sensible. La vulnerabilidad se debe a las protecciones incorrectas de los datos que se devuelven desde las peticiones de reunión de los usuarios cuando la opción de acceso Guest a través de ID y clave de acceso está configurada en el modo Legacy. Un atacante podría explotar esta vulnerabilidad enviando peticiones de reunión a un sistema afectado. Su explotación con éxito podría permitir que el atacante determine los valores de los identificadores únicos de las salas de reunión, posiblemente permitiendo que el atacante realice más explotaciones.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/10/2019

Vulnerabilidad en productos Cisco (CVE-2018-15437)

Fecha de publicación:

08/11/2018

Idioma:

Español

Una vulnerabilidad en el componente de escaneo de sistemas Cisco Immunet y Cisco Advanced Malware Protection (AMP) for Endpoints que se ejecuten en Microsoft Windows podría permitir que un atacante local deshabilite la funcionalidad de escaneo del producto. Esto podría permitir que los archivos ejecutables se lancen en el sistema sin que se analicen en busca de amenazas. Esta vulnerabilidad se debe a la manipulación incorrecta de los recursos de los procesos. Un atacante podría explotar esta vulnerabilidad obteniendo acceso local a un sistema que se ejecute en Microsoft Windows y que esté protegido por Cisco Immunet o Cisco AMP for Endpoints y ejecutando un archivo malicioso. Su explotación con éxito podría permitir que el atacante evite que los servicios de escaneo funcionen correctamente y finalmente evitar que el sistema esté protegido contra futuras intrusiones.

Gravedad CVSS v3.1: MEDIA

Última modificación:

16/09/2020

Vulnerabilidad en Cisco Firepower System Software (CVE-2018-15443)

Fecha de publicación:

08/11/2018

Idioma:

Español

Una vulnerabilidad en el motor de detección del software Cisco Firepower System Software podría permitir que un atacante remoto no autenticado omita una regla IPS (Intrusion Prevention System) configurada que inspecciona determinados tipos de tráfico TCP. Esta vulnerabilidad se debe a la manipulación incorrecta de las retransmisiones TCP. Un atacante podría explotar esta vulnerabilidad enviando una petición de conexión TCP manipulada a través de un dispositivo afectado. Su explotación con éxito podría permitir que el atacante omita reglas IPS configuradas y permitir tráfico no inspeccionado en la red.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/10/2019

Vulnerabilidad en Cisco Content Security Management Appliance Software (CVE-2018-15393)

Fecha de publicación:

08/11/2018

Idioma:

Español

Una vulnerabilidad en la interfaz de gestión web de Cisco Content Security Management Appliance (SMA) Software podría permitir que un atacante remoto no autenticado lleve a cabo un ataque Cross-Site Scripting (XSS) contra un usuario de dicha interfaz de administración web. La vulnerabilidad se debe a la validación insuficiente de entradas de datos de parte del usuario en la interfaz de gestión web de un dispositivo afectado. Un atacante podría explotar esta vulnerabilidad haciendo que un usuario de la interfaz haga clic en un enlace manipulado maliciosamente. Su explotación con éxito podría permitir al atacante ejecutar código script arbitrario en el contexto de la interfaz afectada o que pueda acceder a información sensible del navegador.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/10/2019

Vulnerabilidad en Stealthwatch Management Console de Cisco Stealthwatch Enterprise (CVE-2018-15394)

Fecha de publicación:

08/11/2018

Idioma:

Español

Una vulnerabilidad en Stealthwatch Management Console (SMC) de Cisco Stealthwatch Enterprise podría permitir que un atacante remoto no autenticado omita la autenticación y ejecute acciones arbitrarias con privilegios de administrador en un sistema afectado. La vulnerabilidad se debe a una configuración de sistema no segura. Un atacante podría explotar esta vulnerabilidad mediante el envío de una petición HTTP manipulada a la aplicación objetivo. Su explotación con éxito podría permitir que el atacante obtenga acceso no autenticado, lo que resulta en privilegios elevados en el SMC.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

09/10/2019

Suscribirse a Vulnerabilidades