Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Samsung GALAXY Apps (CVE-2018-20135)

Fecha de publicación:
07/06/2019
Idioma:
Español
Samsung Galaxy Apps anterior a la versión 4.4.01.7 permite la modificación del nombre de host usado para el balanceo de carga en instalaciones de aplicaciones mediante un ataque de tipo man-in-the-middle. Un atacante puede engañar a Galaxy apps para que use un nombre de host arbitrario para el que el atacante pueda proporcionar un certificado SSL válido y emular la API de la tienda de aplicaciones para modificar las apps existentes en el momento de la instalación. El fallo específico implica un método HTTP para conseguir el nombre de host con equilibrio de carga que aplica SSL solo después de conseguir un nombre de host del equilibrador de carga y una falta comprobación de firma de aplicación en el XML de la aplicación. Un atacante puede explotar esta vulnerabilidad para lograr la ejecución de código remota en el dispositivo. El ID de Samsung es SVE-2018-12071.
Gravedad CVSS v3.1: ALTA
Última modificación:
11/06/2019

Vulnerabilidad en el directorio /usr/local en los dispositivos ENTTEC Datagate MK2, Storm 24, Pixelator y E-Streamer MK2 (CVE-2019-12777)

Fecha de publicación:
07/06/2019
Idioma:
Español
Fue encontrado un problema en los dispositivos Datagate MK2, Storm 24, Pixelator y E-Streamer MK2 con el firmware versión 70044_update_05032019-482 de ENTTEC. Ellos reemplazan los permisos de directorio seguros y protegidos (establecidos por defecto por el sistema operativo subyacente) con permisos de lectura, escritura y ejecución de directorios altamente inseguros para todos los usuarios. Por defecto, /usr/local y todos sus subdirectorios deben tener permisos establecidos para solo permitir que los usuarios sin privilegios lean y ejecuten desde la estructura de árbol, y para denegar a los usuarios la creación o edición de archivos en esta ubicación. El script de inicio del firmware de ENTTEC permite a todos los usuarios leer, escribir y ejecutar (rwxrwxrwx) desde los directorios /usr, /usr/local, /usr/local/DMXIS y /usr/local/bin/.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/08/2020

Vulnerabilidad en Datagate MK2, Storm 24, Pixelator y E-Streamer MK2 (CVE-2019-12775)

Fecha de publicación:
07/06/2019
Idioma:
Español
Fue encontrado un problema en los dispositivos Datagate MK2, Storm 24, Pixelator y E-Streamer MK2 con el firmware versión 70044_update_05032019-482 de ENTTEC. Ellos permiten acceso root con privilegios elevados por www-data mediante sudo sin requerir de un control de acceso apropiado. (Además, la cuenta de usuario que controla el servicio de aplicación web concede acceso completo para ejecutar cualquier comando del sistema con privilegios elevados, sin la necesidad de autenticación de contraseña. En el supuesto de que las vulnerabilidades se identifiquen y exploten en la aplicación web, puede ser posible que un atacante cree o ejecute archivos binarios o ejecutables con privilegios elevados que estén disponibles en el sistema operativo del dispositivo.)
Gravedad CVSS v3.1: ALTA
Última modificación:
24/08/2020

Vulnerabilidad en IBM Intelligent Operations Center (CVE-2019-4067)

Fecha de publicación:
07/06/2019
Idioma:
Español
IBM Intelligent Operations Center (IOC) versión 5.1.0 hasta la versión 5.2.0 no requiere que los usuarios tengan contraseñas seguras por defecto, lo que facilita que atacantes comprometan las cuentas de usuario. ID de IBM X-Force: 157012.
Gravedad CVSS v3.1: ALTA
Última modificación:
03/02/2023

Vulnerabilidad en IBM Intelligent Operations Cente (CVE-2019-4068)

Fecha de publicación:
07/06/2019
Idioma:
Español
IBM Intelligent Operations Center (IOC) versión 5.1.0 hasta la versión 5.2.0, es vulnerable a la enumeración de usuarios, permitiendo a un atacante forzar en el sistema. ID de IBM X-Force: 157013.
Gravedad CVSS v3.1: ALTA
Última modificación:
09/12/2022

Vulnerabilidad en IBM Intelligent Operations Center (CVE-2019-4069)

Fecha de publicación:
07/06/2019
Idioma:
Español
IBM Intelligent Operations Center (IOC) versión 5.1.0 hasta la versión 5.2.0, no comprueba correctamente los tipos de archivo, lo que permite a un atacante cargar contenido malicioso. ID de IBM X-Force: 157014.
Gravedad CVSS v3.1: ALTA
Última modificación:
09/12/2022

Vulnerabilidad en la interfaz de usuario Web en IBM Intelligent Operations Center (IOC) (CVE-2019-4070)

Fecha de publicación:
07/06/2019
Idioma:
Español
IBM Intelligent Operations Center (IOC) versión 5.1.0 hasta la versión 5.2.0, es vulnerable a ataques de tipo cross-site scripting. Esta vulnerabilidad permite a los usuarios insertar código JavaScript arbitrario en la interfaz de usuario Web, lo que altera la funcionalidad prevista que potencialmente conduce a la divulgación de credenciales dentro de una sesión de confianza. ID de IBM X-Force: 157015.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/02/2023

Vulnerabilidad en IBM Intelligent Operations Center (CVE-2019-4066)

Fecha de publicación:
07/06/2019
Idioma:
Español
IBM Intelligent Operations Center (IOC) versión 5.1.0 hasta la versión 5.2.0, podría permitir a un usuario identificado crear usuarios arbitrarios que podrían generar problemas de administración de ID y provocar la ejecución de código. ID de IBM X-Force: 157011.
Gravedad CVSS v3.1: ALTA
Última modificación:
01/01/2022

Vulnerabilidad en Supra Smart Cloud TV (CVE-2019-12477)

Fecha de publicación:
07/06/2019
Idioma:
Español
Supra Smart Cloud TV permite la inclusión de archivos remotos en la función openLiveURL, lo que permite a un atacante local emitir vídeo falso sin ninguna identificación por medio de un URI /remote/media_control?action=setUri&uri=.
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/06/2019

Vulnerabilidad en Gemalto Admin Control Center (CVE-2019-8282)

Fecha de publicación:
07/06/2019
Idioma:
Español
Gemalto Admin Control Center, todas las versiones anteriores a la 7.92, usa HTTP de texto sin cifrar para comunicarse con www3.safenet-inc.com para conseguir paquetes de idioma. Esto permite al atacante hacer un ataque de tipo Man-in-the-Middle (MITM) y reemplazar el paquete de idioma original por uno malicioso.
Gravedad CVSS v3.1: MEDIA
Última modificación:
22/10/2020

Vulnerabilidad en la cookie Hasplm en Gemalto admin Control Center (CVE-2019-8283)

Fecha de publicación:
07/06/2019
Idioma:
Español
La cookie Hasplm en Gemalto admin Control Center, todas las versiones anteriores a la 7.92, no presenta el flag 'HttpOnly'. Esto permite un JavaScript malicioso para robarlo.
Gravedad CVSS v3.1: MEDIA
Última modificación:
14/09/2021

Vulnerabilidad en cross site scripting (CVE-2018-5798)

Fecha de publicación:
07/06/2019
Idioma:
Español
Este CVE se relaciona con una vulnerabilidad de cross site scripting no especificada en Cloudera Manager.
Gravedad CVSS v3.1: MEDIA
Última modificación:
10/06/2019