Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Suricata (CVE-2018-14568)

Fecha de publicación:

23/07/2018

Idioma:

Español

Suricata en versiones anteriores a la 4.0.5 detiene la inspección de transmisiones TCP al recibir un TCP RST de un servidor. Esto permite la omisión de la detección debido a que los clientes de Windows TCP continuaban el procesamiento habitual de datos TCP que llegan poco después de un RST (por ejemplo, actúan como si el RST no se hubiese recibido aún).

Gravedad CVSS v3.1: ALTA

Última modificación:

03/10/2019

Vulnerabilidad en Jenkins (CVE-2018-1999006)

Fecha de publicación:

23/07/2018

Idioma:

Español

Existe una vulnerabilidad de exposición de información sensible en Jenkins 2.132 y anteriores y 2.121.1 y anteriores en Plugin.java que permite que los atacantes determinen la fecha y hora cuando un archivo de plugin HPI/JPI fue extraído por última vez, que suele ser la fecha de la instalación/actualización más reciente.

Gravedad CVSS v3.1: MEDIA

Última modificación:

08/05/2019

Vulnerabilidad en Jenkins (CVE-2018-1999001)

Fecha de publicación:

23/07/2018

Idioma:

Español

Existe una vulnerabilidad de modificación no autorizada de configuración en Jenkins en versiones 2.132 y anteriores y en versiones 2.121.1 y anteriores en User.java que permite que los atacantes proporcionen credenciales de inicio de sesión manipuladas que provocan que Jenkins mueva el archivo config.xml desde el directorio raíz de Jenkins. Si se inicia Jenkins sin este archivo, el programa volverá a la opción por defecto de dar acceso de administrador a los usuarios anónimos.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/06/2022

Vulnerabilidad en Jenkins (CVE-2018-1999002)

Fecha de publicación:

23/07/2018

Idioma:

Español

Existe una lectura de archivos arbitrarios en Jenkins en versiones 2.132 y anteriores y en versiones 2.121.1 y anteriores en el org/kohsuke/stapler/Stapler.java del framework web Staple. Este permite que los atacantes envíen peticiones HTTP manipuladas que devuelven el contenido de cualquier archivo del sistema de archivos maestro de Jenkins al que el programa puede acceder.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/06/2022

Vulnerabilidad en Jenkins (CVE-2018-1999003)

Fecha de publicación:

23/07/2018

Idioma:

Español

Existe una vulnerabilidad de autorización incorrecta en Jenkins 2.132 y anteriores y 2.121.1 y anteriores en Queue.java que permite que los atacantes con el permiso Overall/Read cancelen las builds en cola.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/06/2022

Vulnerabilidad en Jenkins (CVE-2018-1999004)

Fecha de publicación:

23/07/2018

Idioma:

Español

Existe una vulnerabilidad de autorización incorrecta en Jenkins 2.132 y anteriores y 2.121.1 y anteriores en SlaveComputer.java que permite que los atacantes con el permiso Overall/Read inicien el arranque de los agentes y aborten el arranque en proceso de los agentes.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/06/2022

Vulnerabilidad en Jenkins (CVE-2018-1999005)

Fecha de publicación:

23/07/2018

Idioma:

Español

Existe una vulnerabilidad de Cross-Site Scripting (XSS), en Jenkins 2.132 y anteriores y 2.121.1 y anteriores, en BuildTimelineWidget.java y BuildTimelineWidget/control.jelly, que permite que atacantes con permisos Job/Configure definan JavaScript que se ejecutaría en el navegador de otro usuario cuando ese usuario realiza acciones en la interfaz de usuario.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/06/2022

Vulnerabilidad en Jenkins (CVE-2018-1999007)

Fecha de publicación:

23/07/2018

Idioma:

Español

Existe una vulnerabilidad de Cross-Site Scripting (XSS) en Jenkins 2.132 y anteriores y 2.121.1 y anteriores en el org/kohsuke/stapler/Stapler.java del framework web Staple. Este permite que los atacantes controlen la existencia de algunas URL en Jenkins para definir JavaScript que será ejecutado en el navegador de otro usuario cuando ese otro usuario visualiza páginas de error HTTP 404 mientras el modo de depuración de Stapler está habilitado.

Gravedad CVSS v3.1: MEDIA

Última modificación:

13/06/2022

Vulnerabilidad en PHP Runtime para Apache OpenWhisk (CVE-2018-11756)

Fecha de publicación:

23/07/2018

Idioma:

Español

En PHP Runtime para Apache OpenWhisk, una acción Docker que hereda una de las etiquetas Docker openwhisk/action-php-v7.2:1.0.0 o openwhisk/action-php-v7.1:1.0.1 (o anteriores) podría permitir que un atacante reemplace la función de usuario en el contenedor si el código de usuario es vulnerable a la explotación de código.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

07/11/2023

Vulnerabilidad en Docker Skeleton Runtime para Apache OpenWhisk (CVE-2018-11757)

Fecha de publicación:

23/07/2018

Idioma:

Español

En Docker Skeleton Runtime para Apache OpenWhisk, una acción Docker que hereda la etiqueta Docker openwhisk/dockerskeleton:1.3.0 (o anteriores) podría permitir que un atacante reemplace la función de usuario en el contenedor si el código de usuario es vulnerable a la explotación de código.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

07/11/2023

Vulnerabilidad en MathJax (CVE-2018-1999024)

Fecha de publicación:

23/07/2018

Idioma:

Español

MathJax en versiones anteriores a la 2.7.4 contiene una vulnerabilidad Cross-Site Scripting (XSS) en la macro \unicode{} que puede resultar en la ejecución de JavaScript potencialmente no fiable en un navegador web. Este ataque parece ser explotable si la víctima visualiza una página en la que se procesa contenido no fiable mediante Mathjax. La vulnerabilidad parece haber sido solucionada en las versiones 2.7.4 y siguientes.

Gravedad CVSS v3.1: MEDIA

Última modificación:

19/09/2018

Vulnerabilidad en The Battle for Wesnoth Project (CVE-2018-1999023)

Fecha de publicación:

23/07/2018

Idioma:

Español

The Battle for Wesnoth Project desde la versión 1.7.0 hasta la 1.14.3 contiene una vulnerabilidad de inyección de código en el motor de scripting de Lua que puede resultar en la ejecución de código fuera del sandbox. El ataque parece ser explotable al cargar juegos, juegos en red, repeticiones y contenido del jugador especialmente manipulados.

Gravedad CVSS v3.1: ALTA

Última modificación:

20/09/2018

Suscribirse a Vulnerabilidades