Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en ClamAV AntiVirus (CVE-2017-12380)

Fecha de publicación:

26/01/2018

Idioma:

Español

ClamAV AntiVirus, en versiones 0.99.2 y anteriores, contiene una vulnerabilidad que podría permitir que un atacante remoto sin autenticar provoque una denegación de servicio (DoS) en un sistema afectado. La vulnerabilidad se debe a errores en los mecanismos de comprobación de validación de entradas en mbox.c durante ciertas funciones de análisis de email en un dispositivo afectado. Un atacante remoto no autenticado podría explotar esta vulnerabilidad enviando un email manipulado a un dispositivo afectado. Un exploit podría desencadenar una condición de desreferencia de puntero NULL cuando ClamAV escanea el email malicioso, lo que podría resultar en una condición de DoS.

Gravedad CVSS v3.1: ALTA

Última modificación:

16/03/2018

Vulnerabilidad en WonderCMS (CVE-2017-14522)

Fecha de publicación:

26/01/2018

Idioma:

Español

** EN DISPUTA ** En WonderCMS 2.3.1, los campos de entrada de la aplicación aceptan entradas arbitrarias de usuario, lo que resulta en la ejecución de JavaScript malicioso. NOTA: el fabricante discute este problema diciendo que esta es una característica que permite que solo un administrador que haya iniciado sesión escriba o ejecute JavaScript en cualquier sitio de su web.

Gravedad CVSS v3.1: MEDIA

Última modificación:

05/08/2024

Vulnerabilidad en ClamAV AntiVirus (CVE-2017-12377)

Fecha de publicación:

26/01/2018

Idioma:

Español

ClamAV AntiVirus, en versiones 0.99.2 y anteriores, contiene una vulnerabilidad que podría permitir que un atacante remoto sin autenticar provoque una denegación de servicio (DoS) o ejecute código arbitrario en un sistema afectado. La vulnerabilidad se debe a errores en los mecanismos de comprobación de validación de entradas en archivos mew packet enviados a un dispositivo afectado. Un exploit con éxito podría provocar una sobrelectura de búfer basada en memoria dinámica (heap) en mew.c cuando ClamAV escanea el archivo malicioso, permitiendo que el atacante cree una condición de DoS o ejecute código arbitrario en el dispositivo afectado.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

03/10/2019

Vulnerabilidad en ClamAV AntiVirus (CVE-2017-12378)

Fecha de publicación:

26/01/2018

Idioma:

Español

ClamAV AntiVirus, en versiones 0.99.2 y anteriores, contiene una vulnerabilidad que podría permitir que un atacante remoto sin autenticar provoque una denegación de servicio (DoS) en un sistema afectado. La vulnerabilidad se debe a errores en los mecanismos de comprobación de validación de entradas de archivos .tar (Tape Archive) enviados a un dispositivo afectado. Un exploit con éxito podría provocar una sobrelectura de búfer basada en suma de verificación cuando ClamAV escanea el archivo .tar malicioso, permitiendo que el atacante cree una condición de DoS en el dispositivo afectado.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/10/2019

Vulnerabilidad en WonderCMS (CVE-2017-14521)

Fecha de publicación:

26/01/2018

Idioma:

Español

En WonderCMS 2.3.1, la funcionalidad de subida acepta extensiones de aplicación aleatorias y conduce a la subida de archivos maliciosa.

Gravedad CVSS v3.1: ALTA

Última modificación:

26/04/2019

Vulnerabilidad en WonderCMS (CVE-2017-14523)

Fecha de publicación:

26/01/2018

Idioma:

Español

** EN DISPUTA ** WonderCMS 2.3.1 es vulnerable a un ataque de inyección de cabeceras de host HTTP. Emplea valores introducidos por el usuario para redireccionar páginas. NOTA: el fabricante reporta que es improbable explotar esta vulnerabilidad debido a que el ataque solo puede venir desde un equipo local o desde el administrador como un autoataque.

Gravedad CVSS v3.1: ALTA

Última modificación:

05/08/2024

Vulnerabilidad en IMM2 (CVE-2017-3768)

Fecha de publicación:

26/01/2018

Idioma:

Español

Un atacante sin privilegios con conectividad al IMM2 podría provocar un ataque de denegación de servicio (DoS) en el IMM2 (versiones anteriores a la 4.4 para Lenovo System x y anteriores a la 6.4 para IBM System x). Inundar el IMM2 con un gran volumen de fallos de autenticación mediante el Common Information Model (CIM) empleado por LXCA, OneCLI y otras herramientas puede agotar la memoria del sistema disponible. Esto puede provocar que el IMM2 se reinicie hasta que cesen las peticiones.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/02/2018

Vulnerabilidad en la función acpi_smbus_hc_add en el kernel de Linux (CVE-2018-5750)

Fecha de publicación:

26/01/2018

Idioma:

Español

La función acpi_smbus_hc_add en drivers/acpi/sbshc.c en el kernel de Linux hastas la versión 4.14.15 permite que usuarios locales obtengan información sensible de direcciones leyendo datos dmesg de una llamada SBS HC printk.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/03/2019

Vulnerabilidad en OmniAuth (CVE-2017-18076)

Fecha de publicación:

26/01/2018

Idioma:

Español

En strategy.rb en OmniAuth en versiones anteriores a la 1.3.2, el valor authenticity_token se proteje de forma indebida porque los parámetros POST (además de los GET) se almacenan en la sesión y se vuelven disponibles en el entorno de la fase de devolución de llamada.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/10/2019

Vulnerabilidad en GroupSession (CVE-2017-2166)

Fecha de publicación:

26/01/2018

Idioma:

Español

Una vulnerabilidad de redirección abierta en GroupSession en versiones 4.7.0 y anteriores permite que un atacante remoto redireccione a los usuarios a sitios web arbitrarios y lleven a cabo ataques de phishing mediante vectores sin especificar.

Gravedad CVSS v3.1: MEDIA

Última modificación:

12/02/2018

Vulnerabilidad en productos FLET&#39;S VIRUS CLEAR (CVE-2018-0507)

Fecha de publicación:

26/01/2018

Idioma:

Español

Vulnerabilidad de ruta de búsqueda no fiable en FLET&#39;S VIRUS CLEAR Easy Setup Application Tool ver.11 y anteriores y FLET&#39;S VIRUS CLEAR v6 Easy Setup Application Tool ver.11 y anteriores permite que un atacante obtenga privilegios mediante un DLL troyano en un directorio sin especificar.

Gravedad CVSS v3.1: ALTA

Última modificación:

13/02/2018