Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en kernel de Linux (CVE-2024-27397)

Fecha de publicación:

14/05/2024

Idioma:

Español

En el kernel de Linux, se resolvió la siguiente vulnerabilidad: netfilter: nf_tables: use la marca de tiempo para verificar el tiempo de espera del elemento establecido. Agregue un campo de marca de tiempo al comienzo de la transacción y guárdelo en el área nftables per-netns. Actualice el conjunto de backend .insert, .deactivate y sincronice la ruta gc para usar la marca de tiempo, esto evita que un elemento caduque mientras la transacción del plano de control aún no ha finalizado. .lookup y .update, que se usan desde la ruta del paquete, aún usan la hora actual para verificar si el elemento ha caducado. Y obtener ruta y volcar también, ya que se ejecuta sin bloqueo bajo el bloqueo de tamaño de lectura de rcu. Luego, está el gc async que también necesita verificar la hora actual, ya que se ejecuta de forma asincrónica desde una cola de trabajo.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/11/2025

Vulnerabilidad en kernel de Linux (CVE-2024-27394)

Fecha de publicación:

14/05/2024

Idioma:

Español

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: tcp: Fix Use-After-Free en tcp_ao_connect_init Dado que call_rcu, que se llama en el recorrido hlist_for_each_entry_rcu de tcp_ao_connect_init, no forma parte de la sección crítica de lectura de RCU, es posible que el El período de gracia de RCU transcurrirá durante el recorrido y la clave quedará gratuita. Para evitar esto, se debe cambiar a hlist_for_each_entry_safe.

Gravedad CVSS v3.1: ALTA

Última modificación:

08/04/2025

Vulnerabilidad en kernel de Linux (CVE-2024-27395)

Fecha de publicación:

14/05/2024

Idioma:

Español

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net: openvswitch: Fix Use-After-Free en ovs_ct_exit Dado que kfree_rcu, que se llama en el recorrido hlist_for_each_entry_rcu de ovs_ct_limit_exit, no forma parte de la sección crítica de lectura de RCU, es posible que el período de gracia de RCU pasará durante el recorrido y la clave quedará libre. Para evitar esto, se debe cambiar a hlist_for_each_entry_safe.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/01/2025

Vulnerabilidad en kernel de Linux (CVE-2024-27396)

Fecha de publicación:

14/05/2024

Idioma:

Español

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net: gtp: corrige Use-After-Free en gtp_dellink Dado que call_rcu, que se llama en el recorrido hlist_for_each_entry_rcu de gtp_dellink, no forma parte de la sección crítica de lectura de RCU, es posible que el período de gracia de RCU pasará durante el recorrido y la clave quedará libre. Para evitar esto, se debe cambiar a hlist_for_each_entry_safe.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/01/2025

Vulnerabilidad en kernel de Linux (CVE-2024-27393)

Fecha de publicación:

14/05/2024

Idioma:

Español

En el kernel de Linux, se resolvió la siguiente vulnerabilidad: xen-netfront: agrega skb_mark_for_recycle faltante. Tenga en cuenta que skb_mark_for_recycle() se introduce más tarde que la etiqueta de corrección en el commit 6a5bcd84e886 ("page_pool: permitir que los controladores indiquen el reciclaje de SKB"). Se cree que a la etiqueta de correcciones le faltaba una llamada a page_pool_release_page() entre v5.9 y v5.14, después de lo cual debería haber usado skb_mark_for_recycle(). Desde v6.6, la llamada page_pool_release_page() se eliminó (en el commit 535b9c61bdef ("net: page_pool: hide page_pool_release_page()") y las personas que llaman restantes se convirtieron (en el commit 6bfef2ec0172 ("Merge Branch &#39;net-page_pool-remove-page_pool_release_page&#39;") ). Esta fuga se hizo visible en la versión 6.8 mediante el commit dba1b8a7ab68 ("mm/page_pool: captura pérdidas de memoria en page_pool").

Gravedad CVSS v3.1: MEDIA

Última modificación:

08/04/2025

Vulnerabilidad en RDoc y Ruby (CVE-2024-27281)

Fecha de publicación:

14/05/2024

Idioma:

Español

Se descubrió un problema en RDoc 6.3.3 a 6.6.2, tal como se distribuye en Ruby 3.x a 3.3.0. Al analizar .rdoc_options (utilizado para la configuración en RDoc) como un archivo YAML, la inyección de objetos y la ejecución remota de código resultante son posibles porque no hay restricciones en las clases que se pueden restaurar. (Al cargar el caché de documentación, la inyección de objetos y la ejecución remota de código resultante también son posibles si hubiera un caché manipulado). La versión principal fija es 6.6.3.1. Para los usuarios de Ruby 3.0, una versión fija es rdoc 6.3.4.1. Para los usuarios de Ruby 3.1, una versión fija es rdoc 6.4.1.1. Para los usuarios de Ruby 3.2, una versión fija es rdoc 6.5.1.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

04/11/2025

Vulnerabilidad en Ruby (CVE-2024-27282)

Fecha de publicación:

14/05/2024

Idioma:

Español

Se descubrió un problema en Ruby 3.x hasta 3.3.0. Si los datos proporcionados por el atacante se proporcionan al compilador de expresiones regulares de Ruby, es posible extraer datos del montón arbitrarios relacionados con el inicio del texto, incluidos punteros y cadenas confidenciales. Las versiones fijas son 3.0.7, 3.1.5, 3.2.4 y 3.3.1.

Gravedad CVSS v3.1: MEDIA

Última modificación:

04/11/2025

Vulnerabilidad en StringIO y Ruby (CVE-2024-27280)

Fecha de publicación:

14/05/2024

Idioma:

Español

Se descubrió un problema de sobrelectura del búfer en StringIO 3.0.1, distribuido en Ruby 3.0.x hasta 3.0.6 y 3.1.x hasta 3.1.4. Los métodos ungetbyte y ungetc en StringIO pueden leer más allá del final de una cadena, y una llamada posterior a StringIO.gets puede devolver el valor de la memoria. 3.0.3 es la versión fija principal; sin embargo, para los usuarios de Ruby 3.0, una versión fija es stringio 3.0.1.1, y para los usuarios de Ruby 3.1, una versión fija es stringio 3.0.1.2.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

04/11/2025

Vulnerabilidad en IBM QRadar SIEM 7.5 (CVE-2024-27269)

Fecha de publicación:

14/05/2024

Idioma:

Español

IBM QRadar SIEM 7.5 podría permitir a un usuario privilegiado configurar una gestión de usuarios que revelaría información confidencial no deseada entre los inquilinos. ID de IBM X-Force: 284575.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/07/2025

Vulnerabilidad en Cacti (CVE-2024-27082)

Fecha de publicación:

14/05/2024

Idioma:

Español

Cacti proporciona un framework de monitoreo operativo y gestión de fallas. Las versiones de Cacti anteriores a la 1.2.27 son vulnerables a Cross Site Scripting almacenadas, un tipo de Cross Site Scripting en las que script maliciosas se almacenan permanentemente en un servidor de destino y se entregan a los usuarios que acceden a una página en particular. La versión 1.2.27 contiene un parche para el problema.

Gravedad CVSS v3.1: ALTA

Última modificación:

18/12/2024

Vulnerabilidad en School Task Manager v.1.0 (CVE-2024-26517)

Fecha de publicación:

14/05/2024

Idioma:

Español

Una vulnerabilidad de inyección SQL en School Task Manager v.1.0 permite a un atacante remoto obtener información confidencial a través de un payload manipulado para el componente delete-task.php.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

18/06/2025

Vulnerabilidad en iPerf3 (CVE-2024-26306)

Fecha de publicación:

14/05/2024

Idioma:

Español

iPerf3 anterior a 3.17, cuando se usa con OpenSSL anterior a 3.2.0 como servidor con autenticación RSA, permite un canal lateral de temporización en las operaciones de descifrado RSA. Este canal lateral podría ser suficiente para que un atacante recupere el texto sin formato de las credenciales. Requiere que el atacante envíe una gran cantidad de mensajes para descifrarlos, como se describe en "Everlasting ROBOT: the Marvin Attack" de Hubert Kario.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/11/2025

Suscribirse a Vulnerabilidades