Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en el código de escucha del administrador de comunicaciones RDMA en el kernel de Linux (CVE-2021-4028)

Fecha de publicación:

24/08/2022

Idioma:

Español

Un fallo en la implementación del kernel de Linux del código de escucha del administrador de comunicaciones RDMA permitía a un atacante con acceso local configurar un socket para que escuchara en un puerto alto, lo que permitía un uso de memoria previamente liberada de un elemento de la lista. Dada la capacidad de ejecutar código, un atacante local podría aprovechar este uso de memoria previamente liberada para bloquear el sistema o posiblemente escalar privilegios en el sistema.

Gravedad CVSS v3.1: ALTA

Última modificación:

10/02/2023

Vulnerabilidad en la función getcwd() en glibc (CVE-2021-3999)

Fecha de publicación:

24/08/2022

Idioma:

Español

Se ha encontrado un fallo en glibc. Un desbordamiento y subdesbordamiento de búfer en la función getcwd() puede conllevar a una corrupción de memoria cuando el tamaño del búfer es exactamente 1. Un atacante local que pueda controlar el búfer de entrada y el tamaño pasado a getcwd() en un programa setuid podría usar este fallo para ejecutar potencialmente código arbitrario y escalar sus privilegios en el sistema.

Gravedad CVSS v3.1: ALTA

Última modificación:

12/02/2023

Vulnerabilidad en el componente Candlepin de Red Hat Satellite (CVE-2021-4142)

Fecha de publicación:

24/08/2022

Idioma:

Español

El componente Candlepin de Red Hat Satellite estaba afectado por un fallo de autenticación inapropiado. Algunos factores podían permitir a un atacante usar el certificado SCA (Simple Content Access) para la autenticación con Candlepin.

Gravedad CVSS v3.1: MEDIA

Última modificación:

07/11/2023

Vulnerabilidad en el código ACPI de QEMU (CVE-2021-4158)

Fecha de publicación:

24/08/2022

Idioma:

Español

Se ha encontrado un problema de desreferencia de puntero NULL en el código ACPI de QEMU. Un usuario malicioso y con privilegios dentro del huésped podía usar este fallo para bloquear el proceso de QEMU en el host, resultando en una situación de denegación de servicio.

Gravedad CVSS v3.1: MEDIA

Última modificación:

25/01/2024

Vulnerabilidad en el análisis de YAML en el cliente de Kubernetes Fabric 8 (CVE-2021-4178)

Fecha de publicación:

24/08/2022

Idioma:

Español

Se ha encontrado un fallo de ejecución de código arbitrario en el cliente de Kubernetes Fabric 8 afectando a versiones 5.0.0-beta-1 y superiores. Debido a una configuración incorrecta del análisis de YAML, esto permitirá a un atacante local y con privilegios suministrar YAML malicioso.

Gravedad CVSS v3.1: MEDIA

Última modificación:

04/10/2022

Vulnerabilidad en GnuTLS (CVE-2021-4209)

Fecha de publicación:

24/08/2022

Idioma:

Español

Se ha encontrado un fallo de desreferencia de puntero NULL en GnuTLS. Como las funciones de actualización de hash de Nettle llaman internamente a memcpy, proporcionar una entrada de longitud cero puede causar un comportamiento indefinido. Este fallo conlleva a una denegación de servicio tras la autenticación en raras circunstancias.

Gravedad CVSS v3.1: MEDIA

Última modificación:

27/10/2022

Vulnerabilidad en la biblioteca del cliente FTP en modo PASV en Python (CVE-2021-4189)

Fecha de publicación:

24/08/2022

Idioma:

Español

Se ha encontrado un fallo en Python, concretamente en la biblioteca del cliente FTP (File Transfer Protocol) en modo PASV (pasivo). El problema radica en cómo el cliente FTP confía en el host a partir de la respuesta PASV por defecto. Este fallo permite a un atacante configurar un servidor FTP malicioso que puede engañar a los clientes FTP para que sean conectados a una dirección IP y un puerto determinados. Esta vulnerabilidad podría conllevar a que los clientes FTP escanearan los puertos, lo que de otro modo no habría sido posible.

Gravedad CVSS v3.1: MEDIA

Última modificación:

30/06/2023

Vulnerabilidad en el eBPF del kernel de Linux (CVE-2021-4204)

Fecha de publicación:

24/08/2022

Idioma:

Español

Se ha encontrado un fallo de acceso a memoria fuera de límites (OOB) en el eBPF del kernel de Linux debido a una comprobación de entrada inapropiada. Este fallo permite a un atacante local con un privilegio especial bloquear el sistema o filtrar información interna.

Gravedad CVSS v3.1: ALTA

Última modificación:

18/07/2023

Vulnerabilidad en el paquete npm uri-template-lite (CVE-2021-43309)

Fecha de publicación:

24/08/2022

Idioma:

Español

Un ReDoS exponencial (Denegación de Servicio por Expresión Regular) puede ser desencadenado en el paquete npm uri-template-lite, cuando un atacante es capaz de suministrar una entrada arbitraria al método "URI.expand".

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en los contenedores hive de medición de OpenShift (CVE-2021-4125)

Fecha de publicación:

24/08/2022

Idioma:

Español

Se ha detectado que la corrección original para log4j CVE-2021-44228 y CVE-2021-45046 en los contenedores hive de medición de OpenShift estaba incompleta, ya que no fueron eliminados todos los archivos JndiLookup.class. Esta CVE sólo es aplicada a imágenes de contenedores hive de OpenShift Metering, enviadas en OpenShift versiones 4.8, 4.7 y 4.6.

Gravedad CVSS v3.1: ALTA

Última modificación:

07/11/2023

Vulnerabilidad en JSS (CVE-2021-4213)

Fecha de publicación:

24/08/2022

Idioma:

Español

Se ha encontrado un fallo en JSS, que no libera apropiadamente toda la memoria. Con el tiempo, la memoria desperdiciada es acumulada en la memoria del servidor, saturando la RAM del mismo. Este fallo permite a un atacante forzar la invocación de un proceso fuera de memoria, causando una denegación de servicio.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/08/2022

Vulnerabilidad en XFS_IOC_ALLOCSP IOCTL en el sistema de archivos XFS (CVE-2021-4155)

Fecha de publicación:

24/08/2022

Idioma:

Español

Se encontró un fallo de filtrado de datos en la forma en que XFS_IOC_ALLOCSP IOCTL en el sistema de archivos XFS permitía aumentar el tamaño de los archivos con un tamaño no alineado. Un atacante local podría usar este fallo para filtrar datos en el sistema de archivos XFS que de otro modo no serían accesibles.

Gravedad CVSS v3.1: MEDIA

Última modificación:

29/08/2022

Suscribirse a Vulnerabilidades